linux防火墙配置与管理

《linux防火墙配置与管理》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、Linuxserver管理与运用By何亚森linux防火墙配置与管理21．ufw防火墙简介我们在工作中使用防火墙保护服务器的网络服务，实际上是通过防火墙来拒绝或允许对服务器网络服务的访问。Linux使用iptable工具根据系统管理员编写的一系列规则筛选网络数据包，实现包过滤防火墙，对于初学者来说，iptable比较复杂，所以UbuntuServer使用名为UncomplicatedFireWall（“不复杂的防火墙”UFW）的防火墙，是Ubuntu系统上配置iptable防火墙的工具，这实际上是一个iptable的简化接口或界面，ufw提供一个非常友好的界面用于创建基

2、于IPV4、IPV6的防火墙规则，但是只有iptable的最常用或主要的一部份功能，不能全部代替iptable。2．Ufw的安装与使用此程序（ufw）是为了使linux防火墙更易于使用和管理，ufw与其它linux类防火墙一样，使用iptable作为后台。2.1安装方法：Ubuntuserver通常已默认安装。要手动安装使用命令：sudoapt-getinstallufw2.2基本用法BasicSyntax［］是代表可选内容。可能需要root权限，如无法运行，请使用sudoufw……的命令结构。常用参数说明：--dry-run表示不实际运行，只是把涉及的更改显示出来。-

3、-version显示程序版本号-h,--help显示帮助信息2.2.1开启/关闭防火墙(默认设置是’disable’)ufw[--dry-run]enable

4、disable

5、reload命令［--试运行］激活｜关闭｜重新载入enable激活防火墙，开机时自动启动disable关闭防火墙，开机时不启动reload重新载入防火墙4d64124b3f099b4ef6d580efbe64c9cc.doc第7页共7页Linuxserver管理与运用By何亚森1.1.1设置默认策略(比如“mostlyopen”vs“mostlyclosed”)ufw[--dry-run]defa

6、ultallow

7、deny

8、reject[incoming

9、outgoing]命令［--试运行］默认允许｜阻止｜拒绝［访问本机的规则｜向外访问的规则］注：reject让访问者知道数据被拒绝（回馈拒绝信息）。deny则直接丢弃访问数据，访问者不知道是访问被拒绝还是不存在该主机。方向是指：向内（incoming）｜向外（outgoing）。如果更改了默认策略，一些已经存在的规则可能需要手动修改。1.1.2启用或关闭日志ufw[--dry-run]loggingon

10、off

11、LEVEL命令［--试运行］日志开启｜关闭｜“级别”“级别”有好几个，默认是低级（low）。用户也可以

12、自己指定：ufwloggingon｜off

13、low

14、medium

15、high

16、full•off就是关闭日志•low记录与默认策略冲突的封装数据包（记录速度被限制）。记录与规则符合的数据包（没有要求关闭记录的）•medium记录与默认策略冲突的数据包（包括被规则允许的）、无效数据包、所有新连接。记录速度被限制。•high同medium，只是没有记录速度限制。附加记录所有数据包（有记录速度限制）。•full与high等同，只是取消记录限制。medium级别及更上级会记录许多内容，有可能短时间内撑爆你的硬盘。特别是用在服务器一类的机器上。on与off只是起开关作用，不代表级别。

17、1.1.3复位ufwreset[--force]关闭防火墙，并复位至初始安装状态。如果使用--force选项，则忽略确认提示。1.1.4显示工作状态1.1.1.1ufwstatusufw[--dry-run]status[verbose

18、numbered]显示防火墙的状态和已经设定的规则。使用statusverbose显示更详细的信息，使用statusnumbered显示被编号的规则。‘anywhere’与‘any’、‘0.0.0.0/0’一个意思。4d64124b3f099b4ef6d580efbe64c9cc.doc第7页共7页Linuxserver管理与运用By何

19、亚森1.1.1.1ufwshow“报告类型”ufw[--dry-run]showREPORT显示防火墙运行信息。ufw的报告是基于系统。使用形式是iptable格式：•raw完整报告，下面是该报告的细选。•builtins•before-rules•user-rules•logging-rules•listening显示系统对tcp的监听和udp的开放状态。同时显示被监听端口的地址。如果地址变为“＊”，说明该端口对所有地址开放。接下来是显示可能影响该端口的规则。1.1.1.2网络应用的配置文件命令sudoufwapplist列出系统当前的