Ubuntu UFW 防火墙完整指南

保护您的 Ubuntu 服务器并不一定很复杂。UFW（Uncomplicated Firewall，简易防火墙）将复杂的 iptables 世界转化为直观、友好的使用体验。这一强大的接口消除了防火墙配置通常伴随的陡峭学习曲线，让从初学者到资深管理员的每个人都能轻松掌握网络安全。

本完整指南将带您在 Ubuntu 18.04 及更新版本上配置一个可靠的 UFW 防火墙，确保您的系统既能正常运行又足够安全。

为什么 UFW 是 Ubuntu 用户的理想选择？

UFW 在 Ubuntu 中预装，这体现了它作为该发行版首选防火墙方案的重要地位。不过，如果您已将其删除，或者需要在全新系统上安装 UFW，过程也非常简单：

sudo apt install ufw

如果在安装过程中遇到问题或需要重新安装该软件包，您随时可以使用同一命令再次安装 UFW。UFW 与 Linux 集成的优势在于其简洁性。与可能长达多行、参数晦涩的原始 iptables 命令不同，UFW 会将您的安全意图转化为清晰易读的命令。

这款工具的理念核心是让防火墙管理变得易于上手。传统的 iptables 需要深厚的网络知识和细致的语法管理。UFW 在保留完整功能的同时屏蔽了这些复杂性，对于希望获得可靠安全性而又不想被技术复杂度压垮的 Ubuntu 用户来说，它是理想之选。

如何为使用 UFW 准备系统？

在开始配置防火墙规则之前，您需要一台运行 18.04 或更高版本的 Ubuntu 服务器，以及一个拥有 sudo 权限的非 root 用户。如果您仍在使用 Ubuntu 16.04 或更早版本，请考虑立即升级，因为这些版本已不再获得安全更新，存在重大安全风险。

准备阶段包括了解系统当前的网络配置，并规划哪些服务需要外部访问。这种预先规划可以避免把自己锁在服务器之外这一常见错误。请盘点当前运行的服务，确认它们使用的端口，并判断它们是否需要对外开放。

建议在做出更改之前记录您的网络配置。在排查连接问题或规划未来修改时，这些记录将非常有价值。了解服务器在您基础设施中的角色，有助于确定合适的安全策略，并避免可能影响系统可访问性的配置错误。

为什么应该配置 IPv6 支持？

现代网络运行在 IPv4 与 IPv6 并存的双栈环境中。较新的 Ubuntu 版本默认启用 IPv6，您的防火墙配置也应反映这一现实。正确配置后，UFW 会自动为两种协议创建对应的规则，确保对整个网络协议栈的全面保护。

要确认 IPv6 支持，请检查 UFW 配置：

sudo nano /etc/default/ufw

确保 IPv6 参数为：

IPV6=yes

这一项设置即可确保两种 IP 协议下的全面网络保护。如果使用 nano，请按 Ctrl+X，然后按 Y 和 Enter 保存更改。IPv6 在全球的普及仍在持续增长，因此这项配置对于让您的安全设置面向未来至关重要。

忽视 IPv6 配置会造成潜在的安全漏洞。攻击者越来越多地瞄准被管理员忽视的 IPv6 接口。在 UFW 中启用 IPv6 支持后，您可以在两个协议版本上保持一致的安全策略，消除这些漏洞，确保完整的网络保护。

最佳的默认安全策略是什么？

安全专业人员遵循一个基本原则：默认拒绝，例外允许。这种方法通过阻止所有不必要的流量，同时明确放行所需服务，来最大限度地缩小攻击面。这一理念是有效网络安全的基础，能显著减少潜在的攻击途径。

UFW 的默认配置已经实现了这一理念，但我们还是来确认并强化这些设置：

sudo ufw default deny incoming
sudo ufw default allow outgoing

这些命令建立了一个安全的基础：服务器可以主动发起出站连接，同时拒绝未经请求的入站流量。这一配置适用于大多数场景，不过服务器通常需要为其提供的服务设置特定的例外规则。

默认拒绝的做法意味着每一个被允许的连接都代表一次有意识的安全决策。这种方法促使管理员认真考虑每项服务的必要性和暴露程度，从而整体上得到更安全的配置。个人电脑仅凭这些默认设置或许就能正常工作，但服务器通常需要额外的规则来放行合法的入站连接。

如何安全地开放 SSH 访问？

SSH 访问是您主要的管理接口，因此正确配置它至关重要。在启用防火墙之前，您必须确保 SSH 连接仍然可用，否则将失去对服务器的管理访问权限。这是防火墙配置中最常见、后果也最严重的错误之一。

UFW 提供三种放行 SSH 流量的方法，各有优势：

使用应用配置文件：

sudo ufw app list
sudo ufw allow OpenSSH

应用配置文件是最直观的方式，因为它们会自动处理端口号和协议规范。这种方法可以减少配置错误并提高规则的可读性，非常适合希望自动处理服务细节的管理员。

引用服务名称：

sudo ufw allow ssh

这种方法利用位于 /etc/services 的系统服务数据库，让规则更易读、更便于维护。UFW 会自动将服务名称解析为相应的端口号和协议，在简洁性与灵活性之间取得平衡。

指定端口号：

sudo ufw allow 22

直接指定端口可以实现精确控制，对于非标准的 SSH 配置尤其有用。这种方法为自定义部署以及需要明确控制端口分配的场景提供了最大的灵活性。

如果出于安全原因您已将 SSH 配置为使用其他端口，请相应调整：

sudo ufw allow 2222

在继续之前，请务必确认 SSH 访问正常，以免被完全锁在系统之外。如有可能，请从多个来源测试连接，确保通过不同网络路径都能正常访问。

启用防火墙的正确方式是什么？

在启用之前，请确认您的规则不会把您锁在系统之外：

sudo ufw show added

该命令会在不启用防火墙的情况下显示已配置的规则，让您确认 SSH 访问仍然可用。请仔细检查输出，确保所有必要的服务都已配置了相应的规则。

准备就绪后，启用防火墙：

sudo ufw enable

系统会提示 SSH 连接可能会中断。由于您已经配置了 SSH 访问规则，请输入 'y' 继续。现在，您的 Ubuntu 防火墙已经启用，并会在每次系统启动时自动运行，提供持续保护。

启用后，请立即测试连通性，确保一切正常。如果遇到问题，请记住 reset 命令可以快速恢复默认设置，但这应当是最后的手段。

应该允许哪些连接？

需要添加哪些额外规则取决于您的具体需求，但常见场景包括各种 Web 服务和特定应用的需求。了解这些模式可以帮助您为环境配置合适的访问控制，而不会让系统过度暴露。

Web 服务配置：

• HTTP 流量：sudo ufw allow http 或 sudo ufw allow 80
• HTTPS 流量：sudo ufw allow https 或 sudo ufw allow 443
• 组合 Web 服务：sudo ufw allow 'Apache Full' 或 sudo ufw allow 'Nginx Full'

Web 服务器是需要额外防火墙规则的最常见场景。组合配置文件可同时放行 HTTP 和 HTTPS，从而简化配置，减少所需的单独规则数量。

复杂应用的端口范围：

sudo ufw allow 6000:6007/tcp
sudo ufw allow 6000:6007/udp

请注意，端口范围需要明确指定协议，这与默认同时适用于 TCP 和 UDP 的单端口规则不同。这一要求可以防止意外的过度放行，并确保对允许的流量类型进行精确控制。

基于 IP 的访问控制：

sudo ufw allow from 203.0.113.4
sudo ufw allow from 203.0.113.4 to any port 22

基于 IP 的规则可以对访问来源进行细粒度控制。这些规则在管理访问、可信合作伙伴连接，或需要将访问限制在特定网络位置的场景中尤其有用。

针对网段的子网规则：

sudo ufw allow from 203.0.113.0/24
sudo ufw allow from 203.0.113.0/24 to any port 22

基于子网的规则可以高效地处理整个网段，在保持安全边界的同时降低规则复杂度。这种方法非常适合企业环境，或需要允许整个网络范围访问的场景。

多网卡系统的接口规则：

首先，确认您的网络接口：

ip addr

然后创建有针对性的规则：

sudo ufw allow in on eth0 to any port 80
sudo ufw allow in on eth1 to any port 3306

这些示例演示了如何在一个接口上允许公共 HTTP 流量，同时将数据库访问限制在私有网络中。接口规则为复杂的网络配置提供了出色的隔离能力。

何时应该阻止特定流量？

虽然 UFW 的默认拒绝策略会自动处理大部分阻止工作，但某些情况需要明确的拒绝规则。这包括阻止已知的攻击来源、实施细粒度的访问控制或执行特定的安全策略。

基于服务的阻止：

sudo ufw deny http

基于 IP 的限制：

sudo ufw deny from 203.0.113.4

出站流量控制：

sudo ufw deny out 25

最后这个示例会阻止 SMTP 流量，适用于不应直接发送电子邮件的系统。出站限制有助于控制已被入侵的系统、确保策略合规，并防止未经授权的通信渠道。

如何删除不需要的规则？

随着配置不断演进，规则管理变得至关重要。UFW 提供两种删除方式：按规则编号或按规则内容删除，分别适用于不同的场景和管理习惯。

按编号删除：

首先，显示带编号的规则：

sudo ufw status numbered

然后删除特定规则：

sudo ufw delete 2

按规则内容删除：

sudo ufw delete allow "Apache Full"
sudo ufw delete allow http
sudo ufw delete allow 80

这些命令都能达到相同的效果，体现了 UFW 在规则管理上的灵活性。请选择最适合您工作流程和管理风格的方式。

防火墙状态能告诉您什么？

定期监控可以确保防火墙按预期运行，并帮助您在潜在问题演变成麻烦之前发现它们。Ubuntu 防火墙状态命令会提供有关当前配置和运行状态的全面信息。

sudo ufw status verbose

处于活动状态的防火墙会显示详细信息，包括日志级别、默认策略和所有已配置的规则。未启用的防火墙只会显示“Status: inactive”，表示需要先启用该服务，保护才会生效。

详细输出会显示当前的启用状态、日志配置、入站、出站和路由流量的默认策略，以及包含来源和目标的完整规则列表。这些信息对于排查连接问题、进行安全审计和维护完整文档非常有价值。

如何利用 UFW 日志获取安全洞察？

有效的防火墙管理不仅限于规则配置，还包括全面的日志记录和监控。UFW 提供内置的日志功能，帮助您跟踪连接尝试、识别潜在威胁并排查连接问题。

使用 sudo ufw logging on 启用日志，并通过 low、medium 或 high 参数调整详细程度。日志条目位于 /var/log/ufw.log，包含有关被阻止连接的宝贵信息，包括来源 IP 地址、目标端口和时间戳。定期分析日志有助于您发现各种模式，例如来自可疑来源的重复连接尝试、登录失败，或可能表明安全入侵的异常流量。

建议部署自动化日志监控工具或脚本，在出现异常活动模式时向您发出告警，尤其是可能预示暴力破解攻击或侦察活动的反复被阻止的连接尝试。

如何重置所有设置？

有时从头开始才是最清晰的出路，尤其是当配置变得复杂或出现问题时。UFW 针对不同场景提供了两种方式，分别满足特定的管理需求。

临时停用：

sudo ufw disable

该命令会停止防火墙，同时保留所有已配置的规则，以便日后重新启用。这种方式适用于临时排障、维护窗口，或需要快速停用保护又不想丢失配置的场景。

完全重置：

sudo ufw reset

reset 命令会删除所有自定义规则，同时保留默认策略。UFW 会在删除之前自动备份现有配置，并带时间戳存放在 /etc/ufw/ 中，以便需要时恢复。这种方式既能让您从零开始，又保留了恢复配置的安全保障。

总结

UFW 将 Ubuntu 防火墙管理从复杂的技术挑战转变为易于上手的管理任务。按照本指南操作后，您已经建立了一个可靠的安全基础，在保护服务器的同时，也保留了特定使用场景所需的功能。

请记住，防火墙配置是一个持续的过程，而不是一次性设置。定期审查可以确保您的规则始终与不断变化的需求和威胁形势保持一致。在将配置更改应用到生产系统之前，请务必先在安全的环境中进行测试。

现在，您的 UFW 防火墙正守护着您的 Ubuntu 服务器，为可靠运行提供必不可少的安全基础。无论您是在运行个人项目还是管理企业基础设施，随着网络需求的增长和变化，这些基础知识都将让您受益匪浅。