Ubuntu防火墙UFW配置与安全实践指南-代码聚汇网

Ubuntu防火墙UFW配置与安全实践指南

执笔画书生·2026-08-02·阅读 30 GEO检测（免费）

Ubuntu防火墙UFW

|难度：普通|阅读约 10 分钟

1. Ubuntu防火墙基础认知与选型策略

在Linux生态中，防火墙作为网络安全的第一道防线，其重要性不言而喻。Ubuntu默认集成了UFW（Uncomplicated Firewall）工具，这是对底层iptables/netfilter框架的友好封装。与直接操作iptables相比，UFW具有以下显著优势：

语法简化：将复杂的iptables规则转化为直观的allow/deny命令
状态感知：自动处理连接追踪（conntrack）等底层机制
日志集成：统一管理防火墙日志输出路径和级别
应用预设：通过应用配置文件（/etc/ufw/applications.d/）快速启用常见服务

重要提示：虽然Ubuntu也支持firewalld等替代方案，但UFW作为原生工具与系统集成度最高。除非有特殊需求（如需要动态zone管理），否则建议优先使用UFW。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. UFW安装与初始化配置

2.1 基础环境准备

首先确认系统版本和UFW状态：

bash复制# 查看系统版本
lsb_release -a

# 检查UFW安装状态
sudo ufw status verbose

若未安装（极少数最小化安装情况），需执行：

bash复制sudo apt update && sudo apt install ufw -y

2.2 初始安全配置

首次启用前建议设置默认策略：

bash复制# 默认拒绝所有入站，允许所有出站
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 启用日志（建议medium级别）
sudo ufw logging medium

关键参数说明：

incoming：控制外部发起的连接
outgoing：控制本地发起的连接
logging：可选off/low/medium/high，生产环境建议medium

3. 精细化规则配置实战

3.1 基础端口管理

开放SSH端口（示例为2222）：

bash复制sudo ufw allow 2222/tcp
sudo ufw limit 2222/tcp  # 防暴力破解

允许特定IP访问MySQL：

bash复制sudo ufw allow from 192.168.1.100 to any port 3306 proto tcp

3.2 高级规则配置

允许PING响应但限制速率：

bash复制sudo ufw allow proto icmp
sudo ufw limit proto icmp

设置时间段访问控制（需结合cron）：

bash复制# 每天9:00-18:00开放HTTP
sudo ufw allow 80/tcp
sudo crontab -e
# 添加：
0 9 * * * ufw allow 80/tcp
0 18 * * * ufw delete allow 80/tcp

3.3 应用配置文件使用

查看可用应用配置：

bash复制sudo ufw app list

启用Nginx全配置：

bash复制sudo ufw allow 'Nginx Full'  # 同时开放80/443

自定义应用配置（以Node.js为例）：

bash复制sudo nano /etc/ufw/applications.d/nodejs.conf

内容示例：

code复制[NodeJS]
title=Node.js Application
description=Allow Node.js web server
ports=3000/tcp

4. 规则管理与排错指南

4.1 规则查询与维护

查看完整规则（带编号）：

bash复制sudo ufw status numbered

删除特定规则（以编号3为例）：

bash复制sudo ufw delete 3

4.2 常见问题排查

问题1：规则生效延迟

解决方案：重启UFW服务 sudo systemctl restart ufw

问题2：Docker与UFW冲突

解决方法：

bash复制# 修改Docker配置
sudo nano /etc/docker/daemon.json
# 添加：
{
  "iptables": false
}
# 重启服务
sudo systemctl restart docker
sudo ufw reload

问题3：NAT转发不生效

检查要点：

bash复制# 确保启用IP转发
sudo sysctl net.ipv4.ip_forward=1
# 永久生效
echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf

5. 生产环境最佳实践

5.1 安全加固建议

关键服务使用非标准端口（如SSH改用2222）
对管理端口实施GeoIP限制：

bash复制# 安装xtables-addons
sudo apt install xtables-addons-dkms
# 仅允许中国IP访问SSH
sudo ufw allow from $(curl -s https://www.ipdeny.com/ipblocks/data/countries/cn.zone) to any port 2222

5.2 自动化维护方案

规则备份与恢复：

bash复制# 备份
sudo ufw export > ufw-backup.rules
# 恢复
sudo ufw disable
sudo ufw import < ufw-backup.rules
sudo ufw enable

集成监控（Prometheus示例）：

bash复制# 安装ufw-exporter
sudo apt install prometheus-ufw-exporter
# 配置采集间隔
echo -e "scrape_configs:\n  - job_name: 'ufw'\n    static_configs:\n      - targets: ['localhost:9100']" | sudo tee -a /etc/prometheus/prometheus.yml

6. 可视化辅助工具推荐

对于习惯图形界面的用户：

GUFW：官方GUI前端
```
bash复制sudo apt install gufw
```

Cockpit：Web管理界面

bash复制sudo apt install cockpit
sudo systemctl enable --now cockpit.socket

访问：https://服务器IP:9090

实际使用中发现，通过组合UFW与fail2ban能显著提升防护效果。以下是我的常用配置：

bash复制# 安装fail2ban
sudo apt install fail2ban
# 创建UFW专用jail
sudo nano /etc/fail2ban/jail.d/ufw.conf

添加内容：

code复制[ufw]
enabled = true
filter = ufw
logpath = /var/log/ufw.log
maxretry = 3
bantime = 86400