如何在Debian 10中使用ufw设置防火墙

如何在Debian 10中使用ufw设置防火墙

防火墙对于一个系统来说是非常重要的，特别对于连接外网的服务器系统尤为重要。今天我们来介绍一下防火墙管理软件UFW。

UFW（简单防火墙）是用于管理iptables防火墙规则的用户友好型前端。 它的主要目标是使iptables的管理更容易。

本文介绍了如何在Debian 10上使用UFW设置防火墙。

前提条件

要使用UFW，首先你必须是Debian系统root帐号或者具备sudo权限的帐号才能管理使用UFW。如无特殊需要，在Debian系统中更建议使用具备sudo权限的帐号来操作UFW。

安装UFW

Debian 10 系统并不是默认就安装了UFW防火墙管理软件。所以，我们要先安装UFW软件包，然后再进一步的操作。

安装命令如下：

sudo apt update
sudo apt install ufw

检查UFW状态

ufw安装完成后，为避免服务器被防火墙限制访问，防火墙并不会自动激活启动，但我们可以通过以下命令来检查安装后的ufw状态。

sudo ufw status verbose

命令执行后，输出结果类似如下：

Status: inactive

如果防火墙是激活状态的，那么输出就不是上面的内容，则会类似输出如下内容：

UFW默认策略

默认情况下，UFW阻止所有入站连接并允许所有出站连接。除非您专门打开端口，否则尝试访问您的服务器的任何人将无法连接，但服务器上运行的应用程序和服务将能够访问外界。

缺省策略在/etc/default/ufw文件中定义，可以使用sudo ufw default <policy> <chain>命令更改。

应用配置

大多数应用程序附带一个描述服务的应用程序配置文件，并包含UFW设置。 在软件包安装过程中，将在/etc/ufw/applications.d目录中自动创建配置文件。

如果你要列出系统上所有应用程序的配置文件，可以执行如下命令：

sudo ufw app list

根据系统上的软件包，输出内容类似如下：

Available applications:
  AIM
  Bonjour
  CIFS
  CUPS
  DNS
  Deluge
  IMAP
  IMAPS
  IPP
  KTorrent
  Kerberos Admin
  ...

要查找有关特定配置文件和包含的规则的更多信息，可以使用app info命令，后跟配置文件名称。 例如，要获取有关OpenSSH配置文件的信息，可以使用：

sudo ufw app info OpenSSH

输出包括配置文件名称，标题，描述和防火墙规则，输出内容类似如下：

Profile: OpenSSH
Title: Secure shell server, an rshd replacement
Description: OpenSSH is a free implementation of the Secure Shell protocol.

Port:
  22/tcp

允许SSH连接

启用UFW防火墙之前，需要允许传入的SSH连接。

如果要从远程位置连接到服务器，并且在显式允许传入SSH连接之前启用UFW防火墙，则将无法再连接到Debian服务器。

要将UFW防火墙配置为接受SSH连接，请运行以下命令：

sudo ufw allow OpenSSH

命令执行后，输出内容如下：

Rules updated
Rules updated (v6)

如果SSH服务器正在侦听默认端口22以外的端口，则需要打开该端口。

例如，您的ssh服务器侦听端口2222，您将执行：

sudo ufw allow 2222/tcp

启用UFW

现在，UFW防火墙已配置为允许传入的SSH连接，那么我们可以启动它了，运行以下命令启用它：

sudo ufw enable

命令执行后，会输出类似如下内容：

Command may disrupt existing ssh connections. Proceed with operation (y|n)?

这时候输入y后回车，终端上会显示出一行防火墙已经激活提示信息，如下：

Firewall is active and enabled on system startup

开放端口

根据服务器上运行的应用程序，您需要打开运行服务的端口。

以下是一些如何允许传入连接到某些最常见服务的示例：

开启http服务需要的80端口:

sudo ufw allow http

可以使用端口号80代替http配置文件：

sudo ufw allow 80/tcp

开启https服务需要端口:

sudo ufw allow https

可以使用端口号443代替https配置文件：

sudo ufw allow 443/tcp

开启tomcat默认使用的8080端口:

sudo ufw allow 8080/tcp

除了单独开启服务及端口外，还可以通过命令以端口范围的方式开启端口。

例如，我们要允许8090到9090之间的端口都允许tcp/udp访问，我们可以通过以下命令解决。

sudo ufw allow 8090:9090/tcp
sudo ufw allow 8090:9090/udp

允许特定的IP地址

要允许从特定IP地址访问所有端口，可以使用ufw allow from命令，后跟IP地址。命令如下：

sudo ufw allow from 115.127.62.61

当然也可以允许特定IP访问前提条件下，允许其访问特定端口，命令如下：

sudo ufw allow from 115.127.62.61 to any port 22

允许子网

允许从IP地址的子网进行连接的命令与使用单个IP地址时的命令相同。 唯一的区别是您需要指定网络掩码。 例如，如果要允许访问从192.168.1.1到192.168.1.254的IP地址到端口3360（MySQL），则可以使用以下命令：

sudo ufw allow from 192.168.1.0/24 to any port 3306

允许连接到特定的网络接口

要允许访问特定端口，假设仅将3360端口访问特定网络接口eth2，可以使用allow in on和网络接口名称：

sudo ufw allow in on eth2 to any port 3306

拒绝连接

所有传入连接的默认策略都设置为“拒绝”，这意味着除非你专门打开该连接，否则UFW将阻止所有传入连接。

假设您打开了端口80和443，并且服务器受到23.24.25.0/24网络的攻击。 要拒绝来自23.24.25.0/24的所有连接，可以使用以下命令：

sudo ufw deny from 23.24.25.0/24

如果只想拒绝从23.24.25.0/24访问端口80和443，请使用：

sudo ufw deny from 23.24.25.0/24 to any port 80
sudo ufw deny from 23.24.25.0/24 to any port 443

编写拒绝规则与编写允许规则相同。 您只需要将allow替换为deny即可。

删除UFW规则

删除UFW规则有两种方法， 通过规则编号和通过指定实际规则。

通过规则编号删除UFW规则比较容易，特别是如果您不熟悉UFW。

要首先按规则编号删除规则，您需要找到要删除的规则编号。 为此，请运行以下命令：

sudo ufw status numbered

输出类似如下：

Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 80/tcp                     ALLOW IN    Anywhere
[ 3] 8080/tcp                   ALLOW IN    Anywhere

要删除规则号3（允许连接到端口8080的规则），可以使用以下命令：

sudo ufw delete 3

第二种方法是通过指定实际规则来删除规则。 例如，如果您添加了打开端口8069的规则，则可以使用以下命令将其删除：

sudo ufw delete allow 8069

禁用UFW

如果出于任何原因要停止UFW并停用所有规则，请运行：

sudo ufw disable

以后，如果您想重新启用UTF并激活所有规则，只需键入：

sudo ufw enable

重置UFW

重置UFW将会禁用UFW，并删除所有活动规则。 如果您想还原所有更改并重新开始，可以使用重置ufw的命令。

要重置UFW，只需键入以下命令：

sudo ufw reset

至此，整个UFW再Debian 10上如何进行配置已经讲解完毕。

写在最后

通过本教程，您已经了解了如何在Debian 10机器上安装和配置UFW防火墙。 防火墙可确保系统正常运行时候，允许访问的连接可以访问系统，不允许的连接则被阻止访问，从而尽量保障系统的安全。

如果你有不同看法，欢迎留言讨论。

如果想了解更多Linux中命令使用，可以下载Linux命令中文手册，关注我后，公号里面回复“命令”即可下载。