如何在Debian 10上使用UFW设置防火墙

正确配置的防火墙是整个系统安全的最重要方面之一。

UFW(简单防火墙)是用于管理iptables防火墙规则的用户友好型前端。 它的主要目标是使iptables的管理更容易,或者顾名思义,使其不复杂。

本文介绍了如何在Debian 10上使用UFW设置防火墙。

先决条件

只有root用户或具有sudo特权的用户才能管理系统防火墙。

安装UFW#

输入以下命令以安装 ufw 包:

sudo apt updatesudo apt install ufw

检查UFW状态

安装将不会自动激活防火墙,以避免服务器锁定。 您可以通过键入以下内容来检查UFW的状态:

sudo ufw status verbose

输出将如下所示:

Status: inactive

如果激活了UFW,则输出将类似于以下内容:

UFW默认策略#

默认情况下,UFW阻止所有传入连接并允许所有出站连接。 这意味着除非您专门打开端口,否则任何尝试访问您的服务器的人都将无法连接。 服务器上运行的应用程序和服务将能够访问外界。

默认策略在 /etc/default/ufw 文件,可以使用 sudo ufw default <policy> <chain> 命令。

防火墙策略是构建更详细和用户定义的规则的基础。 通常,初始UFW默认策略是一个很好的起点。

应用档案

大多数应用程序附带一个描述服务的应用程序配置文件,并包含UFW设置。 配置文件是在 /etc/ufw/applications.d 软件包安装过程中的目录。

要列出系统上可用的所有应用程序配置文件,请执行以下操作:

sudo ufw utf --help

根据系统上安装的软件包,输出将类似于以下内容:

Available applications:
  DNS
  IMAP
  IMAPS
  OpenSSH
  POP3
  POP3S
  Postfix
  Postfix SMTPS
  Postfix Submission
  ...

要查找有关特定配置文件和包含的规则的更多信息,请使用 app info 命令,然后是配置文件名称。 例如,要获取有关OpenSSH配置文件的信息,可以使用:

sudo ufw app info OpenSSH
Profile: OpenSSH
Title: Secure shell server, an rshd replacement
Description: OpenSSH is a free implementation of the Secure Shell protocol.

Port:
  22/tcp

输出包括配置文件名称,标题,描述和防火墙规则。

允许SSH连接

在首先启用UFW防火墙之前,您需要允许传入的SSH连接。

如果要从远程位置连接到服务器,并且在显式允许传入SSH连接之前启用UFW防火墙,则将无法再连接到Debian服务器。

要将UFW防火墙配置为接受SSH连接,请运行以下命令:

sudo ufw allow OpenSSH
Rules updated
Rules updated (v6)

如果SSH服务器正在侦听默认端口22以外的端口,则需要打开该端口。

例如,您的ssh服务器侦听端口 7722,您将执行:

sudo ufw allow 7722/tcp

启用UFW#

现在,UFW防火墙已配置为允许传入SSH连接,请运行以下命令启用它:

sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup

将警告您启用防火墙可能会破坏现有的ssh连接。 输入“ y”,然后按“ Enter”。

开启端口

根据服务器上运行的应用程序,您需要打开运行服务的端口。

以下是几个如何允许传入连接到某些最常见服务的示例:

打开端口80-HTTP#

允许HTTP连接:

sudo ufw allow http

而不是 http 配置文件,您可以使用端口号, 80

sudo ufw allow 80/tcp

打开端口443-HTTPS#

允许HTTPS连接:

sudo ufw allow https

您也可以使用端口号, 443

sudo ufw allow 443/tcp

打开端口8080#

如果运行Tomcat或侦听端口的任何其他应用程序 8080 使用以下命令打开端口:

sudo ufw allow 8080/tcp

打开端口范围

使用UFW,您还可以允许访问端口范围。 打开范围时,必须指定端口协议。

例如,允许端口来自 71007200 双方 tcpudp,运行以下命令:

sudo ufw allow 7100:7200/tcpsudo ufw allow 7100:7200/udp

允许特定的IP地址

要允许从特定IP地址访问所有端口,请使用 ufw allow from 命令后跟IP地址:

sudo ufw allow from 64.63.62.61

在特定端口号上允许特定IP地址

为了允许访问特定端口,假设端口 22 在IP地址为64.63.62.61的工作机上,使用以下命令:

sudo ufw allow from 64.63.62.61 to any port 22

允许子网#

允许从IP地址的子网进行连接的命令与使用单个IP地址时的命令相同。 唯一的区别是您需要指定网络掩码。 例如,如果要允许访问从192.168.1.1到192.168.1.254的IP地址到端口3360(MySQL),则可以使用以下命令:

sudo ufw allow from 192.168.1.0/24 to any port 3306

允许连接到特定的网络接口

要允许访问特定端口,假设端口3360仅访问特定网络接口 eth2, 使用 allow in on 以及网络接口的名称:

sudo ufw allow in on eth2 to any port 3306

拒绝连接

所有传入连接的默认策略设置为 deny,这意味着UFW将阻止所有传入连接,除非您专门打开连接。

假设您打开了端口 80443,并且您的服务器正受到来自 23.24.25.0/24 网络。 拒绝来自的所有连接 23.24.25.0/24,请使用以下命令:

sudo ufw deny from 23.24.25.0/24

如果您只想拒绝访问端口 8044323.24.25.0/24 使用:

sudo ufw deny from 23.24.25.0/24 to any port 80sudo ufw deny from 23.24.25.0/24 to any port 443

编写拒绝规则与编写允许规则相同。 您只需要更换 allowdeny

删除UFW规则

删除UFW规则有两种方法。 通过规则编号并通过指定实际规则。

通过规则编号删除UFW规则比较容易,特别是如果您不熟悉UFW。

要首先按规则编号删除规则,您需要找到要删除的规则编号。 为此,请运行以下命令:

sudo ufw status numbered
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 80/tcp                     ALLOW IN    Anywhere
[ 3] 8080/tcp                   ALLOW IN    Anywhere

要删除规则号3(允许连接到端口8080的规则),可以使用以下命令:

sudo ufw delete 3

第二种方法是通过指定实际规则来删除规则。 例如,如果您添加了一个规则以打开端口 8069 您可以使用以下方法将其删除:

sudo ufw delete allow 8069

禁用UFW#

如果出于任何原因要停止UFW并停用所有运行的规则,请执行以下操作:

sudo ufw disable

以后,如果您想重新启用UTF并激活所有规则,只需键入:

sudo ufw enable

重置UFW#

重置UFW将禁用UFW,并删除所有活动规则。 如果您想还原所有更改并重新开始,这将很有帮助。

要重置UFW,只需键入以下命令:

sudo ufw reset

结论#

您已经了解了如何在Debian 10机器上安装和配置UFW防火墙。 确保限制系统正常运行所必需的所有传入连接,同时限制所有不必要的连接。

如有疑问,请在下面发表评论。

ufw防火墙iptables debian安全性

Sidebar