Debian包含一些软件包，这些软件包提供了用于管理防火墙的工具，这些防火墙将iptables作为基本系统的一部分安装。
对于来说，学习如何使用iptables工具正确配置和管理防火墙可能会很复杂，但是UFW简化了它。

UFW（简单防火墙）是用于管理iptables防火墙规则的用户友好型前端，其主要目标是使iptables的管理变得更容易或者如其名称所说的那样简单。

在本教程中，我们将向我们展示如何在Debian 9上使用UFW设置防火墙。

准备工作

在继续本教程之前，请确保我们以sudo特权登录的用户。

安装UFW

默认情况下，Debian 9中未安装UFW。
我们可以通过键入以下命令安装“ ufw”软件包：

sudo apt install ufw

检查UFW状态

安装过程完成后，我们可以使用以下命令检查UFW的状态：

sudo ufw status verbose

输出将如下所示：

Status: inactive

UFW默认情况下处于禁用状态。
安装将不会自动激活防火墙，以避免服务器锁定。

如果激活了UFW，则输出将类似于以下内容：

UFW默认策略

默认情况下，UFW将阻止所有传入连接并允许所有出站连接。
这意味着，除非我们专门打开端口，否则尝试访问服务器的任何人将无法连接，而服务器上运行的所有应用程序和服务都将可以访问外部环境。

默认策略在“/etc/default/ufw”文件中定义，可以使用“ sudo ufw default <policy> <chain>”命令进行更改。

防火墙策略是构建更详细和用户定义的规则的基础。
在大多数情况下，初始UFW默认策略是一个很好的起点。

应用资料

使用“ apt”安装软件包时，它将在“ /etc/ufw/applications.d”目录中添加一个应用程序配置文件，以描述服务并包含UFW设置。

要列出系统上可用的所有应用程序配置文件，请执行以下操作：

sudo ufw app list

根据系统上安装的软件包，输出将类似于以下内容：

Available applications:
  DNS
  IMAP
  IMAPS
  OpenSSH
  POP3
  POP3S
  Postfix
  Postfix SMTPS
  Postfix Submission
  ...

要查找有关特定配置文件和包含的规则的更多信息，请使用以下命令：

sudo ufw app info OpenSSH

Profile: OpenSSH
Title: Secure shell server, an rshd replacement
Description: OpenSSH is a free implementation of the Secure Shell protocol.
Port:
  22/tcp

A上面的输出告诉我们OpenSSH配置文件打开端口'22'。

允许SSH连接

首先启用UFW防火墙之前，我们需要允许传入的SSH连接。

如果要从远程位置连接到服务器（通常是这样），并且在明确允许传入的SSH连接之前启用UFW防火墙，则将无法再连接到Debian服务器。

要将UFW防火墙配置为允许传入的SSH连接，请运行以下命令：

sudo ufw allow OpenSSH

Rules updated
Rules updated (v6)

如果SSH服务器正在侦听默认端口22以外的端口，则需要打开该端口。

例如，ssh服务器侦听端口“ 8822”，然后可以使用以下命令允许该端口上的连接：

sudo ufw allow 8822/tcp

启用UFW

现在，UFW防火墙已配置为允许传入的SSH连接，我们可以通过运行以下命令启用它：

sudo ufw enable

Command Jan disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup

我们将被警告，启用防火墙可能会破坏现有的ssh连接，只需键入'y'并点击'Enter'即可。

允许其他端口上的连接

根据服务器上运行的应用程序和特定需求，我们还需要允许传入访问某些其他端口的权限。

以下是几个如何允许传入连接到某些最常见服务的示例：

打开端口80-HTTP

可以使用以下命令来允许HTTP连接：

sudo ufw allow http

我们可以使用端口号“ 80”代替“ http”配置文件：

sudo ufw allow 80/tcp

打开端口443-HTTPS

可以使用以下命令来允许HTTPS连接：

sudo ufw allow https

要实现相同的目的，而不是使用“ https”，可以使用端口号“ 443”：

sudo ufw allow 443/tcp

打开端口8080

如果运行Tomcat或者侦听端口8080的任何其他应用程序，则可以通过以下方式允许传入连接：

sudo ufw allow 8080/tcp

允许端口范围

使用UFW，我们还可以允许访问端口范围。
当使用UFW允许端口范围时，必须指定协议“ tcp”或者“ udp”。

例如，要在“ tcp”和“ udp”上都允许端口从“ 7100”到“ 7200”，请运行以下命令：

sudo ufw allow 7100:7200/tcpsudo ufw allow 7100:7200/udp

允许特定的IP地址

如果要允许从特定IP地址访问所有端口，请使用“ ufw allow from”命令，后跟IP地址：

sudo ufw allow from 64.63.62.61

允许特定端口上的特定IP地址

要允许访问特定端口，假设工作计算机的IP地址为64.63.62.61的端口22使用以下命令：

sudo ufw allow from 64.63.62.61 to any port 22

允许子网

允许从IP地址的子网进行连接的命令与使用单个IP地址时的命令相同，唯一的区别是我们需要指定网络掩码。
例如，如果要允许访问从IP地址192.168.1.1到192.168.1.254的IP地址到端口'3360'（MySQL），则可以运行以下命令：

sudo ufw allow from 192.168.1.0/24 to any port 3306

允许连接到特定的网络接口

要允许访问特定端口，假设特定网络接口“ eth2”上的端口“ 3360”，请使用“ allow in on”命令，后跟接口名称：

sudo ufw allow in on eth2 to any port 3306

拒绝连接

所有传入连接的默认策略都设置为“拒绝”，这意味着除非我们专门打开连接，否则UFW将阻止所有传入连接。

假设我们打开了端口“ 80”和“ 443”，并且服务器受到来自“ 23.24.25.0/24”网络的攻击。
要拒绝来自“ 23.24.25.0/24”的所有连接，请运行以下命令：

sudo ufw deny from 23.24.25.0/24

如果只想拒绝从“ 23.24.25.0/24”访问端口“ 80”和“ 443”，则可以使用：

sudo ufw deny from 23.24.25.0/24 to any port 80sudo ufw deny from 23.24.25.0/24 to any port 443

编写拒绝规则与编写允许规则相同，只需要将'allow'替换为'deny'即可。

删除UFW规则

删除UFW规则有两种不同的方法，分别是通过规则编号和指定实际规则。

通过规则编号删除UFW规则更容易，尤其是如果我们不熟悉UFW。

要首先通过规则编号删除规则，我们需要找到要删除的规则的编号。
为此，请运行以下命令：

sudo ufw status numbered

Status: active
     To                         Action      From
     --                         ------      ---
[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 80/tcp                     ALLOW IN    Anywhere
[ 3] 8080/tcp                   ALLOW IN    Anywhere

例如，要删除规则号3（允许连接到端口8080的规则），请输入：

sudo ufw delete 3

第二种方法是通过指定实际规则来删除规则。
例如，如果添加了打开端口“ 8069”的规则，则可以使用以下命令将其删除：

sudo ufw delete allow 8069

禁用UFW

如果出于任何原因要停止UFW并停用所有运行的规则，请执行以下操作：

sudo ufw disable

以后，如果我们想重新启用UTF并激活所有规则，只需键入：

sudo ufw enable

重置UFW

重置UFW将禁用UFW，并删除所有活动规则。
如果我们想还原所有更改并重新开始，这将很有帮助。

要重置UFW，只需键入以下命令：

sudo ufw reset