Debian包含几个软件包,这些软件包提供了用于管理防火墙的工具。 iptables是作为基本系统的一部分安装的。对于初学者来说,学习如何使用iptables工具正确配置和管理防火墙可能很复杂,但是UFW简化了它。

UFW是用于管理iptables防火墙规则的用户友好接口,其主要目标是使iptables的管理更容易。

在本教程中,我们将向您展示如何在Debian 9上使用UFW设置防火墙。

先决条件

在继续学习本教程之前,请确保您以 sudo特权的身份登录。

安装UFW

在Debian 9中默认未安装

UFW。您可以通过键入以下内容来安装ufw软件包:

sudo apt install ufw

检查UFW状态

安装过程完成后,您可以使用以下命令检查UFW的状态:

sudo ufw status verbose

输出将如下所示:

Status: inactive

UFW默认情况下处于禁用状态。安装不会自动激活防火墙,以避免服务器锁定。

如果UFW被激活,输出将类似于以下内容:

UFW默认策略

默认情况下,UFW将阻止所有传入连接并允许所有出站连接。这意味着,除非您专门打开端口,否则尝试访问服务器的任何人将无法连接,而服务器上运行的所有应用程序和服务都将可以访问外部环境。

默认策略在/etc/default/ufw文件中定义,可以使用sudo ufw default <policy> <chain>命令进行更改。

防火墙策略是建立更详细和用户定义的规则的基础。在大多数情况下,最初的UFW默认策略是一个很好的起点。

应用配置文件

当使用 apt 安装软件包时,它将在/etc/ufw/applications.d目录中添加描述服务的应用程序配置文件,其中包含UFW设置。

要列出系统类型上所有可用的应用程序配置文件,请执行以下操作:

sudo ufw app list

根据系统上安装的软件包,输出将类似于以下内容:

Available applications:
  DNS
  IMAP
  IMAPS
  OpenSSH
  POP3
  POP3S
  Postfix
  Postfix SMTPS
  Postfix Submission
  ...

要查找有关特定配置文件和包含的规则的更多信息,请使用以下命令:

sudo ufw app info OpenSSH
Profile: OpenSSH
Title: Secure shell server, an rshd replacement
Description: OpenSSH is a free implementation of the Secure Shell protocol.

Port:
  22/tcp

上面的输出告诉我们OpenSSH配置文件打开端口22

允许SSH连接

在首先启用UFW防火墙之前,我们需要允许传入的SSH连接。

如果您通常是从远程位置连接到服务器,并且在显式允许传入SSH连接之前启用UFW防火墙,则您将无法再连接到Debian服务器。

要将您的UFW防火墙配置为允许传入的SSH连接,请运行以下命令:

sudo ufw allow OpenSSH
Rules updated
Rules updated (v6)

如果SSH服务器正在监听默认端口22以外的端口,则需要打开该端口。

例如,您的ssh服务器侦听端口8822,然后可以使用以下命令允许该端口上的连接:

sudo ufw allow 8822/tcp

启用UFW

现在,您的UFW防火墙已配置为允许传入的SSH连接,您可以通过运行以下命令来启用它:

sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup

将警告您启用防火墙可能会破坏现有的ssh连接,只需键入y并单击Enter

允许其他端口连接

根据服务器上运行的应用程序和您的特定需求,您还需要允许传入对其他端口的访问权限。

以下是一些示例,说明如何允许传入连接到某些最常见的服务:

打开端口80-HTTP

可以使用以下命令允许HTTP连接:

sudo ufw allow http

可以使用端口号80

代替http配置文件。

sudo ufw allow 80/tcp

打开端口443-HTTPS

可以使用以下命令允许HTTP连接:

sudo ufw allow https

要使用相同的端口号代替https,可以使用端口号443

sudo ufw allow 443/tcp

打开端口8080

如果您运行 Tomcat ​​或侦听端口8080的任何其他应用程序,则可以使用以下命令允许传入连接:

sudo ufw allow 8080/tcp

允许端口范围

使用UFW,您还可以允许访问端口范围。当使用UFW允许端口范围时,必须指定协议tcpudp

例如,要允许tcpudp上的端口都从71007200,请运行以下命令:

sudo ufw allow 7100:7200/tcp
sudo ufw allow 7100:7200/udp

允许特定的IP地址

如果要允许从特定IP地址访问所有端口,请使用ufw allow from命令后跟IP地址:

sudo ufw allow from 64.63.62.61

允许在特定端口上使用特定IP地址

要允许访问特定端口,假设您的工作计算机的IP地址为64.63.62.61的端口22使用以下命令:

sudo ufw allow from 64.63.62.61 to any port 22

允许子网

允许连接到IP地址子网的命令与使用单个IP地址时的命令相同,唯一的区别是您需要指定网络掩码。例如,如果要允许访问从IP地址192.168.1.1到192.168.1.254的IP地址到端口3360( MySQL ),则可以使用以下命令:

sudo ufw allow from 192.168.1.0/24 to any port 3306

允许连接到特定的网络接口

要允许仅在特定端口上访问3360,例如,仅对特定网络接口eth2使用端口3360,请使用allow in on和网络接口名称:

sudo ufw allow in on eth2 to any port 3306

拒绝连接

所有传入连接的默认策略设置为deny,这意味着除非您专门打开连接,否则UFW将阻止所有传入连接。

假设您打开了端口80443,并且服务器受到23.24.25.0/24网络的攻击。要拒绝来自23.24.25.0/24的所有连接,请使用以下命令:

sudo ufw deny from 23.24.25.0/24

如果您只想拒绝从23.24.25.0/24访问端口80443,请使用:

sudo ufw deny from 23.24.25.0/24 to any port 80
sudo ufw deny from 23.24.25.0/24 to any port 443

编写拒绝规则与编写允许规则相同,只需将allow替换为deny

删除UFW规则

删除UFW规则有两种不同的方法,分别是通过规则编号和指定实际规则。

按规则编号删除UFW规则比较容易,特别是如果您不熟悉UFW。

要首先通过规则编号删除规则,您需要找到要删除的规则的编号。为此,请运行以下命令:

sudo ufw status numbered
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 80/tcp                     ALLOW IN    Anywhere
[ 3] 8080/tcp                   ALLOW IN    Anywhere

要删除规则号3(允许连接到端口8080的规则),可以使用以下命令:

sudo ufw delete 2

第二种方法是通过指定实际规则来删除规则。例如,如果您添加了打开端口8069的规则,则可以使用以下命令将其删除:

sudo ufw delete allow 8069

停用UFW

如果出于任何原因要停止UFW并停用所有规则,请运行:

sudo ufw disable

稍后,如果您想重新启用UTF并激活所有规则,只需键入:

sudo ufw enable

重置UFW

重置UFW将禁用UFW,并删除所有活动规则。如果您想还原所有更改并重新开始,这将很有帮助。

要重置UFW,只需键入以下命令:

sudo ufw reset

结论

您已经了解了如何在Debian 9计算机上安装和配置UFW防火墙。在限制所有不必要的连接的同时,请确保允许系统正常运行所必需的所有传入连接。

如果您有任何疑问,请在下面发表评论。

如果你喜欢我们的内容可以选择在下方二维码中捐赠我们,或者点击广告予以支持,感谢你的支持