ufw === Linux 下的簡易防火牆 ## 基本指令 * 安裝 ``` sudo apt install ufw ``` * 啟用 關閉 重載 ``` sudo ufw disable|enable|reload ``` * 初始化 ``` sudo ufw disable sudo ufw reset ``` ## 測試 * 顯示結果不實際執行 ``` sudo ufw --dry-run {rule} ``` * 狀態 ``` //狀態 sudo ufw status //詳細 sudo ufw status verbose //目前設置的規則，這個指令會幫你把規則前面加上編號 sudo ufw status numbered //如果你突然不喜歡某個規則了，可以直接刪除它 sudo ufw delete 3 ``` ## 預設防火牆規則 outgoing = 就是你內部伺服要連外的 目的地port. incoming = 就是外部連內部伺服器 port. allow 允許 deny 拒絕 ``` sudo ufw default deny Default: deny (incoming), allow (outgoing), disabled (routed) sudo ufw default allow Default: allow (incoming), allow (outgoing), disabled (routed) sudo ufw default deny outgoing Default: deny (incoming), deny (outgoing), disabled (routed) ``` ## 設定單一服務防火牆規則 ``` sudo ufw allow ssh sudo ufw allow http sudo ufw allow ftp ``` ## 根據PORT設定規則 * 單一PORT ``` sudo ufw allow 80 # 允許 80 sudo ufw allow 443 # 允許 443 sudo ufw deny 3389 # 封鎖 3389 sudo ufw deny 21 # 封鎖 21 ``` * 範圍port ``` sudo ufw allow 6000:6007/tcp # 允許 TCP 6000~6007 sudo ufw allow 6000:6007/udp # 允許 UDP 6000~6007 ``` ## 根據IP設定規則 sudo ufw allow|deny proto {protocol} from {address} {option:#port} sudo ufw allow|deny proto {protocol} from {address} {option:#port} to {address} {option:#port} ``` ## 允許 192.168.11.10 的所有連線 sudo ufw allow from 192.168.11.10 ## 允許 192.168.11.1~192.168.11.255 的所有連線 sudo ufw allow from 192.168.11.0/24 ## 封鎖 192.168.11.4 的所有連線 sudo ufw deny from 192.168.11.4 ## 允許 tcp 協定 192.168.226.195 的連線 sudo ufw allow proto tcp from 192.168.226.195 ## 與許 sudo ufw allow proto tcp from 192.168.226.195 to any port 22 ``` ## 連習題 ### 設定主機阻擋192.168.226.x 來的任何連線 ``` sudo ufw deny from 192.168.226.0/24 ``` ### 設定僅允許你的電腦可以ssh ``` ## 開啟所有ssh連線 sudo ufw allow ssh ## 允許特定SSH連入 sudo ufw allow from 15.15.15.0/24 to any port 22 ``` ### 設定只有192.168.15.x可以連結你的http or 80 ``` sudo ufw allow from 192.168.15.0/24 to any port 80 ``` ### 如果希望主機可以擋ping，在ufw可以怎麼做? 1. 編輯 /etc/ufw/before.rules ``` cd /etc/ufw/ sudo vi before.rules ``` 3. 找到以下這段內容： ``` # ok icmp codes -A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT -A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT -A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT -A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT -A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT ``` 3. 把每一行最後的「ACCEPT」都改成「DROP」 4. 最後再重新啟動 ufw 即可： ``` sudo ufw disable sudo ufw enable ``` 5. 接著會問你以下的問題： ``` Firewall stopped and disabled on system startup Command may disrupt existing ssh connections. Proceed with operation (y|n)? ``` 6. 如果你確定你的 ssh 連線的 port 號，在 ufw 有設定，就直接按「y」執行。 * vi文字編輯器常用指令 ``` x : 刪除游標上的字元。 dd: 刪除該行。 d$: 刪除自游標至行尾之所有字元。 u : 回覆上一個動作。 i : 進入編輯模式 esc : 離開編輯模式 :q :不儲存直接退出vi :wq : 儲存後退出vi ```