介绍
UFW或Uncomplicated Firewall是iptables的接口，旨在简化配置防火墙的过程。 虽然
iptables是一个坚实和灵活的工具，但是初学者可能很难学会如何使用它来正确配置防火墙。如果您希望开始保护网络安全，并且不确定使用哪种工具，UFW可能是您的最佳选择。 本教程将向您介绍如何在Ubuntu 16.04上使用UFW设置防火墙。
先决条件
要遵循本教程，您需要：- 一个带有sudo非root用户的Ubuntu 16.04服务器，您可以通过使用Ubuntu 16.04教程的初始服务器设置中的第1步-3进行设置 。
sudo apt-get install ufw 。
第1步 - 使用IPv6与UFW（可选）
本教程是用IPv4编写的，但将适用于IPv6，只要您启用它。如果您的Ubuntu服务器启用了IPv6，请确保UFW配置为支持IPv6，以便它将管理除IPv4之外的IPv6的防火墙规则。为此，请使用nano或您喜欢的编辑器打开UFW配置。
sudo nano /etc/default/ufw
IPV6值为
yes 。它应该看起来像这样：
/ etc / default / ufw摘要
...
IPV6=yes
...
第2步 - 设置默认策略
如果您刚刚开始使用防火墙，则首先要定义的规则是您的默认策略。这些规则控制如何处理未明确匹配任何其他规则的流量。默认情况下，UFW设置为拒绝所有传入连接，并允许所有传出连接。这意味着任何人尝试到达您的云服务器将无法连接，而服务器内的任何应用程序将能够到达外部世界。 让我们将您的UFW规则设置为默认值，这样我们可以确保您能够遵循本教程。要设置UFW使用的默认值，请使用以下命令：sudo ufw default deny incoming
sudo ufw default allow outgoing
第3步 - 允许SSH连接
如果我们现在启用了UFW防火墙，它将拒绝所有传入的连接。这意味着，如果我们希望服务器响应这些类型的请求，我们将需要创建明确允许合法传入连接（例如SSH或HTTP连接）的规则。如果您使用的是云服务器，则可能需要允许传入的SSH连接，以便连接和管理服务器。 要将服务器配置为允许传入SSH连接，可以使用以下命令：sudo ufw allow ssh
22上的所有连接，这是默认情况下SSH守护程序监听的端口。 UFW知道什么SSH和一些其他服务名意味着，因为它们被列为
/etc/services文件中的
/etc/services 。 但是，我们实际上可以通过指定端口而不是服务名称来编写等效规则。例如，此命令的工作原理与上述相同：
sudo ufw allow 22
2222 ，则可以使用此命令允许该端口上的连接：
sudo ufw allow 2222
第4步 - 启用UFW
要启用UFW，请使用以下命令：sudo ufw enable
y响应提示。 防火墙现在处于活动状态。随意运行
sudo ufw status verbose命令以查看设置的规则。本教程的其余部分将更详细地介绍如何使用UFW，例如允许或拒绝不同类型的连接。
第5步 - 允许其他连接
此时，您应该允许服务器需要响应的所有其他连接。应该允许的连接取决于您的特定需求。幸运的是，你已经知道如何编写允许基于服务名称或端口的连接的规则;我们已经在端口22上使用SSH。您也可以执行以下操作：
- 端口80上的HTTP，这是未加密的Web服务器使用的，使用
sudo ufw allow http或sudo ufw allow 80 - HTTPS端口443，这是加密的Web服务器使用，使用
sudo ufw allow https或sudo ufw allow 443 - FTP在端口21，用于未加密的文件传输（您可能不应该使用），使用
sudo ufw allow ftp或sudo ufw allow 21/tcp
特定端口范围
您可以使用UFW指定端口范围。一些应用程序使用多个端口，而不是单个端口。 例如，要允许使用端口6000 -
6007 X11连接，请使用以下命令：
sudo ufw allow 6000:6007/tcp
sudo ufw allow 6000:6007/udp
tcp或
udp ）。我们以前没有提到过，因为没有指定协议只允许两个协议，这在大多数情况下是OK的。
特定IP地址
使用UFW时，还可以指定IP地址。例如，如果要允许来自特定IP地址（例如工作或家庭IP地址为15.15.15.51 ，则需要指定
from ，然后指定IP地址：
sudo ufw allow from 15.15.15.51
to any port后面跟端口号
to any port指定允许IP地址连接的特定端口。 例如，如果要允许
15.15.15.51连接到端口
22 （SSH），请使用以下命令：
sudo ufw allow from 15.15.15.51 to any port 22
子网
如果要允许IP地址的子网，您可以使用CIDR表示法来指定网络掩码。例如，如果要允许所有的IP地址范围从15.15.15.1到
15.15.15.254您可以使用此命令：
sudo ufw allow from 15.15.15.0/24
15.15.15.0/24连接到的目标端口。 再次，我们将使用端口
22 （SSH）作为示例：
sudo ufw allow from 15.15.15.0/24 to any port 22
连接到特定的网络接口
如果要创建仅适用于特定网络接口的防火墙规则，可以通过指定“allow in on”，然后指定网络接口的名称来实现。 在继续之前，您可能需要查找网络接口。为此，请使用以下命令：ip addr
Output Excerpt:...
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
...
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
...
eth0或
eth1 。 因此，如果您的服务器有一个名为
eth0的公共网络接口，您可以使用此命令允许HTTP流量（端口
80 ）：
sudo ufw allow in on eth0 to any port 80
3306 ）监听专用网络接口
eth1上的
eth1 ，例如，您可以使用以下命令：
sudo ufw allow in on eth1 to any port 3306
第6步 - 拒绝连接
如果您尚未更改传入连接的默认策略，则UFW将配置为拒绝所有传入连接。通常，通过要求创建明确允许特定端口和IP地址通过的规则，这简化了创建安全防火墙策略的过程。 但是，有时您会希望根据源IP地址或子网拒绝特定连接，也许是因为您知道您的服务器正在从那里受到攻击。此外，如果您希望将默认传入策略更改为 允许 （这对于安全性不推荐），您需要为您不希望允许连接的任何服务或IP地址创建 拒绝规则。 要编写 拒绝规则，可以使用上述命令，将 allow替换为 deny 。 例如，要拒绝HTTP连接，可以使用以下命令：sudo ufw deny http
sudo ufw deny from 15.15.15.51
第7步 - 删除规则
了解如何删除防火墙规则与知道如何创建它们同样重要。有两种不同的方法指定要删除的规则：按规则编号或实际规则（类似于创建规则时指定的规则）。我们将从 规则编号方法开始，因为如果你是UFW的新手，相比编写要删除的实际规则更容易。按规则编号
如果您使用规则编号删除防火墙规则，您首先要做的是获取防火墙规则列表。 UFW状态命令有一个选项，可以显示每个规则旁边的数字，如下所示：sudo ufw status numbered
Numbered Output:Status: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 15.15.15.0/24
[ 2] 80 ALLOW IN Anywhere
sudo ufw delete 2
按实际规则
规则编号的替代方法是指定要删除的实际规则。例如，如果要删除allow http规则，您可以这样写：
sudo ufw delete allow http
allow 80指定规则，而不是按服务名称指定规则：
sudo ufw delete allow 80
第8步 - 检查UFW状态和规则
在任何时候，您可以使用此命令检查UFW的状态：sudo ufw status verbose
OutputStatus: inactive
22 ），输出可能如下所示：
OutputStatus: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
status命令。
第9步 - 禁用或重置UFW（可选）
如果您决定不想使用UFW，可以使用此命令禁用它：sudo ufw disable
sudo ufw enable 。 如果已配置UFW规则，但您决定要重新开始，可以使用reset命令：
sudo ufw reset
