ubuntu防火墙定制化建议

Ubuntu 防火墙定制化建议

一 基础策略与启用顺序

• 采用最小暴露面：设置默认策略为拒绝所有入站、允许所有出站，仅对必需服务放通。
• 远程操作务必先放行 SSH（22/TCP） 再启用防火墙，避免被锁在系统外。
• 按需放行常用服务：如 HTTP（80/TCP）、HTTPS（443/TCP）；仅开放必要端口与协议。
• 建议启用连接限制（rate limit）缓解暴力破解，并对规则变更前后进行状态核验。

示例（按顺序执行）： sudo ufw default deny incoming sudo ufw default allow outgoing sudo ufw allow ssh # 或 sudo ufw allow 22/tcp sudo ufw allow http sudo ufw allow https sudo ufw limit ssh # 30 秒内超过 6 次触发限制 sudo ufw enable sudo ufw status verbose

二 场景化规则模板

• 仅内网或跳板机可 SSH
  • 放通管理网段：sudo ufw allow from 192.168.1.0/24 to any port 22 proto tcp
  • 或仅放通白名单 IP：sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• 多网卡精细化控制
  • 仅允许 eth0 的 80/TCP：sudo ufw allow in on eth0 to any port 80 proto tcp
• 端口范围与协议
  • 连续端口（示例 1000–2000/TCP）：sudo ufw allow 1000:2000/tcp
  • 指定协议更严谨（避免同时放行 UDP）：sudo ufw allow 2290:2300/tcp
• 拒绝来源或子网
  • 拒绝单个 IP：sudo ufw deny from 203.0.113.100
  • 拒绝子网：sudo ufw deny from 203.0.113.0/24
• 按接口与来源组合
  • 拒绝某 IP 在特定接口访问某端口：sudo ufw deny in on eth1 from 203.0.113.100 to any port 21 proto tcp
• 应用配置文件
  • 查看可用应用：sudo ufw show apps
  • 放行完整 Apache：sudo ufw allow “Apache Full”

三 日志监控与维护

• 启用与分级日志
  • 开启日志：sudo ufw logging on
  • 设置级别（low/medium/high/full）：sudo ufw logging medium
• 查看与分析
  • 实时查看：sudo journalctl -t ufw
  • 关注被拒连接：grep “UFW BLOCK” /var/log/ufw.log
• 规则变更与回滚
  • 带编号管理：sudo ufw status numbered；按编号删除：sudo ufw delete
  • 备份与恢复：sudo cp /etc/ufw/user.rules ~/ufw_rules_backup；恢复后执行 sudo ufw reload
• 定期巡检
  • 例行检查：sudo ufw status；清理不再需要的规则；验证关键业务端口放通情况。

四 进阶与云环境要点

• IPv6 管理
  • 确认启用：编辑 /etc/default/ufw 中 IPV6=yes
  • 可针对 IPv6 单独放通：sudo ufw allow from 2001:db8::1 to any port 22 proto tcp
• 规则优先级与插入
  • 在指定位置插入高优先级规则：sudo ufw insert 2 allow 8080/tcp
• 严格出站策略（按需）
  • 默认拒绝出站后，显式放行必要流量（如 DNS、NTP、HTTP/HTTPS、业务依赖 API）：sudo ufw allow out 53；sudo ufw allow out 80,443/tcp
• 云平台协同
  • 云服务器需同时配置安全组与 UFW，两者取“交集”生效；例如仅放通管理源 IP 的 22/TCP 到实例，同时在 UFW 中也仅允许该来源。
• 与 fail2ban 联动
  • 安装并配置 fail2ban，启用 UFW 动作以自动封禁暴破来源：action = ufw。

五 快速加固清单

• 默认策略：入站 deny、出站 allow；启用前先放行 SSH。
• 服务放通最小化：仅开放 22/80/443 等必要端口，协议限定为 TCP（DNS/NTP 等按需放通 UDP）。
• 强化 SSH：使用 limit 限速；如非必要，考虑更改默认端口并仅对白名单来源放通。
• 日志与告警：开启 medium 级别日志，定期审计 UFW BLOCK；关键业务变更前备份规则。
• 云上部署：同步配置安全组与 UFW，优先使用源地址白名单策略。