作为系统管理员，你一定经历过这样的时刻：希望有一个功能强大的安全系统，配置和管理简单，不需要深入复杂的 iptables rules. UFW, or Uncomplicated Firewall 是一款出色的网络安全工具，填补了这一空白。它提供直观的界面，让你可以用简单的命令控制服务器的防火墙设置。
本教程将帮你全面了解 UFW，从安装到高级配置。我们会讲解如何启用和禁用 UFW、理解其语法，以及如何应对常见场景。学完本教程后，你将掌握用 UFW 有效保护服务器的方法。
UFW Installation
即使你是防火墙管理的新手，UFW 也很容易安装，因为安装过程非常简单。下面是一份分步教程，帮助你在服务器上快速启动并运行 UFW。
第一步：更新软件包列表
在安装任何新软件之前，更新软件包列表是个好习惯。
sudo apt update
第二步：安装 UFW
你可以用一条简单的命令安装 UFW：
sudo apt install ufw
第 3 步：验证安装
安装完成后，你可以验证安装是否成功。运行以下命令检查 UFW 的版本：
ufw version
步骤 4：初始配置
启用 UFW 之前，务必先进行初始配置。这样可以确保激活后它按预期工作。最关键的一步是设置默认策略。UFW 默认配置为拒绝所有传入连接，允许所有传出连接。使用以下命令验证或设置这些默认值：
sudo ufw default deny incoming
sudo ufw default allow outgoing
第 5 步：启用 UFW
启用 UFW 会按照你定义的规则和默认策略激活防火墙。要启用 UFW，请运行以下命令：
sudo ufw enable
第 6 步：检查 UFW 状态
你可以使用以下命令查看 UFW 的状态以及当前应用的规则：
sudo ufw status
按照本 UFW 教程，你可以成功在服务器上安装并启用 UFW。这个初始设置会让后续配置变得轻松。UFW 高度可定制，允许你添加特定规则来根据需要允许或阻止流量。
UFW 基本命令和语法
UFW 设计之初就是为了易用，它拥有直观的命令和清晰的语法，大大简化了防火墙管理。理解这些基本命令和语法对你配置和维护服务器防火墙有很大帮助。在本 UFW 教程的上一部分，我们介绍了如何启用 UFW。现在让我们从禁用系统上的 UFW 的命令开始。
Disabling UFW
出于故障排除或维护的原因，你可能需要禁用 UFW。这个命令可以做到：
sudo ufw disable
检查 UFW 状态
经常检查 UFW 状态可以让你了解哪些规则当前处于活跃状态。这样你可以确保防火墙按照你的预期工作。你可以使用以下命令检查 UFW 状态：
sudo ufw status
你可以在这个命令后添加详细选项来获取更多关于 UFW 状态的信息。
sudo ufw status verbose
Allowing Traffic
UFW 的主要功能之一是根据你的安全要求允许或拒绝流量。如果你想允许通过特定端口的流量，应该使用 allow 命令，后跟端口号和协议（tcp/udp）。下面是一个例子：
sudo ufw allow 22/tcp
这个命令允许使用 TCP 协议在端口 22 上的传入 SSH 连接。
Denying Traffic
类似地，要阻止流量，你应该使用 deny 命令。
sudo ufw deny 23/tcp
这个命令使用 TCP 协议阻止端口 23 上的传入 Telnet 连接。
按 IP 地址允许流量
UFW 甚至允许你允许或拒绝来自特定 IP 地址的流量。这样你可以设置更具体的安全规则。下面是一个例子：
sudo ufw allow from 192.168.1.10
按 IP 地址拒绝流量
按 IP 地址拒绝流量就像上一个命令一样直观。下面是一个实现方法的例子：
sudo ufw deny from 10.0.0.0/8
管理 UFW 规则
使用 UFW 时，你可能想要添加、修改或删除规则。让我们来看看哪些 UFW 命令可以帮助你做到这一点。首先，我们从添加新规则开始。要向 UFW 添加新规则，你可以使用我们之前解释过的 allow 或 deny 命令。但是，删除规则需要更多步骤。要删除规则，你应该首先列出编号的规则。这一步很重要，因为你需要确定要删除的具体规则。以下命令会为你列出编号的规则：
sudo ufw status numbered
然后，你可以通过指定规则编号来删除它：
sudo ufw delete 1
Reloading UFW
每当你修改 UFW 规则时，重新加载防火墙是个好主意。以下 UFW 命令可以为你重新加载 UFW：
sudo ufw reload
这个命令会重新应用所有规则，而无需禁用并重新启用防火墙。
Resetting UFW
UFW 有一个命令允许你重新开始或删除所有现有规则。但请记住，如果你重置 UFW，它将被禁用，所有规则都会被删除。以下 UFW 命令可以重置 UFW：
sudo ufw reset
掌握这些基本的 UFW 命令和语法对有效管理防火墙至关重要。在后续章节中，我们将深入探讨高级配置和使用场景，进一步增强服务器的安全性。
将 UFW 与其他安全工具结合
UFW 是管理防火墙的强大工具。你可以将它与其他安全工具结合使用，以充分发挥其效能。其中一个工具是 fail2ban，它能通过监控日志并封禁显示恶意迹象的 IP 地址来防止暴力破解攻击。以下是如何将 UFW 与 fail2ban 集成以增强安全设置的方法。
fail2ban 是一款安全工具，能扫描日志文件以查找登录失败或其他可疑活动的模式。发现可疑模式后，它可自动更新防火墙规则以阻止相应的 IP 地址。UFW 与 fail2ban 的组合对防御重复的暴力破解登录尝试非常有效。
Installing fail2ban
要安装 fail2ban，请在服务器上运行以下命令：
sudo apt-get install fail2ban
使用 UFW 配置 fail2ban
现在你将学习如何配置 fail2ban 以与 UFW 协同工作。
步骤 1：创建本地监狱配置
fail2ban 的默认配置文件位于 /etc/fail2ban/jail.conf。但建议创建此文件的本地副本，以避免在 fail2ban 更新时覆盖你的设置。你可以使用以下命令复制配置文件：
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
步骤 2：编辑监狱配置
Open the jail.local 文件，使用以下命令在你喜欢的文本编辑器中打开：
sudo nano /etc/fail2ban/jail.local
在此文件中，找到 [DEFAULT] 部分并设置 bantime, findtime, and maxretry 参数。以下是每个参数的说明：
- Bantime: 控制 IP 被封禁的时长。
- Findtime: 显示计算失败尝试的时间窗口。
- Maxretry: 显示触发封禁前允许的失败次数。
例如，你可以按如下方式设置这些参数：
[DEFAULT] bantime = 600 findtime = 600 maxretry = 5
步骤 3：在监狱配置中启用 UFW
Find the [sshd] 部分（或你想要保护的任何其他服务）在 jail.local 文件中。现在确保 enabled 设置为 true，并指定使用 UFW 来封禁 IP：
[sshd] enabled = true banaction = ufw port = ssh filter = sshd logpath = /var/log/auth.log maxretry = 5
此配置确保 fail2ban 监控 SSH 服务并更新 UFW 规则以封禁恶意 IP 地址。
启动并启用 fail2ban
配置 fail2ban 后，启动该服务并将其设置为开机自启：
sudo systemctl start fail2ban
sudo systemctl enable fail2ban
现在检查 fail2ban 的状态，确保它正常运行：
sudo systemctl status fail2ban
结合 UFW 和 fail2ban 的优势
将 fail2ban 与 UFW 整合可以让你实现 分层安全防御。UFW 提供了一种直观的方式来管理防火墙规则，而 fail2ban 通过封禁表现出恶意行为的 IP 地址来提供动态保护。这种高效的协作降低了暴力破解攻击的风险，确保你的服务器保持安全。
Wrap Up
在本 UFW 教程中，我们介绍了 UFW 如何成为增强系统安全性和简化防火墙管理的强大工具。我们提供了易于遵循的 UFW 安装和配置流程。我们还说明了将 UFW 与 fail2ban 等其他安全工具结合使用如何能进一步优化防护效果。
FAQ
如何删除我已添加的 UFW 规则？
要删除特定的 UFW 规则，需要使用 ufw delete 命令，后面跟要删除的规则。例如，如果要删除允许端口 80 上流量的规则 (HTTP)，可以使用以下命令：
sudo ufw delete allow 80/tcp
UFW 比 iptables 更好吗？
UFW 用更简洁的语法和用户友好的命令简化了防火墙管理，非常适合初学者。而 iptables 则提供更细粒度的控制和自定义选项，适合需要特定防火墙规则的高级用户。
Firewalld 和 UFW 哪个更好？
UFW 对初学者来说更简单易用，适合基础配置。 Firewalld 提供了更高级的功能和灵活性，对于复杂环境和动态防火墙规则来说是更好的选择。最终选择取决于你的具体需求和对各工具的熟悉程度。
Ubuntu 的最佳防火墙是什么？
Ubuntu 的最佳防火墙取决于你的需求。UFW 是大多数用户的默认推荐选项，因为它简单易用。对于更复杂的配置，iptables 提供了对防火墙规则的细粒度控制。Firewalld 是另一个强大的选项，提供防火墙规则的动态管理。对于直接的任务可以选择 UFW，对于更复杂的需求则考虑 iptables 或 Firewalld。
