如何在Debian 9上使用UFW设置防火墙
Debian包含几个软件包，这些软件包提供了用于管理作为基本系统一部分安装的iptables的防火墙的工具。 对于初学者来说，学习如何使用iptables工具正确配置和管理防火墙可能很复杂，但是UFW简化了它。
UFW（非复杂防火墙）是用于管理iptables防火墙规则的用户友好型前端，其主要目标是使iptables的管理变得更容易，或者名称不复杂。
在本教程中，我们将向您展示如何在Debian 9上使用UFW设置防火墙。
先决条件
在继续本教程之前，请确保您以sudo特权登录的用户。
安装UFW
默认情况下，Debian 9中未安装UFW。您可以安装 ufw 通过键入以下内容来打包：
sudo apt install ufw检查UFW状态编号
安装过程完成后，您可以使用以下命令检查UFW的状态：
sudo ufw status verbose输出将如下所示：
Status: inactive
UFW默认情况下处于禁用状态。 安装将不会自动激活防火墙，以避免服务器锁定。
如果激活了UFW，则输出将类似于以下内容：
UFW默认策略＃
默认情况下，UFW将阻止所有传入连接并允许所有出站连接。 这意味着，除非您专门打开端口，否则尝试访问服务器的任何人都将无法连接，而服务器上运行的所有应用程序和服务都将可以访问外部环境。
默认策略在 /etc/default/ufw 文件，可以使用 sudo ufw default <policy> <chain> 命令。
防火墙策略是构建更详细和用户定义的规则的基础。 在大多数情况下，初始UFW默认策略是一个很好的起点。
应用档案
当使用 apt 它将添加一个应用程序配置文件到 /etc/ufw/applications.d 描述服务并包含UFW设置的目录。
要列出系统上可用的所有应用程序配置文件，请执行以下操作：
sudo ufw app list根据系统上安装的软件包，输出将类似于以下内容：
Available applications:
DNS
IMAP
IMAPS
OpenSSH
POP3
POP3S
Postfix
Postfix SMTPS
Postfix Submission
...
要查找有关特定概要文件和包含的规则的更多信息，请使用以下命令：
sudo ufw app info OpenSSHProfile: OpenSSH
Title: Secure shell server, an rshd replacement
Description: OpenSSH is a free implementation of the Secure Shell protocol.
Port:
22/tcp
A上面的输出告诉我们OpenSSH配置文件打开端口 22。
允许SSH连接
首先启用UFW防火墙之前，我们需要允许传入的SSH连接。
如果要从远程位置连接到服务器（几乎总是这样），并且在显式允许传入SSH连接之前启用UFW防火墙，则将无法再连接到Debian服务器。
要将UFW防火墙配置为允许传入的SSH连接，请运行以下命令：
sudo ufw allow OpenSSHRules updated
Rules updated (v6)
如果SSH服务器正在侦听默认端口22以外的端口，则需要打开该端口。
例如，您的ssh服务器侦听端口 8822，则可以使用以下命令允许该端口上的连接：
sudo ufw allow 8822/tcp启用UFW＃
现在您的UFW防火墙已配置为允许传入SSH连接，您可以通过运行以下命令启用它：
sudo ufw enableCommand may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup
您将被警告，启用防火墙可能会破坏现有的ssh连接，只需键入 y 并击中 Enter。
允许其他端口上的连接
根据服务器上运行的应用程序和您的特定需求，您还需要允许对其他端口的传入访问。
以下是几个如何允许传入连接到某些最常见服务的示例：
打开端口80-HTTP＃
可以使用以下命令来允许HTTP连接：
sudo ufw allow http而不是 http 配置文件，您可以使用端口号， 80：
sudo ufw allow 80/tcp打开端口443-HTTPS＃
可以使用以下命令来允许HTTPS连接：
sudo ufw allow https要达到相同而不是 https 您可以使用端口号， 443：
sudo ufw allow 443/tcp打开端口8080＃
如果运行Tomcat或侦听端口8080的任何其他应用程序，则可以使用以下方式允许传入连接：
sudo ufw allow 8080/tcp允许端口范围
使用UFW，您还可以允许访问端口范围。 当允许UFW使用端口范围时，您必须指定协议， tcp 要么 udp。
例如，允许端口来自 7100 至 7200 双方 tcp 和 udp，运行以下命令：
sudo ufw allow 7100:7200/tcpsudo ufw allow 7100:7200/udp
允许特定的IP地址
如果要允许从特定IP地址访问所有端口，请使用 ufw allow from 命令后跟IP地址：
sudo ufw allow from 64.63.62.61允许特定端口号上的特定IP地址
要允许访问特定端口，假设您的工作计算机的IP地址为64.63.62.61的端口22使用以下命令：
sudo ufw allow from 64.63.62.61 to any port 22允许子网＃
允许从IP地址的子网进行连接的命令与使用单个IP地址时的命令相同，唯一的区别是您需要指定网络掩码。 例如，如果要允许访问从192.168.1.1到192.168.1.254的IP地址到端口 3360 （MySQL），您将运行以下命令：
sudo ufw allow from 192.168.1.0/24 to any port 3306允许连接到特定的网络接口
要允许访问特定端口，假设端口 3360 在特定的网络接口上 eth2， 使用 allow in on 命令，后跟接口名称：
sudo ufw allow in on eth2 to any port 3306拒绝连接
所有传入连接的默认策略设置为 deny 这意味着除非您专门打开连接，否则UFW将阻止所有传入连接。
假设您打开了端口 80 和 443 并且您的服务器正受到来自 23.24.25.0/24 网络。 拒绝来自的所有连接 23.24.25.0/24 ，运行以下命令：
sudo ufw deny from 23.24.25.0/24如果您只想拒绝访问端口 80 和 443 从 23.24.25.0/24 您将使用：
sudo ufw deny from 23.24.25.0/24 to any port 80sudo ufw deny from 23.24.25.0/24 to any port 443
编写拒绝规则与编写允许规则相同，只需要替换 allow 与 deny。
删除UFW规则
删除UFW规则有两种方法，分别是通过规则编号和指定实际规则。
通过规则编号删除UFW规则比较容易，特别是如果您不熟悉UFW。
要先按规则编号删除规则，您需要找到要删除的规则编号。 为此，请运行以下命令：
sudo ufw status numberedStatus: active
To Action From
-- ------ ----
[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 8080/tcp ALLOW IN Anywhere
例如，要删除规则号3（允许连接到端口8080的规则），应输入：
sudo ufw delete 3第二种方法是通过指定实际规则来删除规则。 例如，如果您添加了一个规则以打开端口 8069 您可以使用以下方法将其删除：
sudo ufw delete allow 8069禁用UFW＃
如果出于任何原因要停止UFW并停用所有运行的规则，请执行以下操作：
sudo ufw disable以后，如果您想重新启用UTF并激活所有规则，只需键入：
sudo ufw enable重置UFW＃
重置UFW将禁用UFW，并删除所有活动规则。 如果您想还原所有更改并重新开始，这将很有帮助。
要重置UFW，只需键入以下命令：
sudo ufw reset结论＃
您已经了解了如何在Debian 9机器上安装和配置UFW防火墙。 确保限制系统正常运行所需的所有传入连接，同时限制所有不必要的连接。
如有疑问，请在下面发表评论。
ufw防火墙iptables debian安全性