Ubuntu怎么用UFW配置防火墻

本篇內容介紹了“Ubuntu怎么用UFW配置防火墻”的有關知識，在實際案例的操作過程中，不少人都會遇到這樣的困境，接下來就讓小編帶領大家學習一下如何處理這些情況吧！希望大家仔細閱讀，能夠學有所成！

簡介：

UFW，即簡單防火墻uncomplicated firewall，是一個 Arch Linux、Debian 或 Ubuntu 中管理防火墻規則的前端。 UFW 通過命令行使用（盡管它有可用的 GUI），它的目的是使防火墻配置簡單（即不復雜uncomplicated）。

安裝 UFW：

UFW 默認包含在 Ubuntu 中，默認情況下，UFW 的規則集為空，因此即使守護程序正在運行，也不會強制執行任何防火墻規則。 強制執行防火墻規則集的部分在下面。

sudoapt-getinstallufw

使用 UFW 管理防火墻規則

設置默認規則：

大多數系統只需要打開少量的端口接受傳入連接，并且關閉所有剩余的端口。 從一個簡單的規則基礎開始，ufw default命令可以用于設置對傳入和傳出連接的默認響應動作。 要拒絕所有傳入并允許所有傳出連接，那么運行：

sudoufwdefaultallowoutgoing
sudoufwdefaultdenyincoming

ufw default 也允許使用 reject 參數。

警告：

除非明確設置允許規則，否則配置默認 deny 或 reject 規則會鎖定你的服務器。確保在應用默認 deny 或 reject 規則之前，已按照下面的部分配置了 SSH 和其他關鍵服務的允許規則。

添加規則：

可以有兩種方式添加規則：用端口號或者服務名表示。

要允許 SSH 的 22 端口的傳入和傳出連接，你可以運行：

sudoufwallowssh

你也可以運行：

sudoufwallow22

相似的，要在特定端口（比如 111）上 deny 流量，你需要運行：

sudoufwdeny111

為了更好地調整你的規則，你也可以允許基于 TCP 或者 UDP 的包。下面例子會允許 80 端口的 TCP 包：

sudoufwallow80/tcp
sudoufwallowhttp/tcp

這個會允許 1725 端口上的 UDP 包：

sudoufwallow1725/udp

高級規則：

除了基于端口的允許或阻止，UFW 還允許您按照 IP 地址、子網和 IP 地址/子網/端口的組合來允許/阻止。

允許從一個 IP 地址連接：

sudoufwallowfrom123.45.67.89

允許特定子網的連接：

sudoufwallowfrom123.45.67.89/24

允許特定 IP/ 端口的組合：

sudoufwallowfrom123.45.67.89toanyport22prototcp

proto tcp 可以刪除或者根據你的需求改成 proto udp，所有例子的 allow 都可以根據需要變成 deny。

刪除規則：

要刪除一條規則，在規則的前面加上 delete。如果你希望不再允許 HTTP 流量，你可以運行：

sudoufwdeleteallow80

刪除規則同樣可以使用服務名。

編輯 UFW 的配置文件：

雖然可以通過命令行添加簡單的規則，但仍有可能需要添加或刪除更高級或特定的規則。 在運行通過終端輸入的規則之前，UFW 將運行一個文件 before.rules，它允許回環接口、ping 和 DHCP 等服務。要添加或改變這些規則，編輯 /etc/ufw/before.rules 這個文件。 同一目錄中的 before6.rules 文件用于 IPv6 。

還存在一個 after.rule 和 after6.rule 文件，用于添加在 UFW 運行你通過命令行輸入的規則之后需要添加的任何規則。

還有一個配置文件位于 /etc/default/ufw。 從此處可以禁用或啟用 IPv6，可以設置默認規則，并可以設置 UFW 以管理內置防火墻鏈。

UFW 狀態：

你可以在任何時候使用命令：sudo ufw status 查看 UFW 的狀態。這會顯示所有規則列表，以及 UFW 是否處于激活狀態：

Status:active
ToActionFrom
------------
22ALLOWAnywhere
80/tcpALLOWAnywhere
443ALLOWAnywhere
22(v6)ALLOWAnywhere(v6)
80/tcp(v6)ALLOWAnywhere(v6)
443(v6)ALLOWAnywhere(v6)

啟用防火墻：

隨著你選擇規則完成，你初始運行 ufw status 可能會輸出 Status: inactive。 啟用 UFW 并強制執行防火墻規則：

sudoufwenable

相似地，禁用 UFW 規則：

sudoufwdisable

UFW 會繼續運行，并且在下次啟動時會再次啟動。

日志記錄：

你可以用下面的命令啟動日志記錄：

sudoufwloggingon

可以通過運行 sudo ufw logging low|medium|high 設計日志級別，可以選擇 low、 medium 或者 high。默認級別是 low。

常規日志類似于下面這樣，位于 /var/logs/ufw：

Sep1615:08:14<hostname>kernel:[UFWBLOCK]IN=eth0OUT=MAC=00:00:00:00:00:00:00:00:00:00:00:00:00:00SRC=123.45.67.89DST=987.65.43.21LEN=40TOS=0x00PREC=0x00TTL=249ID=8475PROTO=TCPSPT=48247DPT=22WINDOW=1024RES=0x00SYNURGP=0

前面的值列出了你的服務器的日期、時間、主機名。剩下的重要信息包括：

• [UFW BLOCK]：這是記錄事件的描述開始的位置。在此例中，它表示阻止了連接。

• IN：如果它包含一個值，那么代表該事件是傳入事件

• OUT：如果它包含一個值，那么代表事件是傳出事件

• MAC：目的地和源 MAC 地址的組合

• SRC：包源的 IP

• DST：包目的地的 IP

• LEN：數據包長度

• TTL：數據包 TTL，或稱為 time to live。 在找到目的地之前，它將在路由器之間跳躍，直到它過期。

• PROTO：數據包的協議

• SPT：包的源端口

• DPT：包的目標端口

• WINDOW：發送方可以接收的數據包的大小

• SYN URGP：指示是否需要三次握手。 0 表示不需要。

“Ubuntu怎么用UFW配置防火墻”的內容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業相關的知識可以關注億速云網站，小編將為大家輸出更多高質量的實用文章！