如何在 Ubuntu 18.04 上使用 UFW 设置防火墙
如何在 Ubuntu 18.04 上使用 UFW 设置防火墙
Ubuntu系统中防火墙是保障整个系统安全性最重要的工具。默认情况下，Ubuntu 附带一个名为UFW（Uncomplicated Firewall）的防火墙配置工具。UFW 是一个用户友好的iptables前端管理工具，用于管理iptables防火墙规则，其主要目标是使管理iptables更容易。
前提条件
在开始本教程之前，请确保使用具有sudo权限的用户帐户或root用户登录到您的服务器。最好做法是将管理命令作为sudo用户而不是root用户运行。如果您的Ubuntu系统上没有sudo用户，您可以按照该教程说明创建一个。
没有服务器的同学，国内可以在这里购买，国外可以在这里购买 VPS服务器。
安装UFW
默认情况下，应在Ubuntu 18.04中安装简单的防火墙，但如果系统上未安装，则可以通过键入以下内容来安装软件包：
sudo apt install ufw检查UFW状态
安装完成后，您可以使用以下命令检查UFW的状态：
sudo ufw status verbose默认情况下禁用UFW。如果之前从未激活过UFW，输出将如下所示：
Status: inactive如果激活了UFW，输出将类似于以下内容：
Status: active
To Action From
-- ------ ----
22/tcp ALLOW Anywhere
22/tcp (v6) ALLOW Anywhere (v6) UFW默认策略
默认情况下，UFW将阻止所有传入连接并允许所有出站连接。这意味着除非您专门打开端口，否则任何尝试访问您的服务器的人都无法连接，而您服务器上运行的所有应用程序和服务都将能够访问外部。
默认策略在/etc/default/ufw文件中定义，可以使用该sudo ufw default <policy> <chain>命令进行更改。
防火墙策略是构建详细的用户定义规则的基础。在大多数情况下，最初的UFW默认策略基础的保障。
应用简介
使用该apt命令安装软件包时，它会将应用程序配置文件添加到/etc/ufw/applications.d目录。该配置文件描述了该服务并包含UFW设置。
您可以通过键入以下内容列出服务器上可用的所有应用程
sudo ufw app list根据系统上安装的软件包，输出将类似于以下内容：
Available applications:
Dovecot IMAP
Dovecot POP3
Dovecot Secure IMAP
Dovecot Secure POP3
Nginx Full
Nginx HTTP
Nginx HTTPS
OpenSSH
Postfix
Postfix SMTPS
Postfix Submission要查找有关特定配置文件和包含规则的更多信息，请使用以下命令：
sudo ufw app info 'Nginx Full'Profile: Nginx Full
Title: Web Server (Nginx, HTTP + HTTPS)
Description: Small, but very powerful and efficient web server
Ports:
80,443/tcp正如您从上面的输出中看到的'Nginx Full'配置文件打开端口80和443。
允许SSH连接
在启用UFW防火墙之前，我们需要添加允许传入SSH连接的规则。如果您从远程位置连接到服务器并且在明确允许传入SSH连接之前启用UFW防火墙，您将无法再连接到Ubuntu服务器。
要配置UFW防火墙以允许传入SSH连接，请键入以下命令：
sudo ufw allow sshRules updated
Rules updated (v6)如果您将SSH端口更改为自定义端口而不是端口22，则需要打开该端口。
例如，如果您的ssh守护程序侦听端口4422，则可以使用以下命令允许该端口上的连接：
sudo ufw allow 4422/tcp启用UFW
既然您的UFW防火墙已配置为允许传入SSH连接，我们可以通过键入以下内容来启用它：
sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup命令执行后会提示，启用防火墙可能会中断现有的ssh连接，只需键入y并命中即可Enter。
允许其他端口上的连接
根据服务器上运行的应用程序和您的特定需求，您还需要允许对其他端口的传入访问。
下面我们将向您展示一些关于如何允许传入连接到一些最常见服务的示例：
打开端口80 - HTTP使用以下命令可以允许HTTP连接：
sudo ufw allow http而不是http你可以使用端口号，80：
sudo ufw allow 80/tcp或者您可以使用应用程序配置文件，在本例中为“Nginx HTTP”：
sudo ufw allow 'Nginx HTTP'打开端口443 - HTTPS
使用以下命令可以允许HTTP连接：
sudo ufw allow https要实现相同而不是https配置文件，您可以使用端口号，443：
sudo ufw allow 443/tcp或者您可以使用应用程序配置文件'Nginx HTTPS'：
sudo ufw allow 'Nginx HTTPS'打开端口8080
如果运行Tomcat或任何其他侦听端口的应用程序8080以允许传入连接类型：
sudo ufw allow 8080/tcp允许端口范围
UFW允许我们允许访问端口范围，而不是允许访问单个端口。允许使用UFW的端口范围时，必须指定协议，tcp或者udp。例如，如果你想允许从港口7100到7200双方tcp和udp则运行以下命令：
sudo ufw allow 7100:7200/tcp
sudo ufw allow 7100:7200/udp允许特定的IP地址
要允许从家庭计算机上的所有端口访问IP地址为64.63.62.61，请指定from要列入白名单的IP地址：
sudo ufw allow from 64.63.62.61允许特定端口上的特定IP地址
要允许在特定端口上访问，请使用IP地址为64.63.62.61的工作机端口22，使用to any port后跟端口号：
sudo ufw allow from 64.63.62.61 to any port 22允许子网
允许连接到IP地址子网的命令与使用单个IP地址时的命令相同，唯一的区别是您需要指定网络掩码。例如，如果要允许访问范围从192.168.1.1到192.168.1.254到端口3360（MySQL）的IP地址，可以使用以下命令：
sudo ufw allow from 192.168.1.0/24 to any port 3306允许连接到特定的网络接口
要允许在特定端口上访问，只允许端口3360到特定网络接口eth2，那么您需要指定allow in on和网络接口的名称：
sudo ufw allow in on eth2 to any port 3306否认连接
所有传入连接的默认策略都设置为deny，如果您尚未更改它，UFW将阻止所有传入连接，除非您专门打开连接。
假设您打开了端口80，443并且您的服务器受到来自23.24.25.0/24网络的攻击。要拒绝来自23.24.25.0/24您的所有连接，可以使用以下命令：
sudo ufw deny from 23.24.25.0/24如果你只是想拒绝端口的访问80，并443从23.24.25.0/24您可以使用下面的命令：
sudo ufw deny from 23.24.25.0/24 to any port 80
sudo ufw deny from 23.24.25.0/24 to any port 443写拒绝规则是一样的写作允许规则，你只需要更换allow用deny。
删除UFW规则根据规则编号和指定实际规则，有两种不同的方法可以删除UFW规则。
如果您不熟悉UFW，则按规则编号删除UFW规则会更容易。要首先按规则号删除规则，您需要找到要删除的规则的编号，您可以使用以下命令执行此操作：
sudo ufw status numberedStatus: active
To Action From
-- ------ ----
[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 8080/tcp ALLOW IN Anywhere要删除允许连接到端口8080的规则3的规则，请使用以下命令：
sudo ufw delete 3第二种方法是通过指定实际规则来删除规则，例如，如果您添加规则以打开端口8069，则可以使用以下命令将其删除：
sudo ufw delete allow 8069禁用UFW
如果您出于任何原因想要停止使用UFW并停用所有可以使用的规则：
sudo ufw disable稍后如果要重新启用UTF并激活所有规则，只需键入：
sudo ufw enable重置UFW
重置UFW将禁用UFW，并删除所有活动规则。如果您想要还原所有更改并重新开始，这将非常有用。
要重置UFW，只需输入以下命令：
sudo ufw reset写在最后
您已经学习了如何在Ubuntu 18.04服务器上安装和配置UFW防火墙。确保允许系统正常运行所需的所有传入连接，同时限制所有不必要的连接。
如果您有任何问题，请随时在下面发表评论。
评论（0）
发表评论