1、概述
Ubuntu 附带一个名为UFW（Uncomplicated Firewall）的防火墙配置工具。
UFW 是一个用户友好的iptables前端管理工具，用于管理iptables防火墙规则，其主要目标是使管理iptables更容易。
注意UFW只是一个防火墙管理工具，本质还是使用iptables配置规则
2、安装
2.1、安装
sudo apt install ufw
2.2、允许SSH连接
在启用UFW防火墙之前，我们需要添加允许传入SSH连接的规则。如果您从远程位置连接到服务器并且在明确允许传入SSH连接之前启用UFW防火墙，您将无法再连接到Ubuntu服务器。
要配置UFW防火墙以允许传入SSH连接，请键入以下命令：
sudo ufw allow ssh
Rules updated
Rules updated (v6)
如果您将SSH端口更改为自定义端口而不是端口22，则需要打开该端口。
例如，如果您的ssh守护程序侦听端口4422，则可以使用以下命令允许该端口上的连接：
sudo ufw allow 4422/tcp
2.3、启用ufw
再次强调需要先启用SSH后再启用ufw！
既然您的UFW防火墙已配置为允许传入SSH连接，我们可以通过键入以下内容来启用它：
sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup
2.4、禁用UFW
如果您出于任何原因想要停止使用UFW并停用所有可以使用的规则：
sudo ufw disable
稍后如果要重新启用UTF并激活所有规则，只需键入：
sudo ufw enable
2.5、重置UFW
如果您想要还原所有更改并重新开始，这将非常有用。
注意该命令将重置UFW将禁用UFW，并删除所有活动规则！
sudo ufw reset
3、用法
3.1、检查状态
sudo apt status verbose
如果未激活过显示：
Status: inactive
如果激活过显示大致如下：
Status: active
To Action From
-- ------ ----
22/tcp ALLOW Anywhere
22/tcp (v6) ALLOW Anywhere (v6)
3.2、配置策略
默认情况下，UFW将阻止所有传入连接并允许所有出站连接。这意味着除非您专门打开端口，否则任何尝试访问您的服务器的人都无法连接，而您服务器上运行的所有应用程序和服务都将能够访问外部。
默认策略在/etc/default/ufw文件中定义，可以使用该sudo ufw default <policy> <chain>命令进行更改。
防火墙策略是构建详细的用户定义规则的基础。在大多数情况下，最初的UFW默认策略基础的保障。
3.3、配置应用
使用该apt命令安装软件包时，它会将应用程序的防火墙配置文件添加到/etc/ufw/applications.d目录。
该目录下的每个配置文件描述了该应用的UFW设置。
您可以通过键入以下内容列出服务器上可用的所有应用程
sudo ufw app list
根据系统上安装的软件包，输出将类似于以下内容：
Available applications:
Dovecot IMAP
Dovecot POP3
Dovecot Secure IMAP
Dovecot Secure POP3
Nginx Full
Nginx HTTP
Nginx HTTPS
OpenSSH
Postfix
Postfix SMTPS
Postfix Submission
要查找有关特定配置文件和包含规则的更多信息，请使用以下命令：
sudo ufw app info 'Nginx Full'
Profile: Nginx Full
Title: Web Server (Nginx, HTTP + HTTPS)
Description: Small, but very powerful and efficient web server
Ports:
80,443/tcp
正如您从上面的输出中看到的'Nginx Full'配置文件打开端口80和443。
3.4、配置规则
根据服务器上运行的应用程序和您的特定需求，您还需要允许对其他端口的传入访问。
下面我们将向您展示一些关于如何允许传入连接到一些最常见服务的示例：
3.4.1、允许HTTP的80端口
使用以下命令可以允许HTTP（80）连接：
sudo ufw allow http
也可以使用直接指定端口号和协议：
sudo ufw allow 80/tcp
或者您可以使用应用程序配置文件，在本例中为“Nginx HTTP”：
sudo ufw allow 'Nginx HTTP'
如果运行Tomcat或任何其他侦听端口的应用程序8080以允许传入连接类型：
sudo ufw allow 8080/tcp
3.4.2、允许HTTPS的443端口
使用以下命令可以允许HTTP连接：
sudo ufw allow https
要实现相同而不是https配置文件，您可以使用端口号，443：
sudo ufw allow 443/tcp
或者您可以使用应用程序配置文件'Nginx HTTPS'：
sudo ufw allow 'Nginx HTTPS'
3.4.3、允许其他ip和端口范围
UFW允许我们允许访问端口范围，而不是允许访问单个端口。允许使用UFW的端口范围时，必须指定协议，tcp或者udp。例如，如果你想允许从港口7100到7200双方tcp和udp则运行以下命令：
sudo ufw allow 7100:7200/tcp
sudo ufw allow 7100:7200/udp
允许特定的IP地址
要允许从家庭计算机上的所有端口访问IP地址为64.63.62.61，请指定from要列入白名单的IP地址：
sudo ufw allow from 64.63.62.61
允许特定端口上的特定IP地址
要允许在特定端口上访问，请使用IP地址为64.63.62.61的工作机端口22，使用to any port后跟端口号：
sudo ufw allow from 64.63.62.61 to any port 22
允许子网
允许连接到IP地址子网的命令与使用单个IP地址时的命令相同，唯一的区别是您需要指定网络掩码。例如，如果要允许访问范围从192.168.1.1到192.168.1.254到端口3360（MySQL）的IP地址，可以使用以下命令：
sudo ufw allow from 192.168.1.0/24 to any port 3306
允许连接到特定的网络接口
要允许在特定端口上访问，只允许端口3360到特定网络接口eth2，那么您需要指定allow in on和网络接口的名称：
sudo ufw allow in on eth2 to any port 3306
3.4.4、拒绝连接
所有传入连接的默认策略都设置为deny，如果您尚未更改它，UFW将阻止所有传入连接，除非您专门打开连接。
假设您打开了端口80，443并且您的服务器受到来自23.24.25.0/24网络的攻击。
要拒绝来自23.24.25.0/24您的所有连接，可以使用以下命令：
sudo ufw deny from 23.24.25.0/24
如果你只是想拒绝端口的访问80，并443从23.24.25.0/24您可以使用下面的命令：
sudo ufw deny from 23.24.25.0/24 to any port 80
sudo ufw deny from 23.24.25.0/24 to any port 443
写拒绝规则是一样的写作允许规则，你只需要更换allow用deny。
4、删除规则
根据规则编号和指定实际规则，有两种不同的方法可以删除UFW规则。
4.1、按编号删除
如果您不熟悉UFW，则按规则编号删除UFW规则会更容易。
要首先按规则号删除规则，您需要找到要删除的规则的编号，您可以使用以下命令执行此操作：
sudo ufw status numbered
Status: active
To Action From
-- ------ ----
[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 8080/tcp ALLOW IN Anywhere
要删除允许连接到端口8080的规则3的规则，请使用以下命令：
sudo ufw delete 3
4.2、按实际规则删除
第二种方法是通过指定实际规则来删除规则，例如，如果您添加规则以打开端口8069，则可以使用以下命令将其删除：
sudo ufw delete allow 8069
