正确配置的防火墙是整个系统安全的最重要方面之一。
ufw（简单防火墙）是用于管理iptables防火墙规则的用户友好型前端。它的主要目的是使iptables的管理更容易，或者顾名思义，使其不复杂。
只有root用户或具有sudo特权的用户才能管理系统防火墙。
输入以下命令以安装ufw软件包：
sudo apt update
sudo apt install ufw安装将不会自动激活防火墙，以避免服务器锁定。您可以通过键入以下内容来检查ufw的状态：
sudo ufw status verbose输出将如下所示：
status: inactive
如果激活了ufw，则输出将类似于以下内容：
默认情况下，ufw阻止所有传入连接并允许所有出站连接。这意味着除非您专门打开端口，否则任何尝试访问您的服务器的人都将无法连接。服务器上运行的应用程序和服务将能够访问外界。
默认策略在/etc/default/ufw文件中定义，可以使用sudo ufw default
防火墙策略是构建更详细和用户定义的规则的基础。通常，初始ufw默认策略是一个很好的起点。
大多数应用程序附带一个描述服务的应用程序配置文件，并包含ufw设置。/etc/ufw/applications.d软件包安装过程中将在目录中自动创建配置文件。
要列出系统上可用的所有应用程序配置文件，请执行以下操作：
sudo ufw utf --help根据系统上安装的软件包，输出将类似于以下内容：
available applications:
dns
imap
imaps
openssh
pop3
pop3s
postfix
postfix smtps
postfix submission
...
要查找有关特定配置文件和包含的规则的更多信息，请使用app info命令，后跟配置文件名称。例如，要获取有关openssh配置文件的信息，可以使用：
sudo ufw app info opensshprofile: openssh
title: secure shell server, an rshd replacement
description: openssh is a free implementation of the secure shell protocol.
port:
22/tcp
输出包括配置文件名称，标题，描述和防火墙规则。
在首先启用ufw防火墙之前，您需要允许传入的ssh连接。
如果要从远程位置连接到服务器，并且在显式允许传入的ssh连接之前启用ufw防火墙，则将无法再连接到debian服务器。
要将ufw防火墙配置为接受ssh连接，请运行以下命令：
sudo ufw allow opensshrules updated
rules updated (v6)
如果ssh服务器正在侦听默认端口22以外的端口，则需要打开该端口。
例如，您的ssh服务器监听port 7722，您将执行：
sudo ufw allow 7722/tcp现在，ufw防火墙已配置为允许传入ssh连接，请运行以下命令启用它：
sudo ufw enablecommand may disrupt existing ssh connections. proceed with operation (y|n)? y
firewall is active and enabled on system startup
将警告您启用防火墙可能会破坏现有的ssh连接。输入“ y”，然后按“ enter”。
根据服务器上运行的应用程序，您需要打开运行服务的端口。
以下是几个如何允许传入连接到某些最常见服务的示例：
允许http连接：
sudo ufw allow httphttp您可以使用端口号代替配置文件80：
sudo ufw allow 80/tcp允许https连接：
sudo ufw allow https您也可以使用端口号443：
sudo ufw allow 443/tcp如果运行tomcat或侦听端口的任何其他应用程序，请8080使用以下命令打开端口：
sudo ufw allow 8080/tcp使用ufw，您还可以允许访问端口范围。打开范围时，必须指定端口协议。
例如，要在和两者上都允许从7100到的端口，请运行以下命令：7200tcpudp
sudo ufw allow 7100:7200/tcp
sudo ufw allow 7100:7200/udp要允许从特定ip地址访问所有端口，请使用ufw allow from命令后跟ip地址：
sudo ufw allow from 64.63.62.61要允许访问特定端口，假设22您的工作计算机上的ip地址为64.63.62.61的端口使用以下命令：
sudo ufw allow from 64.63.62.61 to any port 22允许从ip地址的子网进行连接的命令与使用单个ip地址时的命令相同。唯一的区别是您需要指定网络掩码。例如，如果要允许访问从192.168.1.1到192.168.1.254的ip地址到端口3360（mysql），则可以使用以下命令：
sudo ufw allow from 192.168.1.0/24 to any port 3306要允许对特定端口的访问，假设仅对特定网络接口eth2使用端口3360 ，请使用allow in on和网络接口的名称：
sudo ufw allow in on eth2 to any port 3306所有传入连接的默认策略都设置为deny，这意味着ufw将阻止所有传入连接，除非您专门打开该连接。
假设您打开了端口80和443，并且服务器正受到23.24.25.0/24网络的攻击。要拒绝来自的所有连接23.24.25.0/24，请使用以下命令：
sudo ufw deny from 23.24.25.0/24如果你只是想拒绝端口的访问80，并443从23.24.25.0/24使用：
sudo ufw deny from 23.24.25.0/24 to any port 80
sudo ufw deny from 23.24.25.0/24 to any port 443编写拒绝规则与编写允许规则相同。您只需要替换allow为deny。
删除ufw规则有两种方法。通过规则编号并通过指定实际规则。
通过规则编号删除ufw规则比较容易，特别是如果您不熟悉ufw。
要首先按规则编号删除规则，您需要找到要删除的规则编号。为此，请运行以下命令：
sudo ufw status numberedstatus: active
to action from
-- ------ ----
[ 1] 22/tcp allow in anywhere
[ 2] 80/tcp allow in anywhere
[ 3] 8080/tcp allow in anywhere
要删除规则号3（允许连接到端口8080的规则），可以使用以下命令：
sudo ufw delete 3第二种方法是通过指定实际规则来删除规则。例如，如果添加了打开端口的规则，则8069可以使用以下命令将其删除：
sudo ufw delete allow 8069如果出于任何原因要停止ufw并停用所有运行的规则，请执行以下操作：
sudo ufw disable以后，如果您想重新启用utf并激活所有规则，只需键入：
sudo ufw enable重置ufw将禁用ufw，并删除所有活动规则。如果您想还原所有更改并重新开始，这将很有帮助。
要重置ufw，只需键入以下命令：
sudo ufw reset
原创文章，作者：校长，如若转载，请注明出处：https://www.yundongfang.com/yun36039.html
微信扫一扫不于多少！ 
支付宝扫一扫礼轻情意重 
