标签: ufw

我在我的 Debian 系统上安装了 ufw，如下所示：

# aptitude install ufw
# ufw limit 22
# ufw allow 80
# ufw allow 443
# ufw enable
# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing)
New profiles: skip

To                         Action      From
--                         ------      ----
20                         LIMIT       Anywhere
80                         ALLOW       Anywhere
443                        ALLOW       Anywhere

一个简单的ping google.com失败，任何aptitude install都会失败。我在 serverfault 上搜索了答案。一种解决方案是允许 DNS 使用端口 53 - 没有帮助。或者ufw allow out 1024:65535/udp与端口 53 一起使用 - 没有帮助。

有效的是让我的 DNS …

我正在使用亚马逊 EC2，我在我的服务器中启用了 UFW，并且没有添加任何其他我注销的规则。现在由于没有指定规则，我无法登录到 ssh，因此甚至我的网站也关闭了。有人可以帮我现在如何禁用 ufw 吗？

我想知道将要阻止的 IP 地址或子范围添加到 ufw 中的可扩展性如何。例如，每当我发现一个特别糟糕的机器人或服务器群时，我就会这样做。随着我的列表越来越多，我想知道我在系统上放置了多少开销；因为现在每个数据包都必须根据这个列表进行检查。

有没有人遇到过某个大小的阻止列表开始导致系统负载或网络速度变慢的情况？

文档中是否有关于此的任何内容？

现在我有大约 15 条规则。我应该遵守一些规则吗？

我想允许从基于通配符的 IP 地址访问

例如

64.201.52*

UFW 如何做到这一点？

试过 sudo ufw allow from 64.201.52.*

我按照本指南在我的服务器上安装 OpenVPN --> https://www.digitalocean.com/community/tutorials/how-to-set-up-an-openvpn-server-on-ubuntu-14-04

我还使用 ufw 设置了一个防火墙，其中添加了规则，仅允许在 VPN 处于活动状态后从分配给我的内部 IP 进行 ssh 连接。

我无法使用此配置连接到我的服务器，无论是否有 VPN。如何将网络配置为仅允许通过 VPN 隧道进行 ssh 连接？

ufw在 Ubuntu 上使用时，我试图让端口转发工作以公开 LXC 容器，但无济于事。我根据 Internet 上的指南构建了以下工作流程 ([1][2][3])；最值得注意的是，关于/etc/ufw/before.rules我看到的部分到处重复，但是......我无法让它为我工作。

如果有人遵循本指南并取得成功....请告诉我（这样我可能会先哭，然后回过头来编写我自己的防火墙工具）

重现/测试的步骤

设置

1. 测试环境

   • 带有 NAT 和 NAT 网络接口的新 VM（我使用了 virtualbox）“host1”
     • 安装 Ubuntu 服务器 16.04 - 只需进行默认安装
   • 同一 NAT 网络上的第二个 VM 实例“host2”

2. 在主机 1 上安装 LXC - 我正在使用普通的 LXC 进行此操作，尚未引入 LXD 设置

   • sudo lxc-create -n web -t download -- -d centos -r 7 -a amd64
   • sudo lxc-start -n web
   • sudo lxc-attach -n web
     • yum install httpd ; yum enable httpd ; yum start httpd
     • exit

我们现在假设

• host1 上的 NAT …

我已经禁用了selinux /etc/sysconfig/selinux：

SELINUX=disabled\n

重新启动并禁用这两个firewalld服务iptables。

# sestatus\nSELinux status:                 disabled\n\n# systemctl status firewalld\n\xe2\x97\x8f firewalld.service - firewalld - dynamic firewall daemon\n   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)\n   Active: inactive (dead)\n     Docs: man:firewalld(1)\n\n# systemctl status iptables\n\xe2\x97\x8f iptables.service - IPv4 firewall with iptables\n   Loaded: loaded (/usr/lib/systemd/system/iptables.service; disabled; vendor preset: disabled)\n   Active: inactive (dead) \n\n# ufw status\nStatus: inactive\n

我仍然无法使用特定端口访问服务器：

# nc -v 10.0.12.3 8887\nnc: connect to 10.0.12.3 port 8887 (tcp) failed: Connection refused\n

我可以 …

我不小心在我的 Google Cloud Compute debian 实例上启用了 UFW，不幸的是端口 22 现在被阻止了。我已经尝试了各种方法进入虚拟机，但我不能。

我正在尝试通过串行端口访问，但它要求我提供从未设置的用户名和密码。

有谁知道我能做什么？

我有一台运行 UFW 的 Debian 9 服务器，我想阻止除端口 2122 (SSH) 和 80/443（对于 HTTP(s)）之外的所有传入请求。

我运行了以下命令：

ufw reset
ufw default deny incoming
ufw default allow outgoing
ufw allow incoming 2122/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

编译为：

ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
2122/tcp                   ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere
2122/tcp (v6)              ALLOW IN    Anywhere (v6)
80/tcp (v6)                ALLOW …

我在 Debian 上运行带有附加接口的 Wireguard wg0。有了这个 ufw 规则，我希望 ufw 能够通过我的流量：

ufw allow in on wg0 to any

但 ufw 却阻塞了流量：

[14674.950320] [UFW BLOCK] IN=wg0 OUT=eth0 MAC= SRC=10.0.0.2 DST=54.xx.xx.xx LEN=64 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=TCP SPT=54263 DPT=443 WINDOW=65535 RES=0x00 SYN URGP=0 
[14675.451891] [UFW BLOCK] IN=wg0 OUT=eth0 MAC= SRC=fd00:0000:0000:0000:0000:0000:0000:0002 DST=2a05:xxx LEN=84 TC=0

有人知道这里发生了什么事吗？