Linux防火墻ufw的簡(jiǎn)單介紹

本篇內(nèi)容介紹了“Linux防火墻ufw的簡(jiǎn)單介紹”的有關(guān)知識(shí)，在實(shí)際案例的操作過程中，不少人都會(huì)遇到這樣的困境，接下來就讓小編帶領(lǐng)大家學(xué)習(xí)一下如何處理這些情況吧！希望大家仔細(xì)閱讀，能夠?qū)W有所成！

ufw（簡(jiǎn)單防火墻）真正地簡(jiǎn)化了 iptables，它從出現(xiàn)的這幾年，已經(jīng)成為 Ubuntu 和 Debian 等系統(tǒng)上的默認(rèn)防火墻。而且 ufw 出乎意料的簡(jiǎn)單，這對(duì)新管理員來說是一個(gè)福音，否則他們可能需要投入大量時(shí)間來學(xué)習(xí)防火墻管理。

ufw 也有 GUI 客戶端（例如 gufw），但是 ufw 命令通常在命令行上執(zhí)行的。本文介紹了一些使用 ufw 的命令，并研究了它的工作方式。

首先，快速查看 ufw 配置的方法是查看其配置文件 —— /etc/default/ufw。使用下面的命令可以查看其配置，使用 grep 來抑制了空行和注釋（以 # 開頭的行）的顯示。

$ grep -v '^#\|^$' /etc/default/ufwIPV6=yesDEFAULT_INPUT_POLICY="DROP"DEFAULT_OUTPUT_POLICY="ACCEPT"DEFAULT_FORWARD_POLICY="DROP"DEFAULT_APPLICATION_POLICY="SKIP"MANAGE_BUILTINS=noIPT_SYSCTL=/etc/ufw/sysctl.confIPT_MODULES="nf_conntrack_ftp nf_nat_ftp nf_conntrack_netbios_ns"

正如你所看到的，默認(rèn)策略是丟棄輸入但允許輸出。允許你接受特定的連接的其它規(guī)則是需要單獨(dú)配置的。

ufw 命令的基本語法如下所示，但是這個(gè)概要并不意味著你只需要輸入 ufw 就行，而是一個(gè)告訴你需要哪些參數(shù)的快速提示。

ufw [--dry-run] [options] [rule syntax]

--dry-run 選項(xiàng)意味著 ufw 不會(huì)運(yùn)行你指定的命令，但會(huì)顯示給你如果執(zhí)行后的結(jié)果。但是它會(huì)顯示假如更改后的整個(gè)規(guī)則集，因此你要做有好多行輸出的準(zhǔn)備。

要檢查 ufw 的狀態(tài)，請(qǐng)運(yùn)行以下命令。注意，即使是這個(gè)命令也需要使用 sudo 或 root 賬戶。

$ sudo ufw statusStatus: active To                         Action      From--                         ------      ----22                         ALLOW       192.168.0.0/249090                       ALLOW       Anywhere9090 (v6)                  ALLOW       Anywhere (v6)

否則，你會(huì)看到以下內(nèi)容：

$ ufw statusERROR: You need to be root to run this script

加上 verbose 選項(xiàng)會(huì)提供一些其它細(xì)節(jié)：

$ sudo ufw status verboseStatus: activeLogging: on (low)Default: deny (incoming), allow (outgoing), disabled (routed)New profiles: skip To                         Action      From--                         ------      ----22                         ALLOW IN    192.168.0.0/249090                       ALLOW IN    Anywhere9090 (v6)                  ALLOW IN    Anywhere (v6)

你可以使用以下命令輕松地通過端口號(hào)允許和拒絕連接：

$ sudo ufw allow 80         <== 允許 http 訪問$ sudo ufw deny 25              <== 拒絕 smtp 訪問

你可以查看 /etc/services 文件來找到端口號(hào)和服務(wù)名稱之間的聯(lián)系。

$ grep 80/ /etc/serviceshttp            80/tcp          www             # WorldWideWeb HTTPsocks           1080/tcp                        # socks proxy serversocks           1080/udphttp-alt        8080/tcp        webcache        # WWW caching servicehttp-alt        8080/udpamanda          10080/tcp                       # amanda backup servicesamanda          10080/udpcanna           5680/tcp                        # cannaserver

或者，你可以命令中直接使用服務(wù)的名稱。

$ sudo ufw allow httpRule addedRule added (v6)$ sudo ufw allow httpsRule addedRule added (v6)

進(jìn)行更改后，你應(yīng)該再次檢查狀態(tài)來查看是否生效：

$ sudo ufw statusStatus: active To                         Action      From--                         ------      ----22                         ALLOW       192.168.0.0/249090                       ALLOW       Anywhere80/tcp                     ALLOW       Anywhere         <==443/tcp                    ALLOW       Anywhere         <==9090 (v6)                  ALLOW       Anywhere (v6)80/tcp (v6)                ALLOW       Anywhere (v6)    <==443/tcp (v6)               ALLOW       Anywhere (v6)    <==

ufw 遵循的規(guī)則存儲(chǔ)在 /etc/ufw 目錄中。注意，你需要 root 用戶訪問權(quán)限才能查看這些文件，每個(gè)文件都包含大量規(guī)則。

$ ls -ltr /etc/ufwtotal 48-rw-r--r-- 1 root root 1391 Aug 15  2017 sysctl.conf-rw-r----- 1 root root 1004 Aug 17  2017 after.rules-rw-r----- 1 root root  915 Aug 17  2017 after6.rules-rw-r----- 1 root root 1130 Jan  5  2018 before.init-rw-r----- 1 root root 1126 Jan  5  2018 after.init-rw-r----- 1 root root 2537 Mar 25  2019 before.rules-rw-r----- 1 root root 6700 Mar 25  2019 before6.rulesdrwxr-xr-x 3 root root 4096 Nov 12 08:21 applications.d-rw-r--r-- 1 root root  313 Mar 18 17:30 ufw.conf-rw-r----- 1 root root 1711 Mar 19 10:42 user.rules-rw-r----- 1 root root 1530 Mar 19 10:42 user6.rules

本文前面所作的更改，為 http 訪問添加了端口 80 和為 https 訪問添加了端口 443，在 user.rules 和 user6.rules 文件中看起來像這樣：

# grep " 80 " user*.rulesuser6.rules:### tuple ### allow tcp 80 ::/0 any ::/0 inuser6.rules:-A ufw6-user-input -p tcp --dport 80 -j ACCEPTuser.rules:### tuple ### allow tcp 80 0.0.0.0/0 any 0.0.0.0/0 inuser.rules:-A ufw-user-input -p tcp --dport 80 -j ACCEPTYou have new mail in /var/mail/root# grep 443 user*.rulesuser6.rules:### tuple ### allow tcp 443 ::/0 any ::/0 inuser6.rules:-A ufw6-user-input -p tcp --dport 443 -j ACCEPTuser.rules:### tuple ### allow tcp 443 0.0.0.0/0 any 0.0.0.0/0 inuser.rules:-A ufw-user-input -p tcp --dport 443 -j ACCEPT

使用 ufw，你還可以使用以下命令輕松地阻止來自一個(gè) IP 地址的連接：

$ sudo ufw deny from 208.176.0.50Rule added

status 命令將顯示更改：

$ sudo ufw status verboseStatus: activeLogging: on (low)Default: deny (incoming), allow (outgoing), disabled (routed)New profiles: skip To                         Action      From--                         ------      ----22                         ALLOW IN    192.168.0.0/249090                       ALLOW IN    Anywhere80/tcp                     ALLOW IN    Anywhere443/tcp                    ALLOW IN    AnywhereAnywhere                   DENY IN     208.176.0.50             <== new9090 (v6)                  ALLOW IN    Anywhere (v6)80/tcp (v6)                ALLOW IN    Anywhere (v6)443/tcp (v6)               ALLOW IN    Anywhere (v6)

總而言之，ufw 不僅容易配置，而且且容易理解。

“Linux防火墻ufw的簡(jiǎn)單介紹”的內(nèi)容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業(yè)相關(guān)的知識(shí)可以關(guān)注億速云網(wǎng)站，小編將為大家輸出更多高質(zhì)量的實(shí)用文章！