Debian Minimal防火墙配置指南 - 问答

Debian Minimal 防火墙配置指南

一工具选择与适用场景

UFW Uncomplicated Firewall：基于 iptables 的前端，语法简洁，适合 Debian Minimal 快速启用与日常运维。
iptables：内核 Netfilter 的命令行工具，灵活强大，适合需要细粒度控制的场景。
nftables：iptables 的继任者，语法更现代，适合新系统或希望长期演进的方案。
说明：firewalld 主要面向 RHEL/CentOS/Fedora，在 Debian 上可用但不属主流选择。

二方案一 UFW 快速启用

安装与启用

sudo apt update
sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

常用规则

sudo ufw allow 22/tcp              # SSH（如已改端口，请替换为实际端口）
sudo ufw allow 80,443/tcp         # HTTP/HTTPS
sudo ufw allow 3000:3100/tcp      # 端口范围
sudo ufw allow from 192.168.1.100 to any port 22  # 仅允许指定 IP 访问 SSH
sudo ufw status verbose           # 查看状态与规则
sudo ufw delete allow 80/tcp      # 删除规则
sudo ufw logging on               # 开启日志

提示：在远程服务器上务必先放行 SSH 再启用，避免被锁。

三方案二 iptables 手工规则与持久化

基本放行与默认策略

sudo apt update
sudo apt install -y iptables

# 允许回环
sudo iptables -A INPUT -i lo -j ACCEPT

# 允许已建立和相关连接
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 按需放行
sudo iptables -A INPUT -p tcp --dport 22  -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80  -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 可选：允许 Ping
sudo iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

# 默认拒绝入站（谨慎：确保已放行 SSH，或先本地/控制台操作）
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP

持久化保存与开机恢复

# 保存当前规则
sudo apt install -y iptables-persistent
# 安装过程中选择“是”保存当前规则；后续可用：
sudo netfilter-persistent save
sudo netfilter-persistent restart

说明：Debian 默认不自动保存 iptables 规则，需借助 iptables-persistent 或自定义 systemd 服务在启动时恢复。

四方案三 nftables 现代替代方案

安装与启用

sudo apt update
sudo apt install -y nftables
sudo systemctl enable --now nftables

基本规则示例（/etc/nftables.conf 或交互式添加）

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;

    iif "lo" accept
    ct state established,related accept
    tcp dport { 22, 80, 443 } accept
    icmp type echo-request accept
  }

  chain forward { type filter hook forward priority 0; policy drop; }
  chain output { type filter hook output priority 0; policy accept; }
}

保存与恢复

sudo nft list ruleset > /etc/nftables.conf
# 重启后自动加载；如需立即生效：
sudo nft -f /etc/nftables.conf

提示：nftables 为 iptables 的替代方案，语法更简洁，长期维护成本更低。

五安全加固与运维要点

最小暴露面：仅开放必要端口；对 SSH 建议限制来源 IP，必要时修改默认端口并配合密钥登录。
状态与连接：放行已建立/相关连接（如 conntrack/state），避免会话中断。
日志与监控：启用防火墙日志，定期审计规则与监听端口（如 ss -tulpen、nft list ruleset）。
变更流程：先测试后上线，变更前备份规则；远程操作务必保留一条当前会话或控制台通道。
持久化：确保所选工具的规则在重启后自动恢复（UFW 自带持久化；iptables 用 iptables-persistent；nftables 用配置文件与开机服务）。

0 赞

0 踩