Linux 中的防火墻 ufw 簡(jiǎn)介
我們來(lái)研究下 Linux 上的 ufw（簡(jiǎn)單防火墻），為你更改防火墻提供一些見(jiàn)解和命令。
ufw（簡(jiǎn)單防火墻Uncomplicated FireWall）真正地簡(jiǎn)化了 iptables，它從出現(xiàn)的這幾年，已經(jīng)成為 Ubuntu 和 Debian 等系統(tǒng)上的默認(rèn)防火墻。而且 ufw 出乎意料的簡(jiǎn)單，這對(duì)新管理員來(lái)說(shuō)是一個(gè)福音，否則他們可能需要投入大量時(shí)間來(lái)學(xué)習(xí)防火墻管理。
ufw 也有 GUI 客戶端（例如 gufw），但是 ufw 命令通常在命令行上執(zhí)行的。本文介紹了一些使用 ufw 的命令，并研究了它的工作方式。
首先，快速查看 ufw 配置的方法是查看其配置文件 —— /etc/default/ufw。使用下面的命令可以查看其配置，使用 grep 來(lái)抑制了空行和注釋（以 # 開(kāi)頭的行）的顯示。
$ grep -v '^#\|^$' /etc/default/ufw IPV6=yes DEFAULT_INPUT_POLICY="DROP" DEFAULT_OUTPUT_POLICY="ACCEPT" DEFAULT_FORWARD_POLICY="DROP" DEFAULT_APPLICATION_POLICY="SKIP" MANAGE_BUILTINS=no IPT_SYSCTL=/etc/ufw/sysctl.conf IPT_MODULES="nf_conntrack_ftp nf_nat_ftp nf_conntrack_netbios_ns"
正如你所看到的，默認(rèn)策略是丟棄輸入但允許輸出。允許你接受特定的連接的其它規(guī)則是需要單獨(dú)配置的。
ufw 命令的基本語(yǔ)法如下所示，但是這個(gè)概要并不意味著你只需要輸入 ufw 就行，而是一個(gè)告訴你需要哪些參數(shù)的快速提示。
ufw [--dry-run] [options] [rule syntax]
--dry-run 選項(xiàng)意味著 ufw 不會(huì)運(yùn)行你指定的命令，但會(huì)顯示給你如果執(zhí)行后的結(jié)果。但是它會(huì)顯示假如更改后的整個(gè)規(guī)則集，因此你要做有好多行輸出的準(zhǔn)備。
要檢查 ufw 的狀態(tài)，請(qǐng)運(yùn)行以下命令。注意，即使是這個(gè)命令也需要使用 sudo 或 root 賬戶。
$ sudo ufw status Status: active To Action From -- ------ ---- 22 ALLOW 192.168.0.0/24 9090 ALLOW Anywhere 9090 (v6) ALLOW Anywhere (v6)
否則，你會(huì)看到以下內(nèi)容：
$ ufw status
ERROR: You need to be root to run this script
加上 verbose 選項(xiàng)會(huì)提供一些其它細(xì)節(jié)：
$ sudo ufw status verbose Status: active Logging: on (low) Default: deny (incoming), allow (outgoing), disabled (routed) New profiles: skip To Action From -- ------ ---- 22 ALLOW IN 192.168.0.0/24 9090 ALLOW IN Anywhere 9090 (v6) ALLOW IN Anywhere (v6)
你可以使用以下命令輕松地通過(guò)端口號(hào)允許和拒絕連接：
$ sudo ufw allow 80 <== 允許 http 訪問(wèn) $ sudo ufw deny 25 <== 拒絕 smtp 訪問(wèn)
你可以查看 /etc/services 文件來(lái)找到端口號(hào)和服務(wù)名稱之間的聯(lián)系。
$ grep 80/ /etc/services http 80/tcp www # WorldWideWeb HTTP socks 1080/tcp # socks proxy server socks 1080/udp http-alt 8080/tcp webcache # WWW caching service http-alt 8080/udp amanda 10080/tcp # amanda backup services amanda 10080/udp canna 5680/tcp # cannaserver
或者，你可以命令中直接使用服務(wù)的名稱。
$ sudo ufw allow http Rule added Rule added (v6) $ sudo ufw allow https Rule added Rule added (v6)
進(jìn)行更改后，你應(yīng)該再次檢查狀態(tài)來(lái)查看是否生效：
$ sudo ufw status Status: active To Action From -- ------ ---- 22 ALLOW 192.168.0.0/24 9090 ALLOW Anywhere 80/tcp ALLOW Anywhere <== 443/tcp ALLOW Anywhere <== 9090 (v6) ALLOW Anywhere (v6) 80/tcp (v6) ALLOW Anywhere (v6) <== 443/tcp (v6) ALLOW Anywhere (v6) <==
ufw 遵循的規(guī)則存儲(chǔ)在 /etc/ufw 目錄中。注意，你需要 root 用戶訪問(wèn)權(quán)限才能查看這些文件，每個(gè)文件都包含大量規(guī)則。
$ ls -ltr /etc/ufw total 48 -rw-r--r-- 1 root root 1391 Aug 15 2017 sysctl.conf -rw-r----- 1 root root 1004 Aug 17 2017 after.rules -rw-r----- 1 root root 915 Aug 17 2017 after6.rules -rw-r----- 1 root root 1130 Jan 5 2018 before.init -rw-r----- 1 root root 1126 Jan 5 2018 after.init -rw-r----- 1 root root 2537 Mar 25 2019 before.rules -rw-r----- 1 root root 6700 Mar 25 2019 before6.rules drwxr-xr-x 3 root root 4096 Nov 12 08:21 applications.d -rw-r--r-- 1 root root 313 Mar 18 17:30 ufw.conf -rw-r----- 1 root root 1711 Mar 19 10:42 user.rules -rw-r----- 1 root root 1530 Mar 19 10:42 user6.rules
本文前面所作的更改，為 http 訪問(wèn)添加了端口 80 和為 https 訪問(wèn)添加了端口 443，在 user.rules 和 user6.rules 文件中看起來(lái)像這樣：
# grep " 80 " user*.rules user6.rules:### tuple ### allow tcp 80 ::/0 any ::/0 in user6.rules:-A ufw6-user-input -p tcp --dport 80 -j ACCEPT user.rules:### tuple ### allow tcp 80 0.0.0.0/0 any 0.0.0.0/0 in user.rules:-A ufw-user-input -p tcp --dport 80 -j ACCEPT You have new mail in /var/mail/root # grep 443 user*.rules user6.rules:### tuple ### allow tcp 443 ::/0 any ::/0 in user6.rules:-A ufw6-user-input -p tcp --dport 443 -j ACCEPT user.rules:### tuple ### allow tcp 443 0.0.0.0/0 any 0.0.0.0/0 in user.rules:-A ufw-user-input -p tcp --dport 443 -j ACCEPT
使用 ufw，你還可以使用以下命令輕松地阻止來(lái)自一個(gè) IP 地址的連接：
$ sudo ufw deny from 208.176.0.50
Rule added
status 命令將顯示更改：
$ sudo ufw status verbose Status: active Logging: on (low) Default: deny (incoming), allow (outgoing), disabled (routed) New profiles: skip To Action From -- ------ ---- 22 ALLOW IN 192.168.0.0/24 9090 ALLOW IN Anywhere 80/tcp ALLOW IN Anywhere 443/tcp ALLOW IN Anywhere Anywhere DENY IN 208.176.0.50 <== new 9090 (v6) ALLOW IN Anywhere (v6) 80/tcp (v6) ALLOW IN Anywhere (v6) 443/tcp (v6) ALLOW IN Anywhere (v6)
總而言之，ufw 不僅容易配置，而且且容易理解。
總結(jié)
到此這篇關(guān)于Linux 防火墻 ufw 簡(jiǎn)介的文章就介紹到這了,更多相關(guān)Linux 防火墻 ufw內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
在Linux系統(tǒng)中,為了防止客戶端程序在分配TCP源端口時(shí)使用到服務(wù)器程序綁定的特定端口（例如12345）,可以采用多種策略來(lái)避免端口沖突,總體而言,優(yōu)先使用sysctl設(shè)置保留端口是最簡(jiǎn)單有效的解決方案,但也可以采用其他方法來(lái)確保端口不會(huì)發(fā)生沖突2024-10-10
Linux 中有效用戶組和初始用戶組的實(shí)現(xiàn)
這篇文章主要介紹了Linux 中有效用戶組和初始用戶組的實(shí)現(xiàn)，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2019-11-11
Git 刪除遠(yuǎn)程服務(wù)器文件同時(shí)保留本地文件實(shí)例詳解
這篇文章主要介紹了Git 刪除遠(yuǎn)程服務(wù)器文件同時(shí)保留本地文件實(shí)例詳解的相關(guān)資料,需要的朋友可以參考下2017-05-05
剛搭建完成一個(gè)程序用的軟件。把自己在搭建時(shí)步驟寫(xiě)下來(lái)，省的在搭建的時(shí)候走彎路，找資料。2010-02-02
實(shí)戰(zhàn) LAMP 服務(wù)器配置 完整篇
LAMP 服務(wù)器配置 按部就班篇，大家可以學(xué)習(xí)試試。2009-06-06
Linux網(wǎng)絡(luò)DNS域名如何解析服務(wù)
詳解DNS系統(tǒng)的作用、分布式數(shù)據(jù)結(jié)構(gòu)、系統(tǒng)類型、查詢類型及原理,介紹如何配置DNS正向解析,包括環(huán)境搭建、修改配置文件、啟動(dòng)服務(wù)等2024-09-09
Ubuntu系統(tǒng)日志配置 /var/log/messages的方法
今天小編就為大家分享一篇Ubuntu系統(tǒng)日志配置 /var/log/messages的方法，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2019-07-07
這篇文章主要介紹了Linux下忘記mysql密碼該如何修改mysql密碼的相關(guān)資料,需要的朋友可以參考下2016-02-02
Linux多線程環(huán)境下 關(guān)于進(jìn)程線程終止函數(shù)總結(jié)
下面小編就為大家?guī)?lái)一篇Linux多線程環(huán)境下 關(guān)于進(jìn)程線程終止函數(shù)總結(jié)。小編覺(jué)得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2017-01-01
在當(dāng)前很多php程序都使用了linux服務(wù)器，因?yàn)閜hp在linux下運(yùn)行效果更佳，很多大網(wǎng)站采用了linux服務(wù)器2012-04-04