ubuntu防火墙兼容性测试

Ubuntu 防火墙兼容性测试方案

一 测试目标与范围

• 明确被测组件与版本：操作系统版本（如 Ubuntu 20.04/22.04）、防火墙后端（UFW/firewalld/iptables/nftables）、以及是否涉及容器平台（如 Docker）。Ubuntu 20.04 多使用 iptables 栈，Ubuntu 22.04 起默认使用 nftables，而 UFW/firewalld 为前端管理工具；在 22.04 上，iptables 命令多为指向 nft 的兼容层（iptables-nft）。同时，UFW 与 Docker 因 iptables 的交互会导致端口放行行为不一致，需要专项验证。以上差异直接影响规则生效与观测方式，是兼容性测试的前置判断项。

二 测试环境与工具

• 网络拓扑：准备一台可外联的“审计机”（与被测机可达），用于发起扫描与抓包；避免在生产环境直接扫描，遵守所在网络与法律的合规要求。
• 工具链：
  • 端口与服务探测：nmap（建议含 SYN 扫描、服务/版本探测、脚本扫描等模式）。
  • 流量观测：tcpdump（在目标机抓包，验证是否收到/响应探测报文）。
  • 规则观测：根据后端选择查看方式（如 iptables -L -n -v、nft list ruleset、或 firewall-cmd --list-all）。
  • 远程桌面/应用基线：ufw allow 3389/tcp（XRDP）、ufw allow 5900/tcp（VNC），用于端到端连通性验证。以上工具与方法可直接用于验证防火墙策略的真实效果与边界行为。

三 兼容性测试用例与步骤

• 用例 1 单栈启用与冲突验证
  • 仅启用 UFW，放行 22/TCP，从审计机 nmap -sS 被测机 22；目标机 tcpdump 观察 SYN 是否收到并回 SYN-ACK；验证业务可用。
  • 仅启用 firewalld，同法验证；在 Ubuntu 上可并行安装 firewalld，但务必避免与 UFW 同时开启，防止规则互相覆盖导致“端口已放行却不通”的现象。
  • 变更顺序测试：先 UFW 后 firewalld、或先 firewalld 后 UFW，确认最终生效栈与策略一致性。
• 用例 2 双栈并存风险验证
  • 同时开启 UFW+firewalld，放行 22/TCP；审计机验证连通性；分别查看 UFW 与 firewalld 的规则与运行时状态，确认是否存在互相覆盖或优先级问题；恢复单栈运行。
• 用例 3 后端切换与观测一致性
  • 在 Ubuntu 22.04 上切换后端（如由 UFW 管理 nftables，或直接使用 nft/firewalld）；对同一条策略（放行 22/TCP）执行 nmap 与 tcpdump；再用 iptables/nft/firewall-cmd 分别核对规则是否一致落盘与生效。
• 用例 4 Docker 发布端口与 UFW 兼容性
  • 启动容器映射 8080:80；仅用 ufw allow 8080/tcp 验证外部是否能直达；若可达，说明 UFW 被 Docker 的 iptables NAT 绕行，需按 Docker+UFW 集成方案约束（例如在 /etc/ufw/after.rules 注入 DOCKER-USER 规则，或使用 ufw route allow 精确放行容器端口/网段），再复测验证“仅指定容器端口可外部访问”。
• 用例 5 远程桌面与常见应用
  • 启用 XRDP/VNC，用 ufw 放行 3389/TCP/5900/TCP；审计机 nmap 与服务端实际连接双向验证；若失败，回查服务监听地址是否为 0.0.0.0 而非 127.0.0.1，并复核防火墙方向/协议/端口。
• 用例 6 规则持久化与热加载
  • 对 firewalld/ufw 分别执行“运行时放行 + 持久化”两种路径；重启防火墙服务或系统后，复测端口可达性，确认策略在重启后仍然有效。

四 判定标准与交付物

• 判定标准
  • 放行策略与业务端口在“外部扫描可见、目标机抓包有往返、应用层可建立会话”三个层面保持一致。
  • 同一台机器同一时刻仅有一种防火墙前端生效；多栈并存时必须能解释最终生效栈与优先级，且不会导致“规则冲突/不可达”的灰区。
  • Docker 场景下，外部仅能访问明确放行的容器端口/网段；UFW 规则需对容器网络生效而非被 NAT 旁路。
  • 规则持久化验证通过：重启后策略仍然有效，无“临时放行、重启失效”的情况。
• 交付物
  • 测试矩阵：按“系统版本 × 防火墙后端 × 典型场景（SSH/HTTP/Docker/远程桌面）”输出通过/失败与复现步骤。
  • 规则清单与导出：iptables/nft/firewalld 的当前生效规则导出，标注来源（UFW/firewalld/手工）。
  • 抓包与扫描证据：关键用例的 tcpdump 抓包文件与 nmap 扫描结果（含 -sV/-sS 等），用于审计与回溯。
  • 风险与建议：对发现的“并存冲突、Docker 旁路、持久化缺口”等给出修复与加固建议，并形成变更记录。