UFW 入门：常见防火墙规则与命令详解

达耳闻

UFW（Uncomplicated Firewall）是 iptables 的一个前端接口，旨在提供一个简单易用的方式来管理 Linux 的网络防火墙。它允许用户通过更直观的命令来定义允许或拒绝特定端口、协议或 IP 地址的网络流量。

UFW 的主要优势包括：
易于使用： 相较于直接使用 iptables 命令，UFW 的语法更加简洁明了。
. w4 Q3 f: P  ?, E+ v默认策略： UFW 默认拒绝所有入站连接，只允许明确允许的连接，这提供了一个安全的起点。
) p' q8 [, y) C3 X; c模块化： 支持预定义的应用程序配置文件，简化了常见服务的配置。
2 {- ?' ?1 V9 U0 q6 AIPv6 支持： UFW 同时支持 IPv4 和 IPv6。
: |' @7 d& s: j
: N. f: G2 o$ O安装ufw
1 {2 e5 X* K) v2 o1 t& e& Bsudo apt-get install ufw
7 T+ a* w$ }- ?+ @
阻止单个IP地址
sudo ufw deny from 192.168.1.100 to any

阻止IP地址段
3 n, Z; ]4 A" A( ~sudo ufw deny from 192.168.1.0/24 to any
9 P% a5 m$ d8 G7 V: |: n& T: H
允许所有 IP 地址访问 22/tcp 端口
sudo ufw allow 22/tcp
" O" @) M6 }  X+ }
允许特定 IP 地址访问 22/tcp 端口 (更安全)
! h  l0 W2 p+ H7 H; A$ \8 v, xsudo ufw allow from 192.168.1.100 to any port 22 proto tcp
$ J9 X% I1 C. d5 G1 Y
- f: b% _$ X* Y% |
% {! K+ I$ l7 P) f; l! u解释：
allow：表示允许流量。
- w8 p0 z+ c# ^0 S9 W: ]22/tcp：指定端口号（22）和协议（TCP）。
1 K- k' j, y! ~% i" Sfrom <IP地址>：指定允许的源 IP 地址。
to any：表示目标地址是服务器上的任何接口。
7 D4 l* a; ~9 o$ a# j' J" e* Rproto tcp：指定协议为 TCP。
7 f, @0 ?: z& \2 n
允许特定子网访问 22/tcp 端口
sudo ufw allow from 192.168.1.0/24 to any port 22 proto tcp
; G0 G5 ^4 z$ M3 x
允许通过服务名称（推荐）
UFW 支持通过预定义的服务名称来配置规则，这比直接指定端口号更具可读性和维护性。SSH 的服务名称通常是 ssh。
sudo ufw allow ssh
; C$ t+ M( T+ ~$ n" O
# R! D* }6 X+ f- f* b删除允许所有 IP 访问 80/tcp 端口的规则
( a2 b* o4 F' V0 Dsudo ufw delete allow 80/tcp

通过行号删除 (推荐)

使用 sudo ufw status numbered 查看带有行号的规则，然后使用 sudo ufw delete <行号> 来删除。
假设您想删除行号为 2 的规则：sudo ufw delete 2

' D" C" [$ v, n8 Z7 |
, c' C! Y7 Q7 N, S如果您需要临时禁用防火墙，可以执行：sudo ufw disable

如果您想删除所有已配置的规则，并恢复到初始的禁用状态（包括默认策略），可以使用：sudo ufw reset

9 B- P! h3 K) G' z7 J允许特定端口范围
9 }/ e) s: X: s' Rsudo ufw allow 60000:61000/tcp
, |6 [8 G. {8 qsudo ufw allow 60000:61000/udp

! u+ N9 a; O. @2 U6 V( q# B拒绝来自特定 IP 的所有连接
sudo ufw deny from 192.168.1.100
+ D; u, r9 f2 u2 Y" k" T
拒绝来自特定 IP 的特定端口连接
sudo ufw deny from 192.168.1.100 to any port 22 proto tcp
3 w0 U7 r8 r! t2 X" y& C8 N
查看可用应用程序配置文件
sudo ufw app list
* A# L" c' m  E+ x
  e6 W* X( ^- o+ H) {8 [启用ufw并查看状态
sudo ufw enable
# w: K" u9 W( k8 P1 d5 Wsudo ufw status
6 R7 Z* T, R/ i3 H2 _7 r
8 c$ l& F" Q0 s9 s* T' X- i
& ?+ a8 y- [+ u, V6 M核心命令回顾：
6 l' u4 L3 O; j; Y& G
5 e$ {- _: R' K! S2 {( tsudo ufw enable - 启用防火墙
sudo ufw disable - 禁用防火墙
) u1 ]9 N" G; m) ?9 p2 r8 I7 qsudo ufw status - 查看防火墙状态
sudo ufw status numbered - 查看带行号的防火墙规则
sudo ufw allow <port>/<protocol> - 允许流量
sudo ufw deny <port>/<protocol> - 拒绝流量
sudo ufw limit <port>/<protocol> - 限制连接频率
sudo ufw delete <rule> - 删除规则
sudo ufw reset - 重置防火墙
+ v5 p  ]0 a7 `6 U/ I! \& L; h