Ubuntu 24.04 LTS ufw 防火墙完整配置指南

三、核心配置：端口/服务规则管理（重点）

ufw 支持通过「端口号」或「服务名」配置访问规则（服务名对应 /etc/services 文件，如 ssh=22、http=80、https=443），规则优先级遵循：更具体的规则 > 通用规则，且规则添加后立即生效（需确保 ufw 处于 active 状态）。

1．允许入站连接（常用场景，必学）

入站连接控制是 ufw 的核心功能，以下是日常运维中最常用的允许规则，覆盖远程管理、网页服务、数据库等场景：

# 1. 允许特定端口（默认 TCP 协议，可指定 UDP）
sudo ufw allow 22/tcp # 允许 SSH（22 端口，远程连接必备，重中之重）
sudo ufw allow 80/tcp # 允许 HTTP（80 端口，静态网页服务）
sudo ufw allow 443/tcp # 允许 HTTPS（443 端口，加密网页服务，推荐）
sudo ufw allow 3306/tcp # 允许 MySQL（3306 端口，数据库服务）
sudo ufw allow 5432/tcp # 允许 PostgreSQL（5432 端口，开源数据库）
sudo ufw allow 8080/udp # 示例：允许 UDP 协议的 8080 端口（按需配置）

# 2. 允许特定端口范围（如 1000-2000 端口，TCP 协议）
sudo ufw allow 1000:2000/tcp

# 3. 允许特定服务名（等价于对应端口，更直观，适合新手）
sudo ufw allow ssh # 等价于 allow 22/tcp
sudo ufw allow http # 等价于 allow 80/tcp
sudo ufw allow https # 等价于 allow 443/tcp

# 4. 允许特定 IP 访问所有端口（信任单个 IP，如内网管理机 192.168.1.100）
sudo ufw allow from 192.168.1.100

# 5. 允许特定网段访问特定端口（如允许内网 192.168.1.0/24 网段访问 SSH）
sudo ufw allow from 192.168.1.0/24 to any port 22/tcp

# 6. 允许特定网卡的入站连接（如仅允许 eth0 网卡的 80 端口入站）
sudo ufw allow in on eth0 to any port 80/tcp

2．拒绝入站连接

ufw 默认策略已拒绝所有未明确允许的入站连接，若需针对性拒绝某个 IP、端口（如黑名单、防止恶意扫描），可执行以下命令：

# 拒绝某个 IP 访问所有端口（添加 IP 到黑名单，如 192.168.1.200）
sudo ufw deny from 192.168.1.200
# 拒绝所有 IP 访问 3389 端口（Windows 远程桌面端口，避免被恶意扫描）
sudo ufw deny 3389/tcp
# 拒绝特定网段访问特定端口（如拒绝 10.0.0.0/8 网段访问 MySQL）
sudo ufw deny from 10.0.0.0/8 to any port 3306/tcp

3．允许/拒绝出站连接

ufw 默认允许所有出站连接（服务器可正常访问外部网络，如下载依赖、更新系统），若需限制出站连接（如增强安全性、禁止访问外部无关端口），可参考以下配置：

# 警告：拒绝所有出站连接（谨慎使用，会导致服务器无法访问外部网络）
sudo ufw default deny outgoing
# 允许出站 SSH 连接（仅允许服务器访问外部 22 端口，用于远程连接其他机器）
sudo ufw allow outgoing 22/tcp
# 允许出站 HTTP/HTTPS（服务器可访问网页、更新系统、下载依赖）
sudo ufw allow outgoing 80/tcp
sudo ufw allow outgoing 443/tcp
# 允许出站数据库连接（如服务器需访问外部 MySQL 数据库）
sudo ufw allow outgoing 3306/tcp

4．删除规则（易错点，重点掌握）

删除规则前，建议先通过 sudo ufw status numbered 查看规则编号（最精准），避免删除错误规则，以下是两种常用删除方法：

# 方法 1：通过规则编号删除（推荐，精准无误差）
sudo ufw status numbered # 先查看规则编号，假设要删除编号为 3 的规则
sudo ufw delete 3 # 删除编号为 3 的规则

# 方法 2：通过原命令反向删除（需完全匹配，包括端口、协议，易出错）
sudo ufw delete allow 80/tcp # 删除'允许 80 端口 TCP'规则
sudo ufw delete deny from 192.168.1.200 # 删除'拒绝 192.168.1.200'规则

注意：删除规则后立即生效，无需重启 ufw，若删除错误，重新添加对应规则即可。

四、进阶配置：常见场景实战（运维必备）

结合实际运维场景，整理 4 个高频进阶配置，直接复制命令即可使用，覆盖服务器基础防护、防暴力破解、ping 测试、端口转发等需求。

1．服务器基础防护（推荐所有服务器配置）

适合 Web 服务器、应用服务器、数据库服务器，仅开放必要端口，拒绝无关访问，最大化提升安全性：

# 1. 允许 SSH（远程管理，必开）
sudo ufw allow ssh
# 2. 允许 HTTP/HTTPS（网页服务，无需则删除）
sudo ufw allow http
sudo ufw allow https
# 3. 允许数据库端口（按需开启，如 MySQL 3306，无需则删除）
sudo ufw allow 3306/tcp
# 4. 配置默认策略：拒绝所有入站，允许所有出站
sudo ufw default deny incoming
sudo ufw default allow outgoing
# 5. 启用防火墙（确认无问题后执行）
sudo ufw enable

2．限制 SSH 连接（防暴力破解，重点）

SSH 端口（22）是远程管理的入口，易被暴力破解，通过以下配置限制访问来源或连接频率，提升安全性：

# 方案 1：仅允许内网网段访问 SSH（推荐，避免外部 IP 暴力破解）
sudo ufw allow from 192.168.1.0/24 to any port 22/tcp # 内网网段
sudo ufw deny 22/tcp # 拒绝其他所有 IP 访问 SSH

# 方案 2：限制 SSH 连接频率（10 秒内最多 5 次连接，防暴力破解）
# Ubuntu 24.04 已预装相关模块，直接执行即可
sudo ufw limit ssh/tcp

3．允许 ICMP（ping 测试，调试必备）

默认情况下，ufw 允许出站 ping（服务器可 ping 通其他机器），但禁止入站 ping（其他机器无法 ping 通服务器），若需调试网络，可允许入站 ping：

# 允许入站 ping（ICMP 协议，其他机器可 ping 通服务器）
sudo ufw allow in proto icmp from any to any icmp-type echo-request
# 允许出站 ping 回复（服务器 ping 其他机器后，可接收回复）
sudo ufw allow out proto icmp from any to any icmp-type echo-reply

4．配置 NAT/端口转发（需内核支持）

若需将服务器端口转发到内网其他机器（如将服务器 8080 端口转发到内网 192.168.1.10 的 80 端口），需先启用内核 IP 转发，再配置转发规则：

# 1. 临时启用内核 IP 转发（重启服务器后失效）
sudo sysctl net.ipv4.ip_forward=1
# 2. 永久启用内核 IP 转发（编辑 sysctl 配置文件）
sudo nano /etc/sysctl.conf # 取消注释或添加一行：net.ipv4.ip_forward=1
# 保存退出后，执行以下命令使配置生效
sudo sysctl -p
# 3. 添加端口转发规则（假设服务器外网网卡为 eth0）
# 将服务器 8080 端口（TCP）转发到内网 192.168.1.10 的 80 端口
sudo ufw route allow in on eth0 from any to any port 8080/tcp to 192.168.1.10 port 80/tcp

五、开机自启与规则持久化

ufw 启用后，默认已设置为开机自启，所有自定义规则会自动持久化到 /etc/ufw/ 目录下，重启服务器后规则不会丢失，无需额外配置。

若需确认自启状态，或手动调整自启设置，执行以下命令：

# 查看 ufw 服务状态（确认是否开机自启）
sudo systemctl status ufw
# 启用开机自启（默认已启用，若被禁用则执行）
sudo systemctl enable ufw
# 禁用开机自启（不推荐，重启后防火墙失效）
sudo systemctl disable ufw

六、常见问题排查（新手救星）

整理 4 个 ufw 配置中最常见的问题，包含原因分析和解决方案，新手遇到问题可直接对照排查。

1．远程连接被锁机（SSH 无法连接）

原因：启用 ufw 前未允许 SSH 端口（22/tcp），默认策略拒绝所有入站连接，导致远程连接被阻断。

解决方案：通过本地终端/虚拟机控制台登录服务器，执行 sudo ufw allow ssh，然后重新启用 ufw（sudo ufw enable），即可恢复远程连接。

2．规则添加后不生效

常见原因：ufw 未启用、规则冲突（如先允许再拒绝，以最后一条规则为准）、规则配置不精准（如端口协议错误）。

解决方案：

1. 确认 ufw 处于启用状态：sudo ufw status（需显示 active）；
2. 查看规则是否冲突：sudo ufw status verbose，删除冲突规则；
3. 重启 ufw 使规则生效：sudo ufw disable && sudo ufw enable。

3．无法访问外部网络（出站被限制）

原因：误将默认出站策略设置为 deny（拒绝所有出站），且未配置允许的出站规则。

解决方案：恢复默认出站策略：sudo ufw default allow outgoing，然后根据需求添加必要的出站规则。

4．查看 ufw 日志（排查异常连接）

若需排查异常连接、规则生效情况，可启用 ufw 日志，查看连接记录：

# 启用日志（低级别，仅记录关键连接信息，推荐）
sudo ufw logging on
# 启用高级日志（记录所有连接细节，适合精准排查问题）
sudo ufw logging full
# 实时查看日志（默认日志路径：/var/log/ufw.log）
sudo tail -f /var/log/ufw.log
# 关闭日志
sudo ufw logging off

七、总结与实用技巧

1．核心操作流程（新手必记）

ufw 配置核心逻辑：允许必要端口 → 配置默认策略 → 启用防火墙 → 验证规则，无需过度开放端口，仅保留业务必需端口，即可最大化提升服务器安全性。

2．快速查看端口策略技巧

• 快速查看：sudo ufw status（适合确认防火墙状态和核心规则）；
• 详细查看：sudo ufw status verbose（适合确认规则细节、默认策略）；
• 数字端口 + 编号：sudo ufw status numbered（适合删除规则）；
• 过滤查看：sudo ufw status verbose | grep -E "ALLOW|To"（仅看允许规则）、sudo ufw status verbose | grep -E "DENY|To"（仅看拒绝规则）。