如何在Ubuntu18.04上使用UFW设置防火墙
介绍
UFW 或简单防火墙是 iptables 的接口，旨在简化配置防火墙的过程。 虽然 iptables 是一个可靠且灵活的工具，但初学者可能很难学习如何使用它来正确配置防火墙。 如果您希望开始保护您的网络，并且不确定要使用哪种工具，那么 UFW 可能是您的正确选择。
本教程将向您展示如何在 Ubuntu 18.04 上使用 UFW 设置防火墙。
先决条件
要遵循本教程，您将需要：
- 一台具有
sudo非 root 用户的 Ubuntu 18.04 服务器，您可以按照 使用 Ubuntu 18.04 的初始服务器设置教程 中的步骤 1-3 进行设置。
UFW 默认安装在 Ubuntu 上。 如果由于某种原因被卸载，您可以使用 sudo apt install ufw 安装它。
第 1 步 — 确保启用 IPv6
在最新版本的 Ubuntu 中，默认启用 IPv6。 实际上，这意味着添加到服务器的大多数防火墙规则将包括 IPv4 和 IPv6 版本，后者在 UFW 状态命令的输出中由 v6 标识。 要确保 IPv6 已启用，您可以在 /etc/default/ufw 检查您的 UFW 配置文件。 使用 nano 或您喜欢的命令行编辑器打开此文件：
sudo nano /etc/default/ufw
然后确保 IPV6 的值设置为 yes。 它应该如下所示：
/etc/default/ufw 摘录
IPV6=yes
保存并关闭文件。 如果您使用 nano，您可以通过键入 CTRL+X，然后键入 Y 和 ENTER 来确认。
在本指南的后续步骤中启用 UFW 时，它将被配置为同时编写 IPv4 和 IPv6 防火墙规则。
第 2 步 — 设置默认策略
如果您刚刚开始使用 UFW，第一步是检查您的默认防火墙策略。 这些规则控制如何处理不明确匹配任何其他规则的流量。
默认情况下，UFW 设置为拒绝所有传入连接并允许所有传出连接。 这意味着任何试图访问您的服务器的人都无法连接，而服务器内的任何应用程序都可以访问外部世界。 允许特定服务和端口的附加规则包含在此一般政策的例外情况中。
为确保您能够按照本教程的其余部分进行操作，您现在将为传入和传出流量设置 UFW 默认策略。
要将默认的 UFW 传入策略设置为 deny，请运行：
sudo ufw default deny incoming
OutputDefault incoming policy changed to 'deny' (be sure to update your rules accordingly)
要将默认的 UFW 传出策略设置为 allow，请运行：
sudo ufw default allow outgoing
OutputDefault outgoing policy changed to 'allow' (be sure to update your rules accordingly)
这些命令将默认设置为拒绝传入并允许传出连接。 仅这些防火墙默认值可能足以满足个人计算机的需要，但服务器通常需要响应来自外部用户的传入请求。 我们接下来会研究这个。
第 3 步 — 允许 SSH 连接
如果您现在启用 UFW 防火墙，它将拒绝所有传入连接。 这意味着您需要创建明确允许合法传入连接（例如 SSH 或 HTTP 连接）的规则，如果您希望您的服务器响应这些类型的请求。 如果您使用的是云服务器，您可能希望允许传入的 SSH 连接，以便您可以连接和管理您的服务器。
允许 OpenSSH UFW 应用程序配置文件
安装后，大多数依赖网络连接的应用程序将在 UFW 中注册应用程序配置文件，这使用户能够快速允许或拒绝对服务的外部访问。 您可以通过以下方式检查当前在 UFW 中注册了哪些配置文件：
sudo ufw app list
OutputAvailable applications: OpenSSH
要启用 OpenSSH 应用程序配置文件，请运行：
sudo ufw allow OpenSSH
OutputRule added Rule added (v6)
这将创建防火墙规则以允许端口 22 上的所有连接，这是 SSH 守护程序默认侦听的端口。
通过服务名称允许 SSH
配置 UFW 以允许传入 SSH 连接的另一种方法是引用其服务名称：ssh。
sudo ufw allow ssh
OutputRule added Rule added (v6)
UFW 根据 /etc/services 文件知道服务使用哪些端口和协议。
通过端口号允许 SSH
或者，您可以通过指定端口而不是应用程序配置文件或服务名称来编写等效规则。 例如，此命令的工作方式与前面的示例相同：
sudo ufw allow 22
OutputRule added Rule added (v6)
如果您将 SSH 守护程序配置为使用不同的端口，则必须指定适当的端口。 例如，如果您的 SSH 服务器正在侦听端口 2222，您可以使用以下命令来允许该端口上的连接：
sudo ufw allow 2222
OutputRule added Rule added (v6)
现在您的防火墙已配置为允许传入 SSH 连接，您可以启用它。
第 4 步 - 启用 UFW
您的防火墙现在应该配置为允许 SSH 连接。 要验证到目前为止添加了哪些规则，即使防火墙仍处于禁用状态，您也可以使用：
sudo ufw show added
OutputAdded user rules (see 'ufw status' for running firewall): ufw allow OpenSSH
在确认您有允许传入 SSH 连接的规则后，您可以使用以下命令启用防火墙：
sudo ufw enable
OutputCommand may disrupt existing ssh connections. Proceed with operation (y|n)? y Firewall is active and enabled on system startup
您将收到一条警告，指出该命令可能会中断现有的 SSH 连接。 您已经设置了允许 SSH 连接的防火墙规则，因此可以继续。 使用 y 响应提示并点击 ENTER。
防火墙现在处于活动状态。 运行 sudo ufw status verbose 命令查看设置的规则。 本教程的其余部分将更详细地介绍如何使用 UFW，例如允许或拒绝不同类型的连接。
第 5 步 — 允许其他连接
此时，您应该允许服务器需要响应的所有其他连接。 您应该允许的连接取决于您的特定需求。 您已经知道如何编写允许基于应用程序配置文件、服务名称或端口的连接的规则； 您已经在端口 22 上为 SSH 执行此操作。 您也可以这样做：
- 端口 80 上的 HTTP，这是未加密的 Web 服务器使用的，使用
sudo ufw allow http或sudo ufw allow 80 - 端口 443 上的 HTTPS，这是加密 Web 服务器使用的，使用
sudo ufw allow https或sudo ufw allow 443 - 具有 HTTP 和 HTTPS 的 Apache，使用
sudo ufw allow ‘Apache Full’ - 具有 HTTP 和 HTTPS 的 Nginx，使用
sudo ufw allow ‘Nginx Full’
不要忘记使用 sudo ufw app list 检查哪些应用程序配置文件可用于您的服务器。
除了指定端口或已知服务名称外，还有其他几种方法可以允许连接。 接下来我们将看到其中的一些。
特定端口范围
您可以使用 UFW 指定端口范围。 一些应用程序使用多个端口，而不是单个端口。
例如，要允许使用端口 6000-6007 的 X11 连接，请使用以下命令：
sudo ufw allow 6000:6007/tcp sudo ufw allow 6000:6007/udp
使用 UFW 指定端口范围时，您必须指定规则应适用的协议（tcp 或 udp）。 我们之前没有提到这一点，因为不指定协议会自动允许两种协议，这在大多数情况下是可以的。
特定 IP 地址
使用 UFW 时，您还可以在规则中指定 IP 地址。 例如，如果要允许来自特定 IP 地址的连接，例如 203.0.113.4 的工作或家庭 IP 地址，则需要使用 from 参数，然后提供您的 IP 地址想要允许：
sudo ufw allow from 203.0.113.4
OutputRule added
您还可以通过在端口号后添加 to any port 来指定允许 IP 地址连接的端口。 例如，如果要允许 203.0.113.4 连接到端口 22 (SSH)，请使用以下命令：
sudo ufw allow from 203.0.113.4 to any port 22
OutputRule added
子网
如果要允许 IP 地址的子网，可以使用 CIDR 表示法 来指定网络掩码。 例如，如果要允许从 203.0.113.1 到 203.0.113.254 的所有 IP 地址，可以使用以下命令：
sudo ufw allow from 203.0.113.0/24
OutputRule added
同样，您也可以指定允许子网 203.0.113.0/24 连接的目标端口。 同样，我们将使用端口 22 (SSH) 作为示例：
sudo ufw allow from 203.0.113.0/24 to any port 22
OutputRule added
与特定网络接口的连接
如果要创建仅适用于特定网络接口的防火墙规则，可以通过指定“allow in on”后跟网络接口名称来实现。
在继续之前，您可能需要查找网络接口。 为此，请使用以下命令：
ip addr
Output Excerpt2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state . . . 3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default . . .
突出显示的输出指示网络接口名称。 它们通常被命名为 eth0 或 enp3s2。
因此，如果您的服务器有一个名为 eth0 的公共网络接口，您可以使用以下命令允许 HTTP 流量（端口 80）到它：
sudo ufw allow in on eth0 to any port 80
OutputRule added Rule added (v6)
这样做将允许您的服务器接收来自公共互联网的 HTTP 请求。
或者，如果您希望您的 MySQL 数据库服务器（端口 3306）侦听专用网络接口 eth1 上的连接，例如，您可以使用以下命令：
sudo ufw allow in on eth1 to any port 3306
OutputRule added Rule added (v6)
这将允许您专用网络上的其他服务器连接到您的 MySQL 数据库。
第 6 步 — 拒绝连接
如果您尚未更改传入连接的默认策略，则 UFW 配置为拒绝所有传入连接。 通常，这通过要求您创建明确允许特定端口和 IP 地址通过的规则来简化创建安全防火墙策略的过程。
但是，有时您会希望根据源 IP 地址或子网拒绝特定连接，这可能是因为您知道您的服务器正在从那里受到攻击。 此外，如果您想将默认传入策略更改为 allow（不推荐），则需要为您不使用的任何服务或 IP 地址创建 deny 规则想要允许连接。
要编写 deny 规则，可以使用前面描述的命令，将 allow 替换为 deny。
例如，要拒绝 HTTP 连接，您可以使用以下命令：
sudo ufw deny http
OutputRule added Rule added (v6)
或者，如果您想拒绝来自 203.0.113.4 的所有连接，您可以使用以下命令：
sudo ufw deny from 203.0.113.4
OutputRule added
在某些情况下，您可能还想阻止来自服务器的传出连接。 要拒绝所有用户使用服务器上的端口，例如用于 SMTP 流量的端口 25，您可以使用 deny out 后跟端口号：
sudo ufw deny out 25
OutputRule added Rule added (v6)
这将阻止服务器上的所有传出 SMTP 流量。
第 7 步 — 删除规则
知道如何删除防火墙规则与知道如何创建它们一样重要。 有两种不同的方式来指定删除哪些规则：通过规则编号或通过其人类可读的面额（类似于在创建规则时指定规则的方式）。
按编号删除 UFW 规则
要按编号删除 UFW 规则，首先您需要获取所有防火墙规则的编号列表。 UFW status 命令具有在每个规则旁边显示数字的选项，如下所示：
sudo ufw status numbered
Numbered Output:Status: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 15.15.15.0/24
[ 2] 80 ALLOW IN Anywhere
如果您决定要删除允许端口 80 (HTTP) 连接的规则编号 2，您可以在 UFW 删除命令中指定它，如下所示：
sudo ufw delete 2
OutputDeleting: allow 80 Proceed with operation (y|n)? y Rule deleted
这将提示确认，然后删除允许 HTTP 连接的规则 2。 请注意，如果您启用了 IPv6，您还需要删除相应的 IPv6 规则。
按名称删除 UFW 规则
除了使用规则编号，您还可以通过人类可读的命名来引用规则，该命名基于规则的类型（通常为 allow 或 deny）和服务名称或端口号这是此规则的目标，或者是应用程序配置文件名称（如果使用）。 例如，如果要删除以前启用的名为 Apache Full 的应用程序配置文件的 allow 规则，可以使用：
sudo ufw delete allow "Apache Full"
OutputRule deleted Rule deleted (v6)
delete 命令的工作方式与通过名称或端口引用服务创建的规则相同。 例如，如果您之前设置了一条规则以允许使用 sudo ufw allow http 进行 HTTP 连接，那么您可以通过以下方式删除该规则：
sudo ufw delete allow http
OutputRule deleted Rule deleted (v6)
因为在指定规则时服务名称可以与端口号互换，所以您也可以引用与 allow 80 相同的规则，而不是 allow http：
sudo ufw delete allow 80
OutputRule deleted Rule deleted (v6)
按名称删除 UFW 规则时，如果存在 IPv4 和 IPv6 规则，则会将其删除。
第 8 步 — 检查 UFW 状态和规则
您可以随时使用以下命令检查 UFW 的状态：
sudo ufw status verbose
如果 UFW 被禁用（默认情况下），您将看到如下内容：
OutputStatus: inactive
如果 UFW 处于活动状态（如果您按照步骤 3 进行操作，则应该处于活动状态），输出将显示它处于活动状态，并且会列出所有设置的规则。 例如，如果防火墙设置为允许来自任何地方的 SSH（端口 22）连接，则输出可能如下所示：
OutputStatus: active Logging: on (low) Default: deny (incoming), allow (outgoing), disabled (routed) New profiles: skip To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere
如果要检查 UFW 如何配置防火墙，请使用 status 命令。
第 9 步 - 禁用或重置 UFW（可选）
如果您决定不想使用 UFW，可以使用以下命令禁用它：
sudo ufw disable
OutputFirewall stopped and disabled on system startup
您使用 UFW 创建的任何规则都将不再有效。 如果您以后需要激活它，您可以随时运行 sudo ufw enable。
如果您已经配置了 UFW 规则，但您决定要重新开始，您可以使用 reset 命令：
sudo ufw reset
OutputResetting all rules to installed defaults. This may disrupt existing ssh connections. Proceed with operation (y|n)? y Backing up 'user.rules' to '/etc/ufw/user.rules.20210729_170353' Backing up 'before.rules' to '/etc/ufw/before.rules.20210729_170353' Backing up 'after.rules' to '/etc/ufw/after.rules.20210729_170353' Backing up 'user6.rules' to '/etc/ufw/user6.rules.20210729_170353' Backing up 'before6.rules' to '/etc/ufw/before6.rules.20210729_170353' Backing up 'after6.rules' to '/etc/ufw/after6.rules.20210729_170353'
这将禁用 UFW 并删除之前定义的任何规则。 这应该让您重新开始使用 UFW。 请记住，如果您在任何时候修改默认策略，它们都不会更改为其原始设置。
结论
您的防火墙现在配置为允许（至少）SSH 连接。 确保允许您的服务器需要的任何其他传入连接，同时限制任何不必要的连接，以便您的服务器正常运行且安全。
要了解更多常见的 UFW 配置，请查看 UFW Essentials: Common Firewall Rules and Commands 教程。
