服务器评测
介绍
UFW是iptables的防火墙配置工具，默认情况下包含在Ubuntu中。这个欺骗表单样式指南提供了一个快速参考UFW命令，将创建iptables防火墙规则在常见的日常情况下是有用的。这包括通过端口，网络接口和源IP地址允许和阻止各种服务的UFW示例。
如何使用本指南
- 如果你是刚开始使用UFW配置防火墙，看看我们的介绍UFW
- 这里描述的大多数规则假定您正在使用默认UFW规则集。也就是说，它被设置为允许通过默认策略传出和拒绝传入流量，因此您必须选择性地允许流量进入
- 使用随后的章节适用于您要实现的内容。大多数节不是基于任何其他节，因此您可以独立使用下面的示例
- 使用此页面右侧的“内容”菜单（以宽页面宽度）或浏览器的查找功能，找到所需的部分
- 复制并粘贴给出的命令行示例，将红色的值替换为您自己的值
请记住，你可以检查您当前UFW规则集sudo ufw status或sudo ufw status verbose 。
阻止IP地址
要阻止所有网络连接从一个特定的IP地址发起， 15.15.15.51例如，运行以下命令：
sudo ufw deny from15.15.15.51
在这个例子中， from15.15.15.51指定“15.15.15.51”的一个源 IP地址。 如果你想，一个子网，如15.15.15.0/24 ，在这里可以代替规定。 源IP地址可以在任何防火墙规则中指定，其中包括允许规则。
阻止与网络接口的连接
要阻止来自特定IP地址的连接，例如15.15.15.51到一个特定的网络接口，如eth0 ，使用这个命令：
sudo ufw deny in on eth0 from15.15.15.51
这是相同的前面的例子，通过加入in on eth0 。网络接口可以在任何防火墙规则中指定，并且是将规则限制到特定网络的好方法。
服务：SSH
如果您使用云服务器，则可能需要允许传入SSH连接（端口22），以便可以连接和管理服务器。本节介绍如何使用各种SSH相关规则配置防火墙。
允许SSH
要允许所有传入的SSH连接运行此命令：
sudo ufw allow ssh另一种语法是指定SSH服务的端口号：
sudo ufw allow 22允许从特定IP地址或子网接收SSH
要允许来自特定IP地址或子网的传入SSH连接，请指定源。例如，如果你想使整个15.15.15.0/24子网，运行以下命令：
sudo ufw allow from15.15.15.0/24 to any port 22允许从特定IP地址或子网接收Rsync
Rsync在端口873上运行，可用于将文件从一台计算机传输到另一台计算机。
要允许来自特定IP地址或子网的传入rsync连接，请指定源IP地址和目标端口。例如，如果你想使整个15.15.15.0/24子网能够Rsync在您的服务器，运行以下命令：
sudo ufw allow from15.15.15.0/24 to any port 873服务：Web服务器
Web服务器（如Apache和Nginx）通常分别监听端口80和443上的HTTP和HTTPS连接的请求。如果将传入流量的默认策略设置为drop或deny，您将需要创建允许服务器响应这些请求的规则。
允许所有传入的HTTP
要允许所有传入的HTTP（端口80）连接运行此命令：
sudo ufw allow http另一种语法是指定HTTP服务的端口号：
sudo ufw allow 80允许所有传入的HTTPS
要允许所有传入的HTTPS（端口443）连接运行此命令：
sudo ufw allow https另一种语法是指定HTTPS服务的端口号：
sudo ufw allow 443允许所有传入的HTTP和HTTPS
如果要允许HTTP和HTTPS流量，则可以创建允许两个端口的单个规则。要允许所有传入的HTTP和HTTPS（端口443）连接运行此命令：
sudo ufw allow proto tcp from any to any port 80,443请注意，您需要指定协议，与proto tcp ，指定多个端口的时候。
服务：MySQL
MySQL侦听端口3306上的客户端连接。如果远程服务器上的客户端正在使用MySQL数据库服务器，则需要确保允许该流量。
从特定IP地址或子网允许MySQL
要允许来自特定IP地址或子网的传入MySQL连接，请指定源。例如，如果你想使整个15.15.15.0/24子网，运行以下命令：
sudo ufw allow from15.15.15.0/24 to any port 3306允许MySQL到特定的网络接口
要允许特定的网络接口，说你有一个专用网络接口，MySQL连接eth1 ，例如使用这个命令：
sudo ufw allow in on eth1 to any port 3306服务：PostgreSQL
PostgreSQL侦听端口5432上的客户端连接。如果远程服务器上的客户端正在使用您的PostgreSQL数据库服务器，则需要确保允许该流量。
PostgreSQL从特定的IP地址或子网
要允许从特定IP地址或子网传入PostgreSQL连接，请指定源。例如，如果你想使整个15.15.15.0/24子网，运行以下命令：
sudo ufw allow from15.15.15.0/24 to any port 5432如果第二个命令，允许建立的PostgreSQL连接发送的报文，只需要OUTPUT的政策未设置为ACCEPT 。
允许PostgreSQL到特定的网络接口
为了让PostgreSQL的连接到特定的网络接口，说你有一个专用网络接口eth1 ，例如使用这个命令：
sudo ufw allow in on eth1 to any port 5432如果第二个命令，允许建立的PostgreSQL连接发送的报文，只需要OUTPUT的政策未设置为ACCEPT 。
服务：邮件
邮件服务器（例如Sendmail和Postfix）根据用于邮件传递的协议在各种端口上侦听。如果您正在运行邮件服务器，请确定您正在使用哪些协议，并允许相应类型的流量。我们还将向您展示如何创建规则以阻止传出SMTP邮件。
阻止发送SMTP邮件
如果您的服务器不应发送外发邮件，则可能需要阻止此类流量。要阻止使用端口25的传出SMTP邮件，请运行以下命令：
sudo ufw deny out25这将配置防火墙删除所有出站流量在端口25上。如果你需要通过端口号拒绝不同的服务，而不是25端口，只需更换它。
允许所有传入SMTP
要允许服务器响应SMTP连接（端口25），请运行以下命令：
sudo ufw allow 25注：这是常见的的SMTP服务器使用端口587的出站邮件。
允许所有收到的IMAP
要允许服务器响应IMAP连接（端口143），请运行以下命令：
sudo ufw allow 143允许所有传入的IMAPS
要允许您的服务器响应IMAPS连接，端口993，请运行以下命令：
sudo ufw allow 993允许所有传入的POP3
要允许服务器响应POP3连接，端口110，请运行以下命令：
sudo ufw allow 110允许所有传入的POP3S
要允许服务器响应POP3S连接（端口995），请运行以下命令：
sudo ufw allow 995结论
这应该涵盖使用UFW配置防火墙时常用的许多命令。当然，UFW是一个非常灵活的工具，所以随意混合和匹配命令与不同的选项，以满足您的具体需要，如果这里不包括。
祝你好运！
本文永久更新链接地址：http://www.linuxidc.com/Linux/2017-07/145697.htm
