ufw生成防火墙

  ufw是个很简单的防火墙生成器。

简单操作便可生的可靠的规则。

1. sudo apt-get install ufw 
2. sudo ufw enable 
3. sudo ufw default deny 
4. sudo ufw allow proto tcp from 192.168.0.0/16 to any port 22 
5. sudo ufw allow proto tcp from 123.123.123.123/32 to any port 22 
6. sudo ufw allow proto udp from 192.168.0.0/16 to any port 123 
7. sudo ufw allow proto udp from 192.168.0.0/16 to any port 161 
8. sudo ufw allow proto tcp from 192.168.0.0/16 to any port 5666 
9. sudo ufw allow proto tcp from 192.168.0.0/16 to any port 9102 
10. sudo ufw allow 80/tcp 

查看ufw状态

1. $ sudo ufw status 
2. Status: active 
3.  
4. To                         Action      From 
5. --                         ------      ---- 
6. 22/tcp                     ALLOW       192.168.0.0/16 
7. 22/tcp                     ALLOW       123.123.123.123 
8. 123/udp                    ALLOW       192.168.0.0/16 
9. 161/udp                    ALLOW       192.168.0.0/16 
10. 5666/tcp                   ALLOW       192.168.0.0/16 
11. 9102/tcp                   ALLOW       192.168.0.0/16 
12. 80/tcp                     ALLOW       Anywhere 
13. 80/tcp                     ALLOW       Anywhere (v6) 

查看规则

1. $ sudo iptables-save 
2. # Generated by iptables-save v1.4.12 on Fri Nov  2 19:24:23 2012 
3. *filter 
4. :INPUT DROP [1:32] 
5. :FORWARD DROP [0:0] 
6. :OUTPUT ACCEPT [0:0] 
7. :ufw-after-forward - [0:0] 
8. :ufw-after-input - [0:0] 
9. :ufw-after-logging-forward - [0:0] 
10. :ufw-after-logging-input - [0:0] 
11. :ufw-after-logging-output - [0:0] 
12. :ufw-after-output - [0:0] 
13. :ufw-before-forward - [0:0] 
14. :ufw-before-input - [0:0] 
15. :ufw-before-logging-forward - [0:0] 
16. :ufw-before-logging-input - [0:0] 
17. :ufw-before-logging-output - [0:0] 
18. :ufw-before-output - [0:0] 
19. :ufw-logging-allow - [0:0] 
20. :ufw-logging-deny - [0:0] 
21. :ufw-not-local - [0:0] 
22. :ufw-reject-forward - [0:0] 
23. :ufw-reject-input - [0:0] 
24. :ufw-reject-output - [0:0] 
25. :ufw-skip-to-policy-forward - [0:0] 
26. :ufw-skip-to-policy-input - [0:0] 
27. :ufw-skip-to-policy-output - [0:0] 
28. :ufw-track-input - [0:0] 
29. :ufw-track-output - [0:0] 
30. :ufw-user-forward - [0:0] 
31. :ufw-user-input - [0:0] 
32. :ufw-user-limit - [0:0] 
33. :ufw-user-limit-accept - [0:0] 
34. :ufw-user-logging-forward - [0:0] 
35. :ufw-user-logging-input - [0:0] 
36. :ufw-user-logging-output - [0:0] 
37. :ufw-user-output - [0:0] 
38. -A INPUT -j ufw-before-logging-input 
39. -A INPUT -j ufw-before-input 
40. -A INPUT -j ufw-after-input 
41. -A INPUT -j ufw-after-logging-input 
42. -A INPUT -j ufw-reject-input 
43. -A INPUT -j ufw-track-input 
44. -A FORWARD -j ufw-before-logging-forward 
45. -A FORWARD -j ufw-before-forward 
46. -A FORWARD -j ufw-after-forward 
47. -A FORWARD -j ufw-after-logging-forward 
48. -A FORWARD -j ufw-reject-forward 
49. -A OUTPUT -j ufw-before-logging-output 
50. -A OUTPUT -j ufw-before-output 
51. -A OUTPUT -j ufw-after-output 
52. -A OUTPUT -j ufw-after-logging-output 
53. -A OUTPUT -j ufw-reject-output 
54. -A OUTPUT -j ufw-track-output 
55. -A ufw-after-input -p udp -m udp --dport 137 -j ufw-skip-to-policy-input 
56. -A ufw-after-input -p udp -m udp --dport 138 -j ufw-skip-to-policy-input 
57. -A ufw-after-input -p tcp -m tcp --dport 139 -j ufw-skip-to-policy-input 
58. -A ufw-after-input -p tcp -m tcp --dport 445 -j ufw-skip-to-policy-input 
59. -A ufw-after-input -p udp -m udp --dport 67 -j ufw-skip-to-policy-input 
60. -A ufw-after-input -p udp -m udp --dport 68 -j ufw-skip-to-policy-input 
61. -A ufw-after-input -m addrtype --dst-type BROADCAST -j ufw-skip-to-policy-input 
62. -A ufw-after-logging-forward -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] " 
63. -A ufw-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] " 
64. -A ufw-before-forward -j ufw-user-forward 
65. -A ufw-before-input -i lo -j ACCEPT 
66. -A ufw-before-input -m state --state RELATED,ESTABLISHED -j ACCEPT 
67. -A ufw-before-input -m state --state INVALID -j ufw-logging-deny 
68. -A ufw-before-input -m state --state INVALID -j DROP 
69. -A ufw-before-input -p icmp -m icmp --icmp-type 3 -j ACCEPT 
70. -A ufw-before-input -p icmp -m icmp --icmp-type 4 -j ACCEPT 
71. -A ufw-before-input -p icmp -m icmp --icmp-type 11 -j ACCEPT 
72. -A ufw-before-input -p icmp -m icmp --icmp-type 12 -j ACCEPT 
73. -A ufw-before-input -p icmp -m icmp --icmp-type 8 -j ACCEPT 
74. -A ufw-before-input -p udp -m udp --sport 67 --dport 68 -j ACCEPT 
75. -A ufw-before-input -j ufw-not-local 
76. -A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT 
77. -A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT 
78. -A ufw-before-input -j ufw-user-input 
79. -A ufw-before-output -o lo -j ACCEPT 
80. -A ufw-before-output -m state --state RELATED,ESTABLISHED -j ACCEPT 
81. -A ufw-before-output -j ufw-user-output 
82. -A ufw-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] " 
83. -A ufw-logging-deny -m state --state INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN 
84. -A ufw-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] " 
85. -A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN 
86. -A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN 
87. -A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN 
88. -A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny 
89. -A ufw-not-local -j DROP 
90. -A ufw-skip-to-policy-forward -j DROP 
91. -A ufw-skip-to-policy-input -j DROP 
92. -A ufw-skip-to-policy-output -j ACCEPT 
93. -A ufw-track-output -p tcp -m state --state NEW -j ACCEPT 
94. -A ufw-track-output -p udp -m state --state NEW -j ACCEPT 
95. -A ufw-user-input -s 192.168.0.0/16 -p tcp -m tcp --dport 22 -j ACCEPT 
96. -A ufw-user-input -s 123.123.123.123/32 -p tcp -m tcp --dport 22 -j ACCEPT 
97. -A ufw-user-input -s 192.168.0.0/16 -p udp -m udp --dport 123 -j ACCEPT 
98. -A ufw-user-input -s 192.168.0.0/16 -p udp -m udp --dport 161 -j ACCEPT 
99. -A ufw-user-input -s 192.168.0.0/16 -p tcp -m tcp --dport 5666 -j ACCEPT 
100. -A ufw-user-input -s 192.168.0.0/16 -p tcp -m tcp --dport 9102 -j ACCEPT 
101. -A ufw-user-input -p tcp -m tcp --dport 80 -j ACCEPT 
102. -A ufw-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] " 
103. -A ufw-user-limit -j REJECT --reject-with icmp-port-unreachable 
104. -A ufw-user-limit-accept -j ACCEPT 
105. COMMIT 
106. # Completed on Fri Nov  2 19:24:23 2012 

生成的规则果然还是比较漂亮的。