blueyi's notes

Follow Excellence,Success will chase you!

0%

Linux实用工具总结之UFW

Posted on In
Symbols count in article: 4k Reading time ≈ 4 mins.

UFW，即Uncomplicated Firewall，是基于iptables实现的防火墙管理工具，所以实际上UFW修改的是iptables的规则。之所以不直接使用iptables，而要通过UFW进行管理是因为iptables的规则对于新手入门来说有点难，UFW做了很好的包装。

本文测试环境为Ubuntu 16.04，其他系统可做参考。

安装

Ubuntu系统默认已经安装了UFW，如果没有ufw，可以手动安装：

1
2
$ sudo apt-get update
$ sudo apt-get install ufw

基础配置

允许UFW管理IPV6

1
sudo vim /etc/default/ufw

确保你的IPV6选项为yes即可：

1
2
3
...
IPV6=yes
...

设置默认规则

UFW默认情况下允许所有的出站连接，拒绝所有的入站连接，所以这里首先将UFW设置为默认规则：

1
2
$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

ufw default也允许使用reject参数

允许SSH连接

一旦启用UFW之后，如果没有允许SSH连接，将无法再通过SSH远程访问主机，所以在开启防火墙之后要确认SSH连接已经设置为允许：

1
$ sudo ufw allow ssh

这里创建一条规则，允许ssh连接，其实是允许22端口的连接，等价于：

1
$ sudo ufw allow 22

UFW通过/etc/services知道ssh服务使用的默认端口为22，如果你的SSH服务使用的端口不是22，则应该修改为相应 的端口号。

查看防火墙状态

通过以下命令查看防火墙状态：

1
$ sudo ufw status verbose

也可以不带verbose，当防火墙处于关闭状态时只会显示inactive
可以查看刚刚添加的防火墙规则：

1
$ sudo ufw show added

show后面还可以跟其他几项参数，可以通过man手册查看REPORTS

启用/禁用UFW

启用UFW命令：

1
$ sudo ufw enable

该命令默认会将UFW设置为开机启动，如果发现重启后UFW并没有自动启动，可以手动设置UFW服务开机自动启动：

1
2
$ sudo systemctl start ufw
$ sudo systemctl enable ufw

记得查看防火墙当前的状态：

1
2
3
4
5
6
7
$ sudo ufw status
Status: active

To                         Action      From
--                         ------      ----
22                         ALLOW       Anywhere
22 (v6)                    ALLOW       Anywhere (v6)

禁用UFW：

1
$ sudo ufw disable

该命令会禁用防火墙并关闭其开机自动启动

启用/禁用防火墙日志

启用防火墙日志：

1
$ sudo ufw logging on

可以指定日志级别sudo ufw logging low|medium|high
日志文件在/var/log/ufw.log
内容形如：

1
Sep 16 15:08:14 <hostname> kernel: [UFW BLOCK] IN=eth0 OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:00:00 SRC=123.45.67.89 DST=987.65.43.21 LEN=40 TOS=0x00 PREC=0x00 TTL=249 ID=8475 PROTO=TCP SPT=48247 DPT=22 WINDOW=1024 RES=0x00 SYN URGP=0

其中前面列出了主机防火墙日志的日期、时间、主机名，后面的内容意思是：

  • [UFW BLOCK]：表示事件描述的开始以及是何种事件。在此例中，它表示阻止了连接。
  • IN：如果它包含一个值，那么代表该事件是传入事件
  • OUT：如果它包含一个值，那么代表事件是传出事件
  • MAC：目的地和源 MAC 地址的组合
  • SRC：IP数据包的源IP
  • DST：目的地的IP
  • LEN：数据包长度
  • TTL：数据 TTL，或称为time to live。
  • PROTO：数据包的协议
  • SPT：数据包的源端口
  • DPT：目标端口
  • WINDOW：发送方可以接收的数据包的大小
  • SYN URGP：指示是否需要三次握手。 0 表示不需要。

禁用防火墙日志：

1
$ sudo ufw logging off

允许连接

默认情况下ufw的allow不加in允许连接是指允许入站连接，如果要指定允许出站，可以加上out，如：

1
2
$ sudo ufw allow in port #允许port入站
$ sudo ufw allow out port #允许port出站

允许指定端口的所有连接协议

通过刚才设置ssh的规则，可以知道直接allow就是允许连接
允许HTTP 80端口的所有连接：

1
$ sudo ufw allow http

等价于：

1
$ sudo ufw allow 80

同样可以允许https的连接：

1
$ sudo ufw allow https

等价于：

1
$ sudo ufw allow 443

允许指定端口的指定协议连接

FTP默认端口为21，连接协议为tcp，那么可以这样：

1
$ sudo ufw allow ftp

等价于：

1
$ sudo ufw allow 21/tcp

允许指定范围内的端口的指定协议的连接

例如，X11的连接端口范围是6000-6007：

1
2
$ sudo ufw allow 6000:6007/tcp
$ sudo ufw allow 6000:6007/udp

允许指定IP的连接

通过查看防火墙状态可以看出有个From：

1
2
3
4
5
6
7
8
9
$ sudo ufw status
Status: active

To                         Action      From
--                         ------      ----
22                         ALLOW       Anywhere                  
21/tcp                     ALLOW       Anywhere                  
22 (v6)                    ALLOW       Anywhere (v6)             
21/tcp (v6)                ALLOW       Anywhere (v6)

默认情况是相应端口允许所有IP的连接，可以通过后跟from指定允许某IP的所有连接：

1
$ sudo ufw allow from 15.15.15.51

允许15.15.15.51的所有入站连接，命令后面跟to any port 22允许端口22的所有连接：

1
$ sudo ufw allow from 15.15.15.51 to any port 22

允许子网的连接

如果要允许IP段15.15.15.1到15.15.15.254的所有连接：

1
$ sudo ufw allow from 15.15.15.0/24

并指定连接端口：

1
$ sudo ufw allow from 15.15.15.0/24 to any port 22

指定允许通过某个网卡的连接

通过命令中加入allow in on即可
首先查看系统中的所有网卡：

1
$ ip addr

或者：

1
$ ifconfig

假设这里允许eth0的80端口连接：

1
$ sudo ufw allow in on eth0 to any port 80

允许出站连接

允许相应端口的出站连接，直接allow后面跟out即可：

1
$ sudo ufw allow out 34

拒绝连接

与允许连接一样，只需要将相应的allow换成deny即可，如拒绝http端口的所有连接：

1
$ sudo ufw deny http

等价于：

1
$ sudo ufw deny 80

拒绝指定ip的连接：

1
$ sudo ufw deny from 15.15.15.51

删除规则

UFW有两种方式删除防火墙规则，既可以通过规则号删除，也可以通过实际规则删除，通过规则号删除更容易。

通过规则号删除

首先查看所有规则的规则号：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
$ sudo ufw status numbered
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22                         ALLOW IN    Anywhere                  
[ 2] 21/tcp                     ALLOW IN    Anywhere                  
[ 3] 34                         ALLOW IN    Anywhere                  
[ 4] 34                         ALLOW OUT   Anywhere                   (out)
[ 5] 22                         ALLOW OUT   15.15.15.51                (out)
[ 6] 22 (v6)                    ALLOW IN    Anywhere (v6)             
[ 7] 21/tcp (v6)                ALLOW IN    Anywhere (v6)             
[ 8] 34 (v6)                    ALLOW IN    Anywhere (v6)             
[ 9] 34 (v6)                    ALLOW OUT   Anywhere (v6)              (out)

然后直接delete即可，例如删除ftp(21)的连接规则：

1
2
$ sudo ufw delete 2
$ sudo ufw delete 7

因为即有ipv6，又有ipv4，所以需要删除2个

通过规则删除

删除allow http规则：

1
$ sudo ufw delete allow http

等价于：

1
$ sudo ufw delete allow 80

重置防火墙规则

1
$ sudo ufw reset

该命令将禁用UFW，并且删除所有已经定义的规则，不过默认该命令会对已经设置的规则进行备份

备份/还原规则

UFW的所有规则文件都在路径/etc/ufw/，其中before.rules规则为UFW在运行用户自定义的规则之前运行的规则，相应的before6.rules对应IPV6。after.rules为UFW启用用户自定义规则之后运行的规则。user.rules即为用户自定义的规则。
/etc/default/ufw文件为UFW的配置文件。
所以可以通过直接备份这些配置文件的方式来备份防火墙规则，需要备份的文件有：

1
2
3
/etc/ufw/*.rules
/lib/ufw/*.rules
/etc/default/ufw  # 这个配置文件如果没有修改过，可以不备份

修改配置文件之后通过以下命令重新加载配置文件：

1
$ sudo ufw reload

其他

批量禁止IP

1
$ while read line; do sudo ufw deny from $line; done < file.txt

file.txt里面是一个需要禁止的IP列表

参考：
1.How To Set Up a Firewall with UFW on Ubuntu
2.UncomplicatedFirewall
3.How to Configure a Firewall with UFW

Welcome to my other publishing channels