在 Ubuntu 中用 UFW 配置防火牆

Linode 發表於 2022-11-28

UFW,即簡單防火牆uncomplicated firewall,是一個 Arch Linux、Debian 或 Ubuntu 中管理防火牆規則的前端。 UFW 透過命令列使用(儘管它有可用的 GUI),它的目的是使防火牆配置簡單(即不復雜uncomplicated)。

在 Ubuntu 中用 UFW 配置防火牆

開始之前

1、 熟悉我們的入門指南,並完成設定伺服器主機名和時區的步驟。

2、 本指南將盡可能使用 sudo。 在完成保護你的伺服器指南的章節,建立一個標準使用者帳戶,強化 SSH 訪問和移除不必要的網路服務。 但不要跟著建立防火牆部分 - 本指南是介紹使用 UFW 的,它對於 iptables 而言是另外一種控制防火牆的方法。

3、 更新系統

Arch Linux

sudo pacman -Syu

Debian / Ubuntu

sudo apt-get update && sudo apt-get upgrade

安裝 UFW

UFW 預設包含在 Ubuntu 中,但在 Arch 和 Debian 中需要安裝。 Debian 將自動啟用 UFW 的 systemd 單元,並使其在重新啟動時啟動,但 Arch 不會。 這與告訴 UFW 啟用防火牆規則不同,因為使用 systemd 或者 upstart 啟用 UFW 僅僅是告知 init 系統開啟 UFW 守護程式。

預設情況下,UFW 的規則集為空,因此即使守護程式正在執行,也不會強制執行任何防火牆規則。 強制執行防火牆規則集的部分在下面。

Arch Linux

1、 安裝 UFW:

sudo pacman -S ufw

2、 啟動並啟用 UFW 的 systemd 單元:

sudo systemctl start ufw
sudo systemctl enable ufw

Debian / Ubuntu

1、 安裝 UFW

sudo apt-get install ufw

使用 UFW 管理防火牆規則

設定預設規則

大多數系統只需要開啟少量的埠接受傳入連線,並且關閉所有剩餘的埠。 從一個簡單的規則基礎開始,ufw default命令可以用於設定對傳入和傳出連線的預設響應動作。 要拒絕所有傳入並允許所有傳出連線,那麼執行:

sudo ufw default allow outgoing
sudo ufw default deny incoming

ufw default 也允許使用 reject 引數。

警告:

除非明確設定允許規則,否則配置預設 denyreject 規則會鎖定你的伺服器。確保在應用預設 denyreject 規則之前,已按照下面的部分配置了 SSH 和其他關鍵服務的允許規則。

新增規則

可以有兩種方式新增規則:用埠號或者服務名表示。

要允許 SSH 的 22 埠的傳入和傳出連線,你可以執行:

sudo ufw allow ssh

你也可以執行:

sudo ufw allow 22

相似的,要在特定埠(比如 111)上 deny 流量,你需要執行:

sudo ufw deny 111

為了更好地調整你的規則,你也可以允許基於 TCP 或者 UDP 的包。下面例子會允許 80 埠的 TCP 包:

sudo ufw allow 80/tcp
sudo ufw allow http/tcp

這個會允許 1725 埠上的 UDP 包:

sudo ufw allow 1725/udp

高階規則

除了基於埠的允許或阻止,UFW 還允許您按照 IP 地址、子網和 IP 地址/子網/埠的組合來允許/阻止。

允許從一個 IP 地址連線:

sudo ufw allow from 123.45.67.89

允許特定子網的連線:

sudo ufw allow from 123.45.67.89/24

允許特定 IP/ 埠的組合:

sudo ufw allow from 123.45.67.89 to any port 22 proto tcp

proto tcp 可以刪除或者根據你的需求改成 proto udp,所有例子的 allow 都可以根據需要變成 deny

刪除規則

要刪除一條規則,在規則的前面加上 delete。如果你希望不再允許 HTTP 流量,你可以執行:

sudo ufw delete allow 80

刪除規則同樣可以使用服務名。

編輯 UFW 的配置檔案

雖然可以透過命令列新增簡單的規則,但仍有可能需要新增或刪除更高階或特定的規則。 在執行透過終端輸入的規則之前,UFW 將執行一個檔案 before.rules,它允許迴環介面、ping 和 DHCP 等服務。要新增或改變這些規則,編輯 /etc/ufw/before.rules 這個檔案。 同一目錄中的 before6.rules 檔案用於 IPv6 。

還存在一個 after.ruleafter6.rule 檔案,用於新增在 UFW 執行你透過命令列輸入的規則之後需要新增的任何規則。

還有一個配置檔案位於 /etc/default/ufw。 從此處可以禁用或啟用 IPv6,可以設定預設規則,並可以設定 UFW 以管理內建防火牆鏈。

UFW 狀態

你可以在任何時候使用命令:sudo ufw status 檢視 UFW 的狀態。這會顯示所有規則列表,以及 UFW 是否處於啟用狀態:

Status: active

To                         Action      From
--                         ------      ----
22                         ALLOW       Anywhere
80/tcp                     ALLOW       Anywhere
443                        ALLOW       Anywhere
22 (v6)                    ALLOW       Anywhere (v6)
80/tcp (v6)                ALLOW       Anywhere (v6)
443 (v6)                   ALLOW       Anywhere (v6)

啟用防火牆

隨著你選擇規則完成,你初始執行 ufw status 可能會輸出 Status: inactive。 啟用 UFW 並強制執行防火牆規則:

sudo ufw enable

相似地,禁用 UFW 規則:

sudo ufw disable

UFW 會繼續執行,並且在下次啟動時會再次啟動。

日誌記錄

你可以用下面的命令啟動日誌記錄:

sudo ufw logging on

可以透過執行 sudo ufw logging low|medium|high 設計日誌級別,可以選擇 low、 medium 或者 high。預設級別是 low

常規日誌類似於下面這樣,位於 /var/logs/ufw

Sep 16 15:08:14 <hostname> kernel: [UFW BLOCK] IN=eth0 OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:00:00 SRC=123.45.67.89 DST=987.65.43.21 LEN=40 TOS=0x00 PREC=0x00 TTL=249 ID=8475 PROTO=TCP SPT=48247 DPT=22 WINDOW=1024 RES=0x00 SYN URGP=0

前面的值列出了你的伺服器的日期、時間、主機名。剩下的重要資訊包括:

  • [UFW BLOCK]:這是記錄事件的描述開始的位置。在此例中,它表示阻止了連線。
  • IN:如果它包含一個值,那麼代表該事件是傳入事件
  • OUT:如果它包含一個值,那麼代表事件是傳出事件
  • MAC:目的地和源 MAC 地址的組合
  • SRC:包源的 IP
  • DST:包目的地的 IP
  • LEN:資料包長度
  • TTL:資料包 TTL,或稱為 time to live。 在找到目的地之前,它將在路由器之間跳躍,直到它過期。
  • PROTO:資料包的協議
  • SPT:包的源埠
  • DPT:包的目標埠
  • WINDOW:傳送方可以接收的資料包的大小
  • SYN URGP:指示是否需要三次握手。 0 表示不需要。

via: https://www.linode.com/docs/security/firewalls/configure-firewall-with-ufw

作者:Linode 譯者:geekpi 校對:wxy

本文由 LCTT 原創編譯,Linux中國 榮譽推出