大部分防火墙都是iptables的套皮,iptables的配置复杂度就不多说了,就算是对其做了简化的firewalld也是让人头大.
今天随缘看到了ufw,几个命令就把我折服了.
什么叫可交互?
什么叫易用性?
什么叫门槛低?
ufw就是上面问题的答案.
算上安装, 三步命令配置好最基本的防火墙功能 .
apt install ufw
ufw allow 80/tcp
ufw enable不需要reload
不需要配置域
看看firewalld冗长的代码
firewall-cmd --zone=visitors --add-port=80/tcp --permanent再看看ufw
ufw allow 80/tcp这个就叫用户友好.
没想到有一天在linux上也能体会到这种省心的感觉,泪目了.
以下内容引用自
如何在Debian 10中使用ufw设置防火墙
安装UFW
Debian 10 系统并不是默认就安装了UFW防火墙管理软件。所以，我们要先安装UFW软件包，然后再进一步的操作。
安装命令如下：
sudo apt update
sudo apt install ufw检查UFW状态
ufw安装完成后，为避免服务器被防火墙限制访问，防火墙并不会自动激活启动，但我们可以通过以下命令来检查安装后的ufw状态。
sudo ufw status verbose
命令执行后，输出结果类似如下：
Status: inactive
如果防火墙是激活状态的，那么输出就不是上面的内容，则会类似输出如下内容：
UFW默认策略默认情况下，UFW阻止所有入站连接并允许所有出站连接。除非您专门打开端口，否则尝试访问您的服务器的任何人将无法连接，但服务器上运行的应用程序和服务将能够访问外界。
缺省策略在/etc/default/ufw文件中定义，可以使用sudo ufw default
命令更改。
应用配置大多数应用程序附带一个描述服务的应用程序配置文件，并包含UFW设置。 在软件包安装过程中，将在/etc/ufw/applications.d目录中自动创建配置文件。
如果你要列出系统上所有应用程序的配置文件，可以执行如下命令：
sudo ufw app list
根据系统上的软件包，输出内容类似如下：
Available applications:
AIM
Bonjour
CIFS
CUPS
DNS
Deluge
IMAP
IMAPS
IPP
KTorrent
Kerberos Admin
...要查找有关特定配置文件和包含的规则的更多信息，可以使用app info命令，后跟配置文件名称。 例如，要获取有关OpenSSH配置文件的信息，可以使用：
sudo ufw app info OpenSSH
输出包括配置文件名称，标题，描述和防火墙规则，输出内容类似如下：
Profile: OpenSSH
Title: Secure shell server, an rshd replacement
Description: OpenSSH is a free implementation of the Secure Shell protocol.Port:
22/tcp允许SSH连接
启用UFW防火墙之前，需要允许传入的SSH连接。
如果要从远程位置连接到服务器，并且在显式允许传入SSH连接之前启用UFW防火墙，则将无法再连接到Debian服务器。
要将UFW防火墙配置为接受SSH连接，请运行以下命令：
sudo ufw allow OpenSSH
命令执行后，输出内容如下：
Rules updated
Rules updated (v6)如果SSH服务器正在侦听默认端口22以外的端口，则需要打开该端口。
例如，您的ssh服务器侦听端口2222，您将执行：
sudo ufw allow 2222/tcp
启用UFW
现在，UFW防火墙已配置为允许传入的SSH连接，那么我们可以启动它了，运行以下命令启用它：
sudo ufw enable
命令执行后，会输出类似如下内容：
Command may disrupt existing ssh connections. Proceed with operation (y|n)?
这时候输入y后回车，终端上会显示出一行防火墙已经激活提示信息，如下：
Firewall is active and enabled on system startup
开放端口
根据服务器上运行的应用程序，您需要打开运行服务的端口。
以下是一些如何允许传入连接到某些最常见服务的示例：
开启http服务需要的80端口:
sudo ufw allow http
可以使用端口号80代替http配置文件：
sudo ufw allow 80/tcp
开启https服务需要端口:
sudo ufw allow https
可以使用端口号443代替https配置文件：
sudo ufw allow 443/tcp
开启tomcat默认使用的8080端口:
sudo ufw allow 8080/tcp
除了单独开启服务及端口外，还可以通过命令以端口范围的方式开启端口。
例如，我们要允许8090到9090之间的端口都允许tcp/udp访问，我们可以通过以下命令解决。
sudo ufw allow 8090:9090/tcp
sudo ufw allow 8090:9090/udp允许特定的IP地址
要允许从特定IP地址访问所有端口，可以使用ufw allow from命令，后跟IP地址。命令如下：
sudo ufw allow from 115.127.62.61
当然也可以允许特定IP访问前提条件下，允许其访问特定端口，命令如下：
sudo ufw allow from 115.127.62.61 to any port 22
允许子网
允许从IP地址的子网进行连接的命令与使用单个IP地址时的命令相同。 唯一的区别是您需要指定网络掩码。 例如，如果要允许访问从192.168.1.1到192.168.1.254的IP地址到端口3360（MySQL），则可以使用以下命令：
sudo ufw allow from 192.168.1.0/24 to any port 3306
允许连接到特定的网络接口
要允许访问特定端口，假设仅将3360端口访问特定网络接口eth2，可以使用allow in on和网络接口名称：
sudo ufw allow in on eth2 to any port 3306
拒绝连接
所有传入连接的默认策略都设置为“拒绝”，这意味着除非你专门打开该连接，否则UFW将阻止所有传入连接。
假设您打开了端口80和443，并且服务器受到23.24.25.0/24网络的攻击。 要拒绝来自23.24.25.0/24的所有连接，可以使用以下命令：
sudo ufw deny from 23.24.25.0/24
如果只想拒绝从23.24.25.0/24访问端口80和443，请使用：
sudo ufw deny from 23.24.25.0/24 to any port 80
sudo ufw deny from 23.24.25.0/24 to any port 443编写拒绝规则与编写允许规则相同。 您只需要将allow替换为deny即可。
删除UFW规则删除UFW规则有两种方法， 通过规则编号和通过指定实际规则。
通过规则编号删除UFW规则比较容易，特别是如果您不熟悉UFW。
要首先按规则编号删除规则，您需要找到要删除的规则编号。 为此，请运行以下命令：
sudo ufw status numbered
输出类似如下：
Status: active
To Action From -- ------ ----[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 8080/tcp ALLOW IN Anywhere要删除规则号3（允许连接到端口8080的规则），可以使用以下命令：
sudo ufw delete 3
第二种方法是通过指定实际规则来删除规则。 例如，如果您添加了打开端口8069的规则，则可以使用以下命令将其删除：
sudo ufw delete allow 8069
禁用UFW
如果出于任何原因要停止UFW并停用所有规则，请运行：
sudo ufw disable
以后，如果您想重新启用UTF并激活所有规则，只需键入：
sudo ufw enable
重置UFW
重置UFW将会禁用UFW，并删除所有活动规则。 如果您想还原所有更改并重新开始，可以使用重置ufw的命令。
要重置UFW，只需键入以下命令：
sudo ufw reset
至此，整个UFW在Debian 10上如何进行配置已经讲解完毕。
评论 (0)