[linux]-ubuntu使用ufw及相关配置

ufw

爷来辣

4153人浏览 · 2022-08-17 21:45:25

爷来辣 · 2022-08-17 21:45:25 发布

导语：记录一下ufw的使用方式以及规则配置文件的更改。

UFW配置文件

虽然可以通过命令行添加简单的规则，但有些时候也需要添加或删除更加高级或特定的防火墙规则。在运行通过终端输入的规则之前，UFW会首先运行before.rules文件中的规则，该文件允许本地环回（loopback）、ping以及DHCP通过防火墙。要对这些规则添加修改，请编辑/etc/ufw/before.rules文件。在相同目录下同样存在一个名为before6.rules的文件用来对IPv6的规则进行配置。

同样的，还存在after.rule和after6.rule文件，用来添加在UFW运行从命令行输入的规则后需要添加的任何规则。

另一个配置文件位于/etc/default/ufw。在该配置文件中可以禁用或启用IPv6，设置默认规则，还可以设置UFW来管理内置的防火墙链。

# 启用UFW并强制执行防火墙规则
ufw enable active

启用UFW日志记录


sudo ufw logging on
日志级别可通过sudo ufw logging low|medium|high设置，low、medium、high分别对应从低到高的级别，默认级别为low。
一条正常的日志记录与以下内容类似，它位于/var/logs/ufw:
Sep 16 15:08:14 <hostname> kernel: [UFW BLOCK] IN=eth0 OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:00:00 SRC=123.45.67.89 DST=987.65.43.21 LEN=40 TOS=0x00 PREC=0x00 TTL=249 ID=8475 PROTO=TCP SPT=48247 DPT=22 WINDOW=1024 RES=0x00 SYN URGP=0
BashCopy
最开始的值分别表示日期，时间以及您的主机名。其他重要的字段包括：

[UFW BLOCK]：此位置表示日志描述所定位的位置。本例中，日志是在阻止连接时记录的
IN：如果该字段有值，表示这是一个传入连接
OUT：如果该字段有值，表示这是一个传出连接
MAC：目的MAC地址和源MAC地址的组合
SRC：数据包的源IP地址
DST：数据包的目的IP地址
LEN：数据包长度
TTL：TTL（Time To Live）包，或称为生存时间。表示在没有找到目的地址的情况下，数据包会在路由器之间传输多久直至过期
PROTO：数据包的协议
SPT：数据包的源端口
DPT：数据包的目标端口
WINDOW：发送方可以接收的数据包大小
SYN URGP：表示是否需要三次握手，0表示不需要

应用配置文件

应用程序配置文件是INI格式的文本文件，描述了服务的防火墙规则。在安装软件期间，会在/etc/ufw/applications.d目录中创建应用程序配置文件。

您可以通过sudo ufw app list命令列出服务器上所有可用的应用程序配置文件。sudo ufw app info命令可以查找指定配置文件包含的防火墙规则详细信息。

sudo ufw app info 'Nginx Full'命令将会查找Nginx服务的防火墙规则的配置信息。您也可以为应用创建自定义配置文件。

启用UFW

在启用UFW防火墙之前，必须明确允许SSH的连接。否则，您将无法连接到计算机。

sudo ufw allow ssh命令将UFW防火墙配置为允许SSH的连接。如果SSH不是监听默认端口22。则需要打开该端口。

如果您的ssh服务监听端口7722，请运行命令sudo ufw allow 7722/tcp允许该端口上的连接。当已将防火墙配置为允许SSH的连接时，您可以运行命令来启用它。

sudo ufw enable将会启用ubuntu防火墙，并提示你命令可能会中断SSH的连接是否要进行该操作。

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y。只需键入y并按Enter回车。

打开端口

根据系统上运行的应用程序，您可能还需要打开其他端口。打开端口的一般语法是ufw allow port_number/protocol。如果未给出协议，则UFW会同时为tcp和udp创建规则。

以下是关于如何允许HTTP连接的几种方法。第一种选择是使用服务名称。UFW将检查/etc/services文件中服务指定的端口和协议。命令是sudo ufw allow http。

另一个选择是使用应用程序的配置文件。比如命令sudo ufw allow 'Nginx HTTP'将会应用Nginx服务防火墙配置文件，打开端口80和443。

UFW还允许您打开指定的端口范围。起始端口和结束端口用冒号:分隔，并且您必须指定协议tcp或udp。

例如，如果要同时在tcp和udp允许来自7100到7200端口的连接，则可以运行命令sudo ufw allow 7100:7200/tcp。

指定端口号最常用的方式例如命令sudo ufw allow 80将会打开80端口。UFW还支持使用proto关键字指定协议。

sudo ufw allow 80 #tcp和udp
sudo ufw allow 80/tcp #仅tcp
sudo ufw allow proto tcp to any port 80

允许源IP地址接口/网卡

要允许来自指定源IP的连接，请使用from关键字，后跟源地址。如果要仅允许指定的IP地址访问指定的端口，请使用to any port关键字，后跟端口号。

除了允许指定的IP地址之外你还可以指定IP地址的范围，或者是子网。允许IP地址子网的语法与使用单个IP地址时的语法相同。唯一的区别是您需要指定子网掩码。

在允许指定的网络接口上的连接时，请使用in on关键字，后跟接口的名称。

下面是一个示例，显示如何允许从192.168.1.1到192.168.1.254的IP地址，即192.168.1.0/24网段。连接到MySQL端口3360。

sudo ufw allow from 192.168.1.100 #仅允许单IP地址
sudo ufw allow from 192.168.1.100 to any port 3306 #仅允许单IP地址连接3306
sudo ufw allow from 192.168.1.0/24 to any port 3306
sudo ufw allow in on eth2 to any port 3306

拒绝连接

所有传入连接的默认策略均设置为deny，如果您未更改默认策略，除非打开指定端口的连接，否则UFW会阻止所有传入连接。

撰写拒绝规则与撰写允许规则相同。您只需要使用deny关键字而不是allow。

假设您打开了端口80和443，并且服务器受到23.24.25.0/24网络的攻击。要拒绝来自23.24.25.0/24的所有连接。

sudo ufw deny from 23.24.25.0/24命令将会拒绝23.24.25.0/24网段的连接，如果你仅需要拒绝指定IP地址的连接，则不需要添加子网掩码。

你还可以拒绝指定的IP地址连接到指定的端口，例如命令sudo ufw deny proto tcp from 23.24.25.0/24 to any port 80,443。将会拒绝23.24.25.0/24访问端口80和443的示例

sudo ufw deny from 23.24.25.100 #拒绝指定的IP连接
sudo ufw deny from 23.24.25.0/24  #整个网段
sudo ufw deny proto tcp from 23.24.25.0/24 to any port 80,443

防火墙规则

有两种方法删除UFW规则，第一种是通过规则编号，第二种是指定实际规则来删除UFW规则。按规则编号删除ufw防火墙规则比较容易，尤其是您不熟悉UFW时。

如果你要通过规则编号删除规则，您需要找到要删除的规则的编号。要获取规则编号的列表，请使用sudo ufw status numbered命令。

假设要删除的ufw规则编号是3，该规则号允许连接到端口8080。你可运行命令sudo ufw delete 3。

第二种方法是通过指定实际规则来删除规则。例如，如果您打开了8069端口的规则，则可以运行命令sudo ufw delete allow 8069将其删除。

sudo ufw status numbered #查看防火墙的状态
sudo ufw delete 3 #根据编号删除
sudo ufw delete allow 8069 通过规则删除规则

/etc/ufw/user.rules 这个文件中是我们设置的一些防火墙规则，打开大概就能看明白，有时我们可以直接修改这个文件，不用使用命令来设定。修改后记得ufw reload重启ufw使得新规则生效。

/etc/ufw/user.rules

*filter
:ufw-user-input - [0:0]
:ufw-user-output - [0:0]
:ufw-user-forward - [0:0]
:ufw-before-logging-input - [0:0]
:ufw-before-logging-output - [0:0]
:ufw-before-logging-forward - [0:0]
:ufw-user-logging-input - [0:0]
:ufw-user-logging-output - [0:0]
:ufw-user-logging-forward - [0:0]
:ufw-after-logging-input - [0:0]
:ufw-after-logging-output - [0:0]
:ufw-after-logging-forward - [0:0]
:ufw-logging-deny - [0:0]
:ufw-logging-allow - [0:0]
:ufw-user-limit - [0:0]
:ufw-user-limit-accept - [0:0]
### RULES ###

### tuple ### allow any 1112 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 1112 -j ACCEPT
-A ufw-user-input -p udp --dport 1112 -j ACCEPT

### tuple ### allow any 22 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 22 -j ACCEPT
-A ufw-user-input -p udp --dport 22 -j ACCEPT

### tuple ### allow any 80 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 80 -j ACCEPT
-A ufw-user-input -p udp --dport 80 -j ACCEPT

### tuple ### allow any 443 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 443 -j ACCEPT
-A ufw-user-input -p udp --dport 443 -j ACCEPT

### tuple ### allow any 6443 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 6443 -j ACCEPT
-A ufw-user-input -p udp --dport 6443 -j ACCEPT

### tuple ### allow any 10248 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 10248 -j ACCEPT
-A ufw-user-input -p udp --dport 10248 -j ACCEPT

### tuple ### allow any 2379 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 2379 -j ACCEPT
-A ufw-user-input -p udp --dport 2379 -j ACCEPT

### tuple ### allow any 2380 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 2380 -j ACCEPT
-A ufw-user-input -p udp --dport 2380 -j ACCEPT

### tuple ### allow any 10249 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 10249 -j ACCEPT
-A ufw-user-input -p udp --dport 10249 -j ACCEPT

### tuple ### allow any 3306 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 3306 -j ACCEPT
-A ufw-user-input -p udp --dport 3306 -j ACCEPT

### tuple ### allow any 2381 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 2381 -j ACCEPT
-A ufw-user-input -p udp --dport 2381 -j ACCEPT

### tuple ### allow any 10257 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 10257 -j ACCEPT
-A ufw-user-input -p udp --dport 10257 -j ACCEPT

### tuple ### allow any 10259 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 10259 -j ACCEPT
-A ufw-user-input -p udp --dport 10259 -j ACCEPT

### tuple ### allow any 31838 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 31838 -j ACCEPT
-A ufw-user-input -p udp --dport 31838 -j ACCEPT

### tuple ### allow any 31618 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 31618 -j ACCEPT
-A ufw-user-input -p udp --dport 31618 -j ACCEPT

### tuple ### allow any 31332 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 31332 -j ACCEPT
-A ufw-user-input -p udp --dport 31332 -j ACCEPT

### tuple ### allow any 2181 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 2181 -j ACCEPT
-A ufw-user-input -p udp --dport 2181 -j ACCEPT

### tuple ### allow any 30314 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 30314 -j ACCEPT
-A ufw-user-input -p udp --dport 30314 -j ACCEPT

### tuple ### allow any 10250 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 10250 -j ACCEPT
-A ufw-user-input -p udp --dport 10250 -j ACCEPT

### tuple ### allow any 9100 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 9100 -j ACCEPT
-A ufw-user-input -p udp --dport 9100 -j ACCEPT

### tuple ### allow any 10256 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 10256 -j ACCEPT
-A ufw-user-input -p udp --dport 10256 -j ACCEPT

### tuple ### allow any 30098 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 30098 -j ACCEPT
-A ufw-user-input -p udp --dport 30098 -j ACCEPT

### tuple ### allow any 31987 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 31987 -j ACCEPT
-A ufw-user-input -p udp --dport 31987 -j ACCEPT

### tuple ### allow any 33175 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 33175 -j ACCEPT
-A ufw-user-input -p udp --dport 33175 -j ACCEPT

### tuple ### allow any 19100 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 19100 -j ACCEPT
-A ufw-user-input -p udp --dport 19100 -j ACCEPT

### tuple ### allow any 32001 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 32001 -j ACCEPT
-A ufw-user-input -p udp --dport 32001 -j ACCEPT

### END RULES ###

### LOGGING ###
-A ufw-after-logging-forward -j LOG --log-prefix "[UFW BLOCK] " -m limit --limit 3/min --limit-burst 10
-I ufw-logging-deny -m conntrack --ctstate INVALID -j RETURN -m limit --limit 3/min --limit-burst 10
-A ufw-logging-deny -j LOG --log-prefix "[UFW BLOCK] " -m limit --limit 3/min --limit-burst 10
-A ufw-logging-allow -j LOG --log-prefix "[UFW ALLOW] " -m limit --limit 3/min --limit-burst 10
### END LOGGING ###

### RATE LIMITING ###
-A ufw-user-limit -m limit --limit 3/minute -j LOG --log-prefix "[UFW LIMIT BLOCK] "
-A ufw-user-limit -j REJECT
-A ufw-user-limit-accept -j ACCEPT
### END RATE LIMITING ###
COMMIT

启动并应用ufw规则

echo -e  "y\n"| ufw enable
cp user.rules /etc/ufw/user.rules
ufw status

参考

https://manpages.ubuntu.com/manpages/focal/man8/ufw.8.html

https://abelsu7.top/2018/09/06/configure-firewall-with-ufw/

https://www.myfreax.com/how-to-setup-a-firewall-with-ufw-on-ubuntu-18-04/

Linux

更多推荐

网卡速率和双工模式的配置

http://linux.chinaitlab.com/system/792187.html1、mii-tool 配置网络设备协商方式的工具； 1.1 mii-tool 介绍； mii-tool - view, manipulate media-independent interface status （mii-tool 是查看，管理介质的网络接口的状态）

Linux

Linux虚拟文件系统之文件系统卸载（sys_umount())

Linux中卸载文件系统由umount系统调用实现，入口函数为sys_umount()。较于文件系统的安装较为简单，下面是具体的实现。1. /*sys_umont系统调用*/2. SYSCALL_DEFINE2(umount, char __user *, name, int, flags)3. {4.struct path path;

Linux

Linux系统下超级终端Minicom的使用方法（例如：连接交换机，路由器等）转http://baike.baidu.com/view/2911642.htm?fr=ala0_1

Linux系统下超级终端Minicom的使用方法 　　Linux下的Minicom的功能与下的超级终端功能相似，适于在通过超级终端对设备的管理以及对嵌入操作系统的升级，现写出Minicom的使用手册： 　　1．启动minicom 　　以root权限登录系统 　　使用命令 　　minicom –s 则minicom启动，屏

Linux

所有评论(0)

查看更多评论

爷来辣

@xujiamin0022016

已为社区贡献6条内容