Sca*_*ine 40
开箱即用，Ubuntu 没有打开 TCP 或 UDP 端口，因此认为没有理由默认运行简单防火墙 (ufw)。不过，我同意禁用 ufw 是一个奇怪的决定。我的理由是，没有经验的用户可能会安装 Samba、Apache 之类的东西，因为他们会试验摆在他们面前的系统。如果他们不了解这一点的含义，他们就会暴露在互联网上的恶意行为中。
示例 - 我的笔记本电脑配置了 Samba，这在使用 WPA2 保护的家庭网络中很好。但是如果我把我的笔记本电脑带到星巴克，我可能不会考虑任何事情，但是那台笔记本电脑现在正在向所有人宣传我的股票。使用防火墙，我可以将我的 samba 端口限制在我的家庭服务器或对等设备上。现在无需担心谁可能会尝试连接到我的笔记本电脑。VNC、SSH 或我的笔记本电脑可能正在运行或尝试连接的大量其他有用服务也是如此。
Ubuntu 对某些安全元素采取了非常开/关的方法，这是我无法同意的理念。安全性可能在技术上是开启或关闭的，但通过将安全元素相互分层，您最终会得到一个更好的系统。当然，Ubuntu 的安全性对于大量用例来说已经足够好了，但不是全部。
最重要的是，运行 ufw。安全总比后悔好。
简单的防火墙有许多图形前端，但最简单的是Gufw。
sudo apt-get install gufw
在这里，我允许来自我公司环境中特定服务器 VLAN 的所有流量，并且我添加了一个规则以允许反向 SSH 会话的必要端口从这台机器上反弹。
- @papukaija - iptables 的高级用户可以使用 iptables。bsd 系统上的高级用户会使用 pf，但这并不会使该用户在使用 ubuntu 时突然变得不老练。对于主要是网络工程师的人来说也是如此——这个人会知道 Cisco 或 Juniper ACL 逻辑。它并不适合所有人，但 ufw 可以使配置更易于访问，在我看来这是一件好事。 (4认同)
- ufw 仅控制 iptables - 这就是默认情况下不启用它的原因。高级用户可以使用 iptables。 (2认同)
- @jgbelacqua：没错，但 scaine 的回答给出了一个形象，即 ufw 是防火墙，而它只是 iptables 的前端。 (2认同)
- （激进的学究警告）我建议用户*不要*允许基于可欺骗源地址的随机传入 UDP/53 数据包。它们已被用于现实世界的攻击（DNS 中毒、放大流量的 DoS）。你需要这样做，为什么？ (2认同)
txw*_*ger 28
与 Microsoft Windows 相比，Ubuntu 桌面不需要防火墙即可在 Internet 上保持安全，因为默认情况下 Ubuntu 不会打开会带来安全问题的端口。
通常，经过适当加固的 Unix 或 Linux 系统不需要防火墙。防火墙（Windows 计算机的某些安全问题除外）更适合阻止内部网络访问 Internet。在这种情况下，本地计算机可以通过开放端口相互通信，这些端口被防火墙阻止到外部。在这种情况下，计算机被有意打开以进行内部通信，而内部通信不应在内部网络之外进行。
标准的 Ubuntu 桌面不需要这个，因此默认情况下不启用 ufw。
- 即使经过适当加固的系统也将从防火墙中受益。例如，如果您运行 Samba，您会向所有人开放各种端口。使用防火墙，您可以将其限制为仅您的服务器或对等方。 (11认同)
- 这是完全荒谬的。防火墙用于保护传入和传出通信免遭非法使用……这意味着，如果您安装了一个音乐播放器，比如说错误地打开了一个端口，那么您将拥有与 Internet 的开放连接。这就是所谓的抢先安全，您可以防止可能发生的事情。这个答案让人们对 linux 环境有一种错误的安全感。 (10认同)
- [需要引用] (4认同)
在 Ubuntu 或任何其他 Linux 中，防火墙是基本系统的一部分，称为 iptables/netfilter。它始终处于启用状态。
iptables 由一组规则组成，当一个数据包离开进入时该做什么以及如何表现。如果你想明确阻止来自特定 IP 的传入连接，你需要添加一个规则。其实你不需要这样做。放松。
如果您想从任何地方获得良好的安全性，请记住不要从任何地方安装随机软件。它可能会破坏您的默认安全设置。永远不要以 root 身份运行。始终相信官方回购。
我想你想问的是，是否安装了 UI？
- 您听起来像是“始终启用”防火墙，但事实并非如此。它可能是集成的，但除非你用 `sudo ufw enable` 开启它，你安装的第一块服务器软件将打开一个内置 iptables 不会做任何事情的端口。 (9认同)
- 嗨，大家好。UFW 是 iptables 的前端 - 我明白了。然而，默认情况下，iptables 什么都不做。它不起作用。它不是防火墙。准备好了，但是没用。在 iptables 配置为执行任何操作之前，您必须运行 `sudo ufw enable`。Manish，您的回答听起来像是在运行防火墙。你说的是“技术上是这样”，技术上你是对的。但它没有做任何事情，所以你给人一种不存在安全性的巨大错误印象。 (9认同)
- @Scaine：ufw 不做这项工作；它是由默认启用的 iptables 完成的。 (5认同)
- @manish，关于“普通用户安装服务器软件”。根据我的示例，许多人会安装 Samba。许多其他人将在首选项/远程桌面中使用内置的 VNC 服务器。这在家庭环境中很好（可能），但是在启用这些服务的情况下将笔记本电脑带到外面，您可能会将自己暴露在恶意行为中。 (5认同)
- ssh、打印相关和邮件端口也经常为完全正常的桌面或服务器操作打开。这些可以被锁定（例如通过源 IP）或使用 ufw 或其他类型的 firewall/ACL 完全关闭。 (2认同)
| 归档时间： |
|
| 查看次数： |
59697 次 |
| 最近记录： |