如何在Ubuntu 20.04上使用UFW设置防火墙
防火墙是一种用于监视和过滤传入和传出网络流量的工具。 它通过定义一组安全规则来工作，这些安全规则确定是允许还是阻止特定流量。
Ubuntu附带了一个称为UFW（非复杂防火墙）的防火墙配置工具。 它是用于管理iptables防火墙规则的用户友好型前端。 其主要目标是使防火墙管理更容易，或者顾名思义，使防火墙变得不复杂。
本文介绍如何使用UFW工具在Ubuntu 20.04上配置和管理防火墙。 正确配置的防火墙是整个系统安全的最重要方面之一。
先决条件
只有root或具有sudo特权的用户才能管理系统防火墙。 最佳实践是以sudo用户身份运行管理任务。
安装UFW
UFW是标准Ubuntu 20.04安装的一部分，应该存在于您的系统中。 如果由于某种原因未安装它，则可以通过键入以下内容来安装软件包：
sudo apt updatesudo apt install ufw
检查UFW状态编号
UFW默认情况下处于禁用状态。 您可以使用以下命令检查UFW服务的状态：
sudo ufw status verbose输出将显示防火墙状态为非活动：
Status: inactive如果激活了UFW，则输出将类似于以下内容：
UFW默认策略＃
UFW防火墙的默认行为是阻止所有传入和转发流量，并允许所有出站流量。 这意味着除非您专门打开端口，否则任何尝试访问您的服务器的人都将无法连接。 服务器上运行的应用程序和服务将能够访问外界。
默认策略在 /etc/default/ufw 文件，可以通过手动修改文件或使用 sudo ufw default <policy> <chain> 命令。
防火墙策略是构建更复杂和用户定义的规则的基础。 通常，初始UFW默认策略是一个很好的起点。
应用档案
应用程序配置文件是INI格式的文本文件，用于描述服务并包含该服务的防火墙规则。 应用程序配置文件是在 /etc/ufw/applications.d 软件包安装过程中的目录。
您可以通过键入以下命令列出服务器上所有可用的应用程序配置文件：
sudo ufw app list根据系统上安装的软件包，输出将类似于以下内容：
Available applications:
Nginx Full
Nginx HTTP
Nginx HTTPS
OpenSSH要查找有关特定概要文件和包含的规则的更多信息，请使用以下命令：
sudo ufw app info 'Nginx Full'输出显示“ Nginx Full”配置文件打开了端口 80 和 443。
Profile: Nginx Full
Title: Web Server (Nginx, HTTP + HTTPS)
Description: Small, but very powerful and efficient web server
Ports:
80,443/tcp您还可以为应用程序创建自定义配置文件。
启用UFW＃
如果要从远程位置连接到Ubuntu，则在启用UFW防火墙之前，必须明确允许传入的SSH连接。 否则，您将不再能够连接到计算机。
要将UFW防火墙配置为允许传入的SSH连接，请键入以下命令：
sudo ufw allow sshRules updated
Rules updated (v6)如果SSH在非标准端口上运行，则需要打开该端口。
例如，如果您的ssh守护程序在端口上侦听 7722，输入以下命令以允许该端口上的连接：
sudo ufw allow 7722/tcp现在，将防火墙配置为允许传入的SSH连接，您可以通过键入以下命令启用它：
sudo ufw enableCommand may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup您将被警告，启用防火墙可能会破坏现有的ssh连接，只需键入 y 并击中 Enter。
开启端口
根据系统上运行的应用程序，您可能还需要打开其他端口。 打开端口的一般语法如下：
ufw allow port_number/protocol以下是有关如何允许HTTP连接的几种方法。
第一种选择是使用服务名称。 UFW检查 /etc/services 指定服务的端口和协议的文件：
sudo ufw allow http您还可以指定端口号和协议：
sudo ufw allow 80/tcp如果未给出协议，UFW会为两者创建规则 tcp 和 udp。
另一种选择是使用应用程序配置文件。 在这种情况下，“ Nginx HTTP”：
sudo ufw allow 'Nginx HTTP'UFW还支持另一种语法，用于使用 proto 关键词：
sudo ufw allow proto tcp to any port 80端口范围
UFW还允许您打开端口范围。 开始和结束端口之间用冒号（:），并且您必须指定协议， tcp 要么 udp。
例如，如果要允许端口来自 7100 至 7200 双方 tcp 和 udp，您将运行以下命令：
sudo ufw allow 7100:7200/tcpsudo ufw allow 7100:7200/udp
特定的IP地址和端口号
要允许来自给定源IP的所有端口上的连接，请使用 from 关键字，后跟源地址。
这是将IP地址列入白名单的示例：
sudo ufw allow from 64.63.62.61如果要仅允许给定IP地址访问特定端口，请使用 to any port 关键字，后跟端口号。
例如，允许在端口上访问 22 从IP地址为 64.63.62.61，输入：
sudo ufw allow from 64.63.62.61 to any port 22子网＃
允许连接到IP地址子网的语法与使用单个IP地址时的语法相同。 唯一的区别是您需要指定网络掩码。
以下示例显示了如何允许访问以下IP地址： 192.168.1.1 至 192.168.1.254 移植 3360 （MySQL）：
sudo ufw allow from 192.168.1.0/24 to any port 3306特定的网络接口
要允许特定网络接口上的连接，请使用 in on 关键字，后跟网络接口的名称：
sudo ufw allow in on eth2 to any port 3306拒绝连接
所有传入连接的默认策略设置为 deny，如果您没有更改它，除非您专门打开连接，否则UFW将阻止所有传入连接。
编写拒绝规则与编写允许规则相同。 您只需要使用 deny 关键字代替 allow。
假设您打开了端口 80 和 443，并且您的服务器正受到来自 23.24.25.0/24 网络。 拒绝来自的所有连接 23.24.25.0/24 您将运行以下命令：
sudo ufw deny from 23.24.25.0/24这是仅拒绝访问端口的示例 80 和 443 从 23.24.25.0/24 您可以使用以下命令：
sudo ufw deny proto tcp from 23.24.25.0/24 to any port 80,443删除UFW规则
通过规则编号和指定实际规则，可以通过两种不同的方式删除UFW规则。
通过规则编号删除规则更加容易，尤其是当您不熟悉UFW时。 要首先通过规则编号删除规则，您需要找到要删除的规则的编号。 要获取编号规则的列表，请使用 ufw status numbered 命令：
sudo ufw status numberedStatus: active
To Action From
-- ------ ----
[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 8080/tcp ALLOW IN Anywhere删除规则编号 3，它允许连接到端口 8080，您将输入：
sudo ufw delete 3第二种方法是通过指定实际规则来删除规则。 例如，如果您添加了一个规则以打开端口 8069 您可以使用以下方法将其删除：
sudo ufw delete allow 8069禁用UFW＃
如果出于任何原因要停止UFW并停用所有规则，则可以使用：
sudo ufw disable以后，如果您想重新启用UTF并激活所有规则，只需键入：
sudo ufw enable重置UFW＃
重置UFW将禁用UFW，并删除所有活动规则。 如果您想还原所有更改并重新开始，这将很有帮助。
要重置UFW，请键入以下命令：
sudo ufw resetIP伪装＃
IP Masquerading是Linux内核中NAT（网络地址转换）的一种变体，它通过重写源IP地址和目标IP地址和端口来转换网络流量。 借助IP伪装，您可以使用一台充当网关的Linux计算机，允许专用网络中的一台或多台计算机与Internet通信。
用UFW配置IP伪装涉及几个步骤。
首先，您需要启用IP转发。 为此，请打开 /etc/ufw/sysctl.conf 文件：
sudo nano /etc/ufw/sysctl.conf找到并取消注释读取的行 net.ipv4.ip_forward = 1：
/etc/ufw/sysctl.conf
net/ipv4/ip_forward=1接下来，您需要配置UFW以允许转发数据包。 打开UFW配置文件：
sudo nano /etc/default/ufw找到 DEFAULT_FORWARD_POLICY 键，然后从 DROP 至 ACCEPT：
/ etc / default / ufw
DEFAULT_FORWARD_POLICY="ACCEPT"现在，您需要为 POSTROUTING 在链 nat 表和化妆舞会规则。 为此，请打开 /etc/ufw/before.rules 文件并附加以黄色突出显示的行，如下所示：
sudo nano /etc/ufw/before.rules追加以下几行：
/etc/ufw/before.rules
#NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]
# Forward traffic through eth0 - Change to public network interface
-A POSTROUTING -s 10.8.0.0/16 -o eth0 -j MASQUERADE
# don't delete the 'COMMIT' line or these rules won't be processed
COMMIT别忘了更换 eth0 在里面 -A POSTROUTING 匹配公共网络接口名称的行：
完成后，保存并关闭文件。
最后，通过禁用和重新启用UFW重新加载UFW规则：
sudo ufw disablesudo ufw enable
结论＃
我们已经向您展示了如何在Ubuntu 20.04服务器上安装和配置UFW防火墙。 确保限制系统正常运行所必需的所有传入连接，同时限制所有不必要的连接。
有关此主题的更多信息，请访问UFW手册页。
如有疑问，请在下面发表评论。
ufw防火墙iptables Ubuntu安全性