保护你的 Ubuntu：防火墙配置详解 – wiki基地

作者： /

保护你的 Ubuntu：防火墙配置详解

在日益互联的数字世界中，网络安全已不再是一个可选项，而是任何运行互联网连接设备的用户的基本需求。无论是个人电脑、家用服务器，还是企业级部署，都面临着来自网络的各种威胁，如端口扫描、恶意软件传播、未经授权的访问尝试等。对于流行的开源操作系统 Ubuntu 来说，尽管其本身在安全性方面表现良好，但一个配置得当的防火墙是抵御这些外部攻击的第一道也是最重要的一道防线。

本文将深入探讨如何在 Ubuntu 系统上配置防火墙，重点介绍官方推荐的简易防火墙工具 UFW（Uncomplicated Firewall）。我们将从防火墙的基础概念讲起，逐步讲解 UFW 的安装、基本策略设置、复杂规则配置、日志记录、应用集成以及一些高级技巧和最佳实践，旨在帮助你构建一个坚固的网络安全屏障。

第一部分：理解防火墙的基础概念

在深入 UFW 的配置之前，我们首先需要理解一些防火墙的基本概念。这有助于我们更好地理解 UFW 的工作原理以及为什么某些配置是推荐的。

  1. 什么是防火墙？
    防火墙是一种网络安全设备或软件，它根据预定的安全规则来监控和控制进出网络的流量。简单来说，它就像是一个守门的，检查每一个试图进入或离开你系统或网络的“包裹”（数据包），并决定是允许通过、拒绝通过还是丢弃（忽略）它。

  2. 入站（Ingress）与出站（Egress）流量：

    • 入站流量（Incoming/Ingress）： 指的是从外部网络试图进入你系统的数据流量。这是大多数防火墙规则关注的焦点，因为它们通常试图阻止来自互联网的恶意连接。
    • 出站流量（Outgoing/Egress）： 指的是从你系统发送到外部网络的数据流量。虽然对个人桌面用户来说，默认允许所有出站流量可能更方便，但对于服务器或需要严格控制网络行为的场景，限制出站流量同样重要，可以防止恶意软件与外部服务器通信，或防止敏感数据外泄。

  3. 防火墙策略（Policies）：
    防火墙的核心是其策略，即当流量与任何特定规则都不匹配时，如何处理这些流量。最常见的两种策略是：

    • 默认允许（Default Allow）： 除非有特定的规则明确拒绝，否则所有流量都被允许。这种策略的安全性最低，因为它倾向于放行，容易遗漏未被规则覆盖的恶意流量。
    • 默认拒绝（Default Deny）： 除非有特定的规则明确允许，否则所有流量都被拒绝。这种策略的安全性最高，因为它倾向于阻止，只放行你明确允许的必要流量。这是构建安全防火墙的推荐基础策略。

  4. 有状态防火墙（Stateful Firewall）：
    现代防火墙通常是有状态的。这意味着防火墙不仅检查每个数据包本身，还会跟踪连接的状态。例如，当你从你的电脑连接到一个外部网站时，你的电脑会发送一个请求（出站）。有状态防火墙会记住你发出了这个请求。当网站回复你并发送数据包（入站）时，即使你的入站规则默认是拒绝的，防火墙也会识别出这些数据包是之前由你发起的连接的合法响应，并允许它们通过。这大大简化了配置，因为你通常只需要允许入站的新连接，而不需要专门允许所有出站连接的回复。

  5. 端口与协议：
    网络通信通过端口（Port）和协议（Protocol）进行。端口是网络服务的逻辑地址（例如，网页服务通常使用 80/TCP 和 443/TCP 端口，SSH 远程连接服务使用 22/TCP 端口）。协议定义了数据传输的方式（最常见的是 TCP 和 UDP）。防火墙规则通常基于源/目标 IP 地址、端口号和协议来决定是否放行流量。

第二部分：认识 UFW（Uncomplicated Firewall）

Ubuntu 系统自带了一个名为 ufw 的防火墙管理工具。顾名思义，UFW 的目标是简化配置 iptables。iptables 是 Linux 内核自带的、功能强大的包过滤工具，但其配置语法复杂，对于初学者来说门槛较高。UFW 提供了一个用户友好的命令行接口，使得设置常见的防火墙规则变得异常简单。

尽管 UFW 是 iptables 的前端，但在绝大多数情况下，使用 UFW 就足以满足你的防火墙需求。只有在非常复杂或特定的网络场景下（例如需要复杂的流量整形、NAT 规则等），才可能需要直接操作 iptables。

检查 UFW 状态与安装

UFW 通常在 Ubuntu Server 版本中默认安装，但在 Desktop 版本中可能需要手动安装。

首先，检查 UFW 的状态：

bash
sudo ufw status

输出可能会显示：
* Status: inactive：UFW 未启用。
* Status: active：UFW 已启用。
* Command not found：UFW 未安装。

如果 UFW 未安装，可以通过以下命令安装：

bash
sudo apt update
sudo apt install ufw

安装完成后，再次运行 sudo ufw status，状态应该为 inactive。

第三部分：配置 UFW 的基本策略与规则

配置防火墙的第一步通常是设置默认策略，然后根据需要允许或拒绝特定流量。

1. 设置默认策略

最安全的做法是设置默认拒绝所有入站流量，允许所有出站流量（适用于大多数桌面用户）：

bash
sudo ufw default deny incoming
sudo ufw default allow outgoing

对于服务器来说，更严格的策略可能是默认拒绝所有入站和出站流量：

bash
sudo ufw default deny incoming
sudo ufw default deny outgoing

在这种情况下，你需要明确允许所有必要的出站连接（例如，允许访问网页 80/443、DNS 53、更新服务器等），这更加繁琐但也更安全。

重要提示： 在设置默认拒绝入站策略之前，请务必先允许你所需的入站服务（尤其是 SSH 连接，如果你是通过 SSH 远程管理服务器）。否则，一旦启用防火墙，你可能会被锁在系统之外。

2. 允许必要的入站服务

在默认拒绝入站策略下，你需要明确允许外部网络访问你的系统提供的服务。

允许 SSH (通常端口 22)：

这是最关键的一步，特别是对于远程服务器。UFW 支持直接使用服务名称，前提是该服务在 /etc/services 文件中有定义（SSH 通常有）。

bash
sudo ufw allow ssh

这等同于：

bash
sudo ufw allow 22/tcp

如果你修改了 SSH 的默认端口（例如改成了 2222），你应该允许修改后的端口：

bash
sudo ufw allow 2222/tcp

允许 HTTP (端口 80)：

如果你的系统运行着一个网站或 Web 应用：

bash
sudo ufw allow http

这等同于：

bash
sudo ufw allow 80/tcp

允许 HTTPS (端口 443)：

对于安全的 Web 流量：

bash
sudo ufw allow https

这等同于：

bash
sudo ufw allow 443/tcp

允许 DNS (端口 53)：

如果你的系统需要作为 DNS 服务器对外提供服务（这不常见于普通用户）：

bash
sudo ufw allow dns

这等同于：

bash
sudo ufw allow 53

注意这里没有指定协议，UFW 会默认允许 53/tcp 和 53/udp。

允许其他常见服务：

  • SMTP (邮件发送): sudo ufw allow smtp 或 sudo ufw allow 25/tcp
  • IMAP (邮件接收): sudo ufw allow imap 或 sudo ufw allow 143/tcp
  • POP3 (邮件接收): sudo ufw allow pop3 或 sudo ufw allow 110/tcp
  • MySQL (数据库): sudo ufw allow mysql 或 sudo ufw allow 3306/tcp
  • PostgreSQL (数据库): sudo ufw allow postgresql 或 sudo ufw allow 5432/tcp
  • RDP (远程桌面): sudo ufw allow from any to any port 3389 proto tcp (注意 RDP 在 /etc/services 中可能没有定义，需要手动指定端口和协议)

3. 允许特定 IP 地址或子网访问特定服务

在某些情况下，你可能只想允许来自特定 IP 地址或特定网络的连接，而不是来自任何地方。

允许特定 IP 访问所有端口：

bash
sudo ufw allow from 192.168.1.100

这将允许 IP 地址 192.168.1.100 访问你的系统上的任何端口（根据入站策略）。

允许特定 IP 访问特定端口：

bash
sudo ufw allow from 192.168.1.100 to any port 22 proto tcp

这将只允许 IP 地址 192.168.1.100 通过 TCP 协议访问你的 SSH 端口 (22)。

允许特定子网访问所有端口：

使用 CIDR 表示法指定子网：

bash
sudo ufw allow from 192.168.1.0/24

这将允许 192.168.1.0 到 192.168.1.255 这个网段内的所有 IP 访问你的系统。

允许特定子网访问特定端口：

bash
sudo ufw allow from 192.168.1.0/24 to any port 80 proto tcp

这将允许 192.168.1.0/24 网段内的 IP 访问你的 HTTP 端口 (80) 通过 TCP。

4. 允许端口范围

有时，应用程序可能需要使用一个范围内的端口。

bash
sudo ufw allow 6000:6007/tcp
sudo ufw allow 6000:6007/udp

这将允许通过 TCP 和 UDP 协议访问端口 6000 到 6007。

5. 拒绝特定流量

与允许类似，你也可以使用 deny 关键字来拒绝流量。

拒绝来自特定 IP 的所有连接：

bash
sudo ufw deny from 1.2.3.4

拒绝来自特定 IP 访问特定端口：

bash
sudo ufw deny from 1.2.3.4 to any port 25 proto tcp

这将阻止 IP 地址 1.2.3.4 向你的 25 端口发送 TCP 连接尝试（例如，垃圾邮件发送者）。

第四部分：管理与查看 UFW 规则

在添加了规则后，你需要能够查看和管理它们。

1. 查看规则状态

查看当前 UFW 的状态和已配置的规则：

bash
sudo ufw status

这将显示 UFW 是否激活，以及当前的默认策略和已允许/拒绝的规则列表。规则会按顺序显示。

为了方便删除规则，你可以使用 numbered 选项来显示规则的编号：

bash
sudo ufw status numbered

输出示例：

“`
Status: active

To Action From
— —— —-
22/tcp ALLOW Anywhere
80/tcp ALLOW Anywhere
443/tcp ALLOW Anywhere
22/tcp ALLOW 192.168.1.0/24
“`

2. 删除规则

使用规则的编号删除：

bash
sudo ufw delete <number>

例如，要删除上面列表中的第四条规则 (允许 192.168.1.0/24 访问 22/tcp)，如果它的编号是 4，则使用：

bash
sudo ufw delete 4

或者，你可以通过指定完整的规则来删除：

bash
sudo ufw delete allow 22/tcp

如果你有重复的规则，或者规则比较复杂，使用编号删除通常更精确。

3. 修改规则

UFW 没有直接的“修改”命令。要修改规则，你需要先删除旧规则，然后添加新规则。使用 status numbered 查看规则编号可以帮助你快速删除旧规则。

4. 插入规则

规则的顺序很重要，因为防火墙会按照规则列表的顺序进行匹配。默认情况下，新添加的规则会被添加到列表的末尾。如果你想在特定位置插入规则，可以使用 insert 命令：

bash
sudo ufw insert <number> <rule>

例如，要在规则列表的第一位插入一条拒绝规则：

bash
sudo ufw insert 1 deny from 5.6.7.8

第五部分：启用、禁用和重置 UFW

配置好规则后，你需要启用 UFW 使其生效。

1. 启用 UFW

在你确定已经允许了必要的服务（尤其是 SSH）后，启用 UFW：

bash
sudo ufw enable

系统会提示你这可能会中断现有的 SSH 连接，并询问是否确定。输入 y 并回车。

警告： 再次强调，在远程服务器上启用 UFW 之前，务必确保你已经添加了允许 SSH 连接的规则。如果你不小心把自己锁定了，可能需要通过 VNC、物理访问或云服务提供商的控制台来恢复访问。

启用后，再次检查状态：

bash
sudo ufw status

状态应该显示为 active。

2. 禁用 UFW

如果出于某种原因需要完全停止 UFW：

bash
sudo ufw disable

这将停止 UFW 并禁用它在启动时运行。所有配置的规则都会被保存，但不再生效。

3. 重置 UFW

如果你想清除所有规则并恢复到 UFW 未启用时的默认状态，可以使用 reset 命令：

bash
sudo ufw reset

警告： 重置操作会删除你配置的所有规则，并将默认策略恢复到安装 UFW 时的状态（通常是默认拒绝入站，默认允许出站，但取决于 Ubuntu 版本和安装方式）。在执行此操作前请务必确认！

第六部分：UFW 的高级配置

UFW 提供了一些更高级的功能，可以进一步增强你的防火墙能力。

1. 配置日志记录

日志记录对于监控防火墙活动、发现潜在的攻击尝试或调试规则非常重要。

启用日志记录：

bash
sudo ufw logging on

禁用日志记录：

bash
sudo ufw logging off

设置日志级别：

你可以设置日志记录的详细程度：low (默认), medium, high, full。medium 或 high 通常是比较好的选择，可以提供足够的详细信息而不会产生过多的日志噪音。

bash
sudo ufw logging medium

UFW 的日志通常记录在 /var/log/ufw.log 文件中。你可以使用 tail 或 grep 等命令查看日志。

2. 应用配置文件

UFW 支持使用应用程序配置文件来简化常见应用的规则设置。这些配置文件位于 /etc/ufw/applications.d/ 目录下。它们包含了特定应用程序需要的端口和协议信息。

查看可用的应用程序配置文件：

bash
sudo ufw app list

这将列出 /etc/ufw/applications.d/ 中定义的应用名称。

查看特定应用的详细信息：

bash
sudo ufw app info <app_name>

例如：

bash
sudo ufw app info "OpenSSH"

输出会显示 OpenSSH 需要开放的端口和协议。

允许某个应用：

bash
sudo ufw allow <app_name>

例如：

bash
sudo ufw allow "OpenSSH"
sudo ufw allow "Nginx Full" # Nginx Full 通常包含 80 和 443 端口

使用应用配置文件的好处是，如果某个应用的默认端口发生变化，你只需要更新配置文件，而不需要修改你的 UFW 规则。然而，社区维护的应用配置文件可能不总是最新的，或者你使用的应用没有预设的配置文件，这时直接使用端口和协议来设置规则依然是必要的。

3. 速率限制 (Limit)

为了防止暴力破解攻击（例如针对 SSH），你可以使用 limit 规则。limit 规则会自动拒绝在短时间内从同一源 IP 地址发起的过多连接尝试。

bash
sudo ufw limit ssh

这等同于：

bash
sudo ufw limit 22/tcp

当一个 IP 地址尝试在 30 秒内建立 6 个或更多连接时，后续的连接尝试将被阻止。这是一种简单的防御拒绝服务（DoS）攻击或暴力破解的方法。

4. 允许或拒绝基于接口

你可以指定规则仅应用于特定的网络接口（例如 eth0，wlan0）。

允许 eth0 接口上的 SSH 连接：

bash
sudo ufw allow in on eth0 to any port 22 proto tcp

拒绝 wlan0 接口上的所有入站连接：

bash
sudo ufw deny in on wlan0

这在系统有多个网络接口，并且希望为每个接口应用不同的安全策略时非常有用。

5. 配置出站规则

虽然对于桌面用户，默认允许出站流量通常是可以接受的，但对于安全性要求更高的环境，限制出站流量是推荐的。

默认拒绝出站：

bash
sudo ufw default deny outgoing

允许必要的出站服务：

在默认拒绝出站策略下，你需要允许你的系统访问外部世界的必要服务。

  • 允许访问 HTTP/HTTPS (浏览网页):
    bash
    sudo ufw allow out to any port 80,443 proto tcp
  • 允许访问 DNS (域名解析):
    bash
    sudo ufw allow out to any port 53 proto udp
    # 通常也允许 tcp，但 udp 更常见用于查询
    sudo ufw allow out to any port 53 proto tcp
  • 允许访问更新服务器 (APT): APT 包管理器通常通过 HTTP 端口 80 访问软件源，但也可能通过 HTTPS 端口 443，并需要访问 DNS 端口 53。因此，允许 HTTP/HTTPS/DNS 通常就足够了。
  • 允许 NTP (时间同步):
    bash
    sudo ufw allow out to any port 123 proto udp

配置出站规则需要仔细考虑你的系统需要与外部通信的所有服务。遗漏必要的出站规则可能导致某些功能无法正常工作（例如无法更新系统、无法发送邮件等）。

6. 配置 IPv6

UFW 同时支持 IPv4 和 IPv6。默认情况下，当你添加规则时，它会同时应用于 IPv4 和 IPv6（如果系统配置了 IPv6）。

你可以通过编辑 UFW 的配置文件 /etc/default/ufw 来控制是否启用 IPv6 支持。查找 IPV6= 行，将其设置为 yes 或 no。

“`ini

/etc/default/ufw

… other settings …

Set to yes to enable IPv6 support

IPV6=yes

… other settings …

“`

修改此文件后，需要重启 UFW 使其生效：

bash
sudo ufw disable
sudo ufw enable

第七部分：UFW 与 iptables 的关系及何时需要 iptables

如前所述，UFW 是 iptables 的一个更高级别的抽象。UFW 的规则最终会被翻译成 iptables 命令来配置内核的包过滤规则。

你可以通过以下命令查看 UFW 生成的实际 iptables 规则：

bash
sudo iptables -S # 查看 IPv4 规则
sudo ip6tables -S # 查看 IPv6 规则

或者更详细地查看规则链：

bash
sudo iptables -L -n -v
sudo ip6tables -L -n -v

UFW 维护自己的规则集，存储在 /etc/ufw/ 目录下的一些文件中（例如 user.rules, before.rules, after.rules）。当 UFW 启用或规则更新时，它会读取这些文件，并使用 iptables-restore 命令将规则加载到内核中。

在大多数情况下，UFW 的功能足以满足需求。你可能需要直接使用 iptables 的场景包括：

  • 需要非常复杂的规则逻辑，UFW 难以表达。
  • 需要配置 NAT（网络地址转换）规则（虽然 UFW 也可以做一些简单的端口转发，但复杂的 NAT 设置直接用 iptables 更灵活）。
  • 需要使用 iptables 的特定模块或匹配条件，而 UFW 没有提供相应的接口。
  • 需要使用 iptables 的其他表（如 mangle 或 raw），UFW 主要操作 filter 表。

如果你发现自己需要直接使用 iptables 配置规则，请注意这些规则的持久性。默认的 iptables 命令设置的规则在系统重启后会丢失。你需要使用 iptables-persistent 或类似的工具来保存和恢复 iptables 规则。同时，直接操作 iptables 可能会与 UFW 产生冲突，因为两者都试图管理内核的包过滤规则。通常建议要么完全使用 UFW，要么完全使用 iptables，避免混合使用导致混乱。对于初学者和大多数常见场景，坚持使用 UFW 是最简单可靠的方法。

第八部分：防火墙配置的最佳实践

除了正确配置 UFW，以下是一些通用的防火墙安全最佳实践：

  1. 遵循“最小权限原则”： 只允许必要的服务和端口。默认拒绝所有入站流量是一个好的起点。对于出站流量，如果可能，也采取默认拒绝策略，并只允许必需的出站连接。
  2. 定期审查规则： 随着系统上运行的服务变化，防火墙规则也需要更新。定期检查你的 UFW 规则 (sudo ufw status numbered)，删除不再需要的规则，添加新服务的规则。
  3. 理解你暴露的服务： 清楚你的系统正在运行哪些服务，以及它们使用了哪些端口。只开放那些你打算对外提供的服务的端口。
  4. 结合其他安全措施： 防火墙不是万能的。它应该与其他安全措施结合使用，例如：
    • 及时系统更新： 保持操作系统和所有软件是最新版本，修补安全漏洞。
    • 使用强密码和密钥： 特别是对于 SSH 等远程访问服务。考虑禁用密码登录，只允许 SSH 密钥登录。
    • 禁用不需要的服务： 停止并禁用那些你不需要运行的服务，减少攻击面。
    • 使用入侵检测系统 (IDS) 或入侵防御系统 (IPS)： 例如 Fail2Ban，可以监控日志并自动阻止恶意 IP 地址。Fail2Ban 与 UFW 结合使用效果更佳，Fail2Ban 可以配置为调用 UFW 来阻止 IP。
    • 使用 VPN： 对于远程管理或访问敏感资源，使用 VPN 可以提供加密通道，并在网络层增加一道保护。
    • 配置安全的应用程序： 例如，正确配置 Web 服务器以防止常见 Web 漏洞。
  5. 测试你的配置： 在启用防火墙后，或者在进行重大更改后，从另一台机器上测试你的系统是否仍然可以访问预期的服务，同时非预期的服务是不可访问的。可以使用 nmap 等工具进行端口扫描测试（但要注意扫描自己系统的端口是合法的，扫描他人系统可能违法）。
  6. 考虑 DDoS 防御： UFW 的 limit 规则提供了一定程度的暴力破解保护，但对于大规模的分布式拒绝服务攻击，可能需要更专业的解决方案（例如，CDN、流量清洗服务或更高级的网络设备）。

结论

防火墙是保护你的 Ubuntu 系统免受网络威胁的重要工具。UFW 提供了一个简单而强大的方式来配置 Linux 内核的包过滤规则，即使是网络安全新手也能快速上手。通过理解防火墙的基本概念，设置合理的默认策略（推荐默认拒绝入站），并根据需要精确地允许特定服务和流量，你可以显著提高系统的安全性。

本文详细介绍了使用 UFW 配置防火墙的方方面面，从基础命令到高级特性，并强调了在使用过程中的重要注意事项和安全最佳实践。记住，安全是一个持续的过程，定期审查和更新你的防火墙规则，并将其与其他安全措施结合使用，才能构建一个真正强大的安全防御体系。现在就开始配置你的 UFW，让你的 Ubuntu 系统变得更加安全吧！

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部