ufw 防火墙

一、命令简介

ufw（Uncomplicated Firewall）是一个为 Linux 系统提供简单易用的命令行界面的防火墙管理工具。它是基于 iptables 的，但提供了更简洁的语法和更直观的操作方式，使得配置防火墙变得更加简单，特别适合那些希望快速设置基本防火墙的用户，同时也支持更高级的配置需求。

安装 ufw

sudo apt update
sudo apt install ufw

二、命令参数

命令格式：

sudo ufw 子命令 [选项] [规则]

[子命令]：如 enable、disable、allow、deny、limit、delete 等，用于执行特定的防火墙操作。
[选项]：这是子命令的可选参数，用于进一步定义或修改子命令的行为。
[规则]：这是指定防火墙规则的部分，通常包括流量来源、目的地、使用的协议和端口等信息。

子命令

enable: 启用UFW。
disable: 禁用UFW。
allow: 允许特定的连接或服务。
deny: 拒绝特定的连接或服务。
reject: 拒绝特定的连接或服务，并返回一个错误信息给客户端。
limit: 限制特定连接的速率。
delete: 删除一个特定的规则。
insert: 在规则列表中的特定位置插入一条规则。
status: 显示当前的防火墙规则状态。
status numbered: 显示当前防火墙规则的状态，并带上规则的编号。
reset: 重置UFW的规则，即删除所有规则。

选项

--dry-run: 显示规则更改，但不实际应用它们。
--force: 强制执行命令，不进行任何提示。
in: 指定规则应用于进入的连接。
out: 指定规则应用于输出的连接。
on: 指定规则应用于特定的网络接口。

规则

ssh: 允许或拒绝SSH连接。
80/tcp: 指定TCP端口80的规则。
53/udp: 指定UDP端口53的规则。
from 192.168.1.100: 指定来自特定IP地址的规则。
to any: 指定目标为任何地址的规则。

三、命令示例

启用 ufw：
```
sudo ufw enable
```
禁用 ufw：
```
sudo ufw disable
```
允许所有传入流量：
```
sudo ufw default allow incoming
```
- default：这个关键字用于设置默认的策略，而不是针对特定的服务或端口。
- allow：允许。
- incoming：这个关键字指定了规则的类型，这里是针对传入的流量。
拒绝所有传入流量：
```
sudo ufw default deny incoming
```
- deny：拒绝。
允许所有传出流量：
```
sudo ufw default allow outgoing
```
- outgoing：这个关键字指定了规则的类型，这里是针对传出的流量。
拒绝所有传出流量：
```
sudo ufw default deny outgoing
```
允许来自特定 IP 地址的流量：
```
sudo ufw allow from 192.168.1.100
```
拒绝来自特定 IP 地址的流量：
```
sudo ufw deny from 192.168.1.200
```
允许特定端口的流量（例如，TCP 端口 80）：
```
sudo ufw allow 80/tcp
```
拒绝特定端口的流量（例如，UDP 端口 53）：
```
sudo ufw deny 53/udp
```
允许特定服务的流量（例如，SSH）：
```
sudo ufw allow ssh
```
拒绝特定服务的流量（例如，MySQL）：
```
sudo ufw deny mysql
```
限制特定端口的连接尝试（例如，每分钟不超过 20 次）：
```
sudo ufw limit 22/tcp
```
删除特定规则的编号（例如，删除编号为 3 的规则）：
```
sudo ufw delete 3
```
在特定位置插入规则（例如，在编号 5 的位置插入规则）：
```
sudo ufw insert 5 allow 2222/tcp
```
在规则列表的开头添加规则（例如，允许 TCP 端口 443）：
```
sudo ufw prepend allow 443/tcp
```
重新加载 ufw 的规则：
```
sudo ufw reload
```
重置 ufw 的规则到默认状态：
```
sudo ufw reset
```
显示 ufw 的当前状态：
```
sudo ufw status
```
显示 ufw 的当前状态，包括规则编号：
```
sudo ufw status numbered
```
显示 ufw 的详细状态：
```
sudo ufw status verbose
```
显示 ufw 的版本信息：
```
sudo ufw version
```
列出所有应用程序配置文件：
```
sudo ufw app list
```
显示特定应用程序配置文件的详细信息（例如，SSH）：
```
sudo ufw app info ssh
```
更新特定应用程序配置文件（例如，SSH）：
```
sudo ufw app update ssh
```
设置默认的应用程序策略（例如，允许 Dovecot）：
```
sudo ufw app default allow dovecot
```

四、规则生效顺序

存在多条规则时，如果规则间有冲突，则前者优先生效。

To                         Action      From
--                         ------      ----
22                         ALLOW       192.168.10.0/24  #第1条始终有效，因为它在最前面。
22                         DENY        Anywhere         #与前面的规则冲突，只能部分生效，DENY对规则1描述的网段不生效。
22 (v6)                    DENY        Anywhere (v6)	#生效

第一条规则始终有效
第二条规则，与第一条规则冲突的部分无效，不冲突的部分有效。
第三条规则有效。

练习： 限制端口 22 每分钟只能尝试连接 5 次，但不限制来自192.168.10.0/24 网段的连接？

限制默认连接次数。编辑 /etc/ufw/ufw.conf 文件，设置参数 LIMIT = "5/minute"，保存。执行 sudo ufw reload 重载 ufw 配置。
允许特例。

# 允许内网192.168.10.0/24网段无限连接尝试
sudo ufw allow from 192.168.10.0/24 to any port 22

# 限制端口连接频率
sudo ufw limit proto tcp to any port 22

注意：添加规则的顺序很重要。 因为规则列表的顺序就是ufw生效顺序。应先添加特例，再添加默认行为。

一、命令简介​

安装 ufw​

二、命令参数​

子命令​

选项​

规则​

三、命令示例​

四、规则生效顺序​

一、命令简介

安装 ufw

二、命令参数

子命令

选项

规则

三、命令示例

四、规则生效顺序