建站
咨詢
售后
建站咨詢
新聞中心
UFW，即簡單防火墻（uncomplicated firewall），是一個 Arch linux、Debian 或 ubuntu 中管理防火墻規(guī)則的前端。 UFW 通過命令行使用（盡管它有可用的 GUI），它的目的是使防火墻配置簡單（即不復雜（uncomplicated））。
創(chuàng)新互聯(lián)建站專業(yè)為企業(yè)提供囊謙網(wǎng)站建設(shè)、囊謙做網(wǎng)站、囊謙網(wǎng)站設(shè)計、囊謙網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計與制作、囊謙企業(yè)網(wǎng)站模板建站服務(wù)，十余年囊謙做網(wǎng)站經(jīng)驗，不只是建網(wǎng)站，更提供有價值的思路和整體網(wǎng)絡(luò)服務(wù)。
開始之前
1、 熟悉我們的入門指南，并完成設(shè)置服務(wù)器主機名和時區(qū)的步驟。
2、 本指南將盡可能使用 sudo。 在完成保護你的服務(wù)器指南的章節(jié)，創(chuàng)建一個標準用戶帳戶，強化 SSH 訪問和移除不必要的網(wǎng)絡(luò)服務(wù)。 但不要跟著創(chuàng)建防火墻部分 - 本指南是介紹使用 UFW 的，它對于 iptables 而言是另外一種控制防火墻的方法。
3、 更新系統(tǒng)
Arch Linux
sudo pacman -Syu
Debian / Ubuntu
sudo apt-get update && sudo apt-get upgrade
安裝 UFW
UFW 默認包含在 Ubuntu 中，但在 Arch 和 Debian 中需要安裝。 Debian 將自動啟用 UFW 的 systemd 單元，并使其在重新啟動時啟動，但 Arch 不會。 這與告訴 UFW 啟用防火墻規(guī)則不同，因為使用 systemd 或者 upstart 啟用 UFW 僅僅是告知 init 系統(tǒng)打開 UFW 守護程序。
默認情況下，UFW 的規(guī)則集為空，因此即使守護程序正在運行，也不會強制執(zhí)行任何防火墻規(guī)則。 強制執(zhí)行防火墻規(guī)則集的部分在下面。
Arch Linux
1、 安裝 UFW：
sudo pacman -S ufw
2、 啟動并啟用 UFW 的 systemd 單元：
sudo systemctl start ufw
sudo systemctl enable ufw
Debian / Ubuntu
1、 安裝 UFW
sudo apt-get install ufw
使用 UFW 管理防火墻規(guī)則
設(shè)置默認規(guī)則
大多數(shù)系統(tǒng)只需要打開少量的端口接受傳入連接，并且關(guān)閉所有剩余的端口。 從一個簡單的規(guī)則基礎(chǔ)開始，ufw default命令可以用于設(shè)置對傳入和傳出連接的默認響應(yīng)動作。 要拒絕所有傳入并允許所有傳出連接，那么運行：
sudo ufw default allow outgoing
sudo ufw default deny incoming
ufw default 也允許使用 reject 參數(shù)。
警告：
除非明確設(shè)置允許規(guī)則，否則配置默認 deny 或 reject 規(guī)則會鎖定你的服務(wù)器。確保在應(yīng)用默認 deny 或 reject 規(guī)則之前，已按照下面的部分配置了 SSH 和其他關(guān)鍵服務(wù)的允許規(guī)則。
添加規(guī)則
可以有兩種方式添加規(guī)則：用端口號或者服務(wù)名表示。
要允許 SSH 的 22 端口的傳入和傳出連接，你可以運行：
sudo ufw allow ssh
你也可以運行：
sudo ufw allow 22
相似的，要在特定端口（比如 111）上 deny 流量，你需要運行：
sudo ufw deny 111
為了更好地調(diào)整你的規(guī)則，你也可以允許基于 TCP 或者 UDP 的包。下面例子會允許 80 端口的 TCP 包：
sudo ufw allow 80/tcp
sudo ufw allow http/tcp
這個會允許 1725 端口上的 UDP 包：
sudo ufw allow 1725/udp
高級規(guī)則
除了基于端口的允許或阻止，UFW 還允許您按照 IP 地址、子網(wǎng)和 IP 地址/子網(wǎng)/端口的組合來允許/阻止。
允許從一個 IP 地址連接：
sudo ufw allow from 123.45.67.89
允許特定子網(wǎng)的連接：
sudo ufw allow from 123.45.67.89/24
允許特定 IP/ 端口的組合：
sudo ufw allow from 123.45.67.89 to any port 22 proto tcp
proto tcp 可以刪除或者根據(jù)你的需求改成 proto udp，所有例子的 allow 都可以根據(jù)需要變成 deny。
刪除規(guī)則
要刪除一條規(guī)則，在規(guī)則的前面加上 delete。如果你希望不再允許 HTTP 流量，你可以運行：
sudo ufw delete allow 80
刪除規(guī)則同樣可以使用服務(wù)名。
編輯 UFW 的配置文件
雖然可以通過命令行添加簡單的規(guī)則，但仍有可能需要添加或刪除更高級或特定的規(guī)則。 在運行通過終端輸入的規(guī)則之前，UFW 將運行一個文件 before.rules，它允許回環(huán)接口、ping 和 DHCP 等服務(wù)。要添加或改變這些規(guī)則，編輯 /etc/ufw/before.rules 這個文件。 同一目錄中的 before6.rules 文件用于 IPv6 。
還存在一個 after.rule 和 after6.rule 文件，用于添加在 UFW 運行你通過命令行輸入的規(guī)則之后需要添加的任何規(guī)則。
還有一個配置文件位于 /etc/default/ufw。 從此處可以禁用或啟用 IPv6，可以設(shè)置默認規(guī)則，并可以設(shè)置 UFW 以管理內(nèi)置防火墻鏈。
UFW 狀態(tài)
你可以在任何時候使用命令：sudo ufw status 查看 UFW 的狀態(tài)。這會顯示所有規(guī)則列表，以及 UFW 是否處于激活狀態(tài)：
Status: active
To Action From
-- ------ ----
22 ALLOW Anywhere
80/tcp ALLOW Anywhere
443 ALLOW Anywhere
22 (v6) ALLOW Anywhere (v6)
80/tcp (v6) ALLOW Anywhere (v6)
443 (v6) ALLOW Anywhere (v6)
啟用防火墻
隨著你選擇規(guī)則完成，你初始運行 ufw status 可能會輸出 Status: inactive。 啟用 UFW 并強制執(zhí)行防火墻規(guī)則：
sudo ufw enable
相似地，禁用 UFW 規(guī)則：
sudo ufw disable
UFW 會繼續(xù)運行，并且在下次啟動時會再次啟動。
日志記錄
你可以用下面的命令啟動日志記錄：
sudo ufw logging on
可以通過運行 sudo ufw logging low|medium|high 設(shè)計日志級別，可以選擇 low、 medium 或者 high。默認級別是 low。
常規(guī)日志類似于下面這樣，位于 /var/logs/ufw：
Sep 16 15:08:14 kernel: [UFW BLOCK] IN=eth0 OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:00:00 SRC=123.45.67.89 DST=987.65.43.21 LEN=40 TOS=0x00 PREC=0x00 TTL=249 ID=8475 PROTO=TCP SPT=48247 DPT=22 WINDOW=1024 RES=0x00 SYN URGP=0
前面的值列出了你的服務(wù)器的日期、時間、主機名。剩下的重要信息包括：
- [UFW BLOCK]：這是記錄事件的描述開始的位置。在此例中，它表示阻止了連接。
- IN：如果它包含一個值，那么代表該事件是傳入事件
- OUT：如果它包含一個值，那么代表事件是傳出事件
- MAC：目的地和源 MAC 地址的組合
- SRC：包源的 IP
- DST：包目的地的 IP
- LEN：數(shù)據(jù)包長度
- TTL：數(shù)據(jù)包 TTL，或稱為 time to live。 在找到目的地之前，它將在路由器之間跳躍，直到它過期。
- PROTO：數(shù)據(jù)包的協(xié)議
- SPT：包的源端口
- DPT：包的目標端口
- WINDOW：發(fā)送方可以接收的數(shù)據(jù)包的大小
- SYN URGP：指示是否需要三次握手。
0表示不需要。
網(wǎng)站題目：在 Ubuntu 中用 UFW 配置防火墻
網(wǎng)站地址：http://www.5511xx.com/article/cdhosdg.html
