Linux下，用ufw实现端口关闭、流量控制(二)

本文是
网安小白的端口关闭实践
的续篇。

海量报文，一手掌握，你值得拥有，让我们开始吧～

ufw 与 iptables的关系

理论介绍：

ufw（Uncomplicated Firewall）是一个基于iptables的前端工具，用于简化iptables的配置和管理。它提供了一组简单的命令和规则集，使用户能够更容易地配置和管理防火墙。

iptables是一个内核层的防火墙工具，用于过滤、重定向和修改网络数据包。它提供了非常强大的功能和灵活性，但其命令语法和配置较为复杂。

ufw实质上是对iptables进行了封装，提供了更简单易用的命令和配置接口。用户使用ufw命令时，ufw会自动转化为对iptables的操作命令，并在后台进行配置。因此，ufw在底层还是依赖iptables来实现防火墙规则的生效。

总而言之，ufw是一个基于iptables的简化工具，使用户更方便地配置和管理防火墙。

实践

  • 查看ufw的配置文件
cat /etc/ufw/before.rules
cat /etc/ufw/user.rules

可看到如下文件：

river@star:/etc/ufw$ ls
after6.rules                  before6.rules                  ufw.conf
after6.rules.20241202_150252  before6.rules.20241202_150252  user6.rules
after.init                    before.init                    user6.rules.20241202_150252
after.rules                   before.rules                   user.rules
after.rules.20241202_150252   before.rules.20241202_150252   user.rules.20241202_150252
applications.d                sysctl.conf

before.rules VS after.rules VS ufw.rules

在Ubuntu系统中，/etc/ufw/目录下的不同文件有以下含义：

  1. before.rules：这是ufw防火墙服务在加载之前将要应用的规则文件。它包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之前被应用。

  2. after.rules：这是ufw防火墙服务在加载之后将要应用的规则文件。它也包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之后被应用。

  3. user.rules：这是ufw命令行工具自动生成的规则文件。当你使用ufw命令添加或修改防火墙规则时，这些规则会被写入到/etc/ufw/user.rules文件中。这个文件包含了用户自定义的ufw规则，它会在ufw防火墙启动时被读取和加载到iptables规则链中。

需要注意的是，当你使用ufw命令修改防火墙规则时，实际上是修改了/etc/ufw/user.rules文件，然后使用sudo ufw reload命令来重新加载规则，使其生效。而before.rules和after.rules文件则通常用于添加更底层的iptables规则，以满足特定的需求或配置。

  • 执行
sudo ufw deny from any to 127.0.0.1

后，/etc/ufw/user.rules出现下述规则

### tuple ### deny any any 127.0.0.1 any 0.0.0.0/0 in
-A ufw-user-input -d 127.0.0.1 -j DROP

暂未找到下述规则的对应行：

sudo ufw default deny imcoming

规则制定范例

  • /etc/ufw/before.rules
#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
#   ufw-before-input
#   ufw-before-output
#   ufw-before-forward
## Don't delete these required lines, otherwise there will be errors
*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]
# End required lines# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT# ok icmp code for FORWARD
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT# allow dhcp client to work
-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT#
# ufw-not-local
#
-A ufw-before-input -j ufw-not-local# if LOCAL, RETURN
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN# if MULTICAST, RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN# if BROADCAST, RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN# all other non-local packets are dropped
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT# don't delete the 'COMMIT' line or these rules won't be processed
COMMIT

端口关闭实践

规则说明

  • 启用ufw后，修改/etc/iptales/rulesv4无效，执行iptables的命令也无效， 比如下面这个
sudo iptables -A OUTPUT -p tcp --dport 5556 -j DROP
  • 要想执行iptables，必须关闭ufw
  • 但理论上讲，所有iptables能执行的ufw也能执行

方法1：用ufw关闭，不用自己定义基础规则

上面的命令对应的ufw命令如下：

 sudo ufw deny from 127.0.0.1 to any port 5556
  • 注意，这代表，阻止从本机到任何机器的5556端口

以下才是阻止本机的5556到任何机器的报文

sudo ufw deny from 127.0.0.1 port 5556 to any

方法2：用iptables关闭

  • 修改/etc/iptables/rules.v4如下
# Generated by iptables-save v1.8.10 (nf_tables) on Mon Dec  2 23:18:41 2024
*filter
:INPUT ACCEPT [67:23836]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [66:29316]
-A INPUT -p tcp -m tcp --dport 5556 -j DROP
-A OUTPUT -p tcp -m tcp --dport 5556 -j DROP
COMMIT
# Completed on Mon Dec  2 23:18:41 2024

仅允许特定端口流出实践

  • 问题：ufw 如何禁止本机从80,443以外的端口 流出的流量?
sudo ufw default deny outgoing
sudo ufw allow out 80/tcp
sudo ufw allow out 443/tcp
sudo ufw allow out 443/udp
sudo ufw allow out 546/udp
sudo ufw allow out 995/tcp
sudo ufw allow out 853/tcp	#dns over tls
sudo ufw allow out 853/udp	#dns over quic
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发

真实有效，原来ufw也能让浏览器不能接受报文!!

  • 关闭时的防火墙状态；
    在这里插入图片描述
  • 作用效果：
    在这里插入图片描述

警告

  • sudo ufw default deny outgoing可能会导致部分软件无法工作，当然如果不使用某些奇奇怪怪的软件，以上配置大概是足够纯净和安全的！

安全解决方案II

  • 当确保所有软件都是安全时，仅仅这样也是足够的
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发
sudo apt install firewall-config
# 接着在firewall中允许仅仅若干服务

Last Extension: DoH VS DoT

DOH（DNS over HTTPS）和DOT（DNS over TLS）是两种将DNS查询加密的传输协议。

DOH使用HTTPS将DNS查询和响应封装在HTTP请求和响应中，通过常用的端口443进行传输。这意味着DNS查询被加密在TLS隧道中，并且可以与现有的HTTPS流量混合在一起，难以被网络监控或阻止。DOH可以通过使用基于浏览器的解析器或专用的DOH代理来实现。

DOT直接将DNS查询和响应封装在TLS流中，通过指定的端口（默认为853）进行传输。与DOH不同，DOT在应用层提供密钥交换和加密，而不是在HTTP层。它需要专用的DOT代理来将DNS请求发送到加密的DNS服务器进行解析。

总的来说，DOH将DNS查询封装在HTTPS中，可以通过通用的HTTPS端口传输，并且易于与现有的HTTPS流量混合。而DOT直接在TLS流中进行加密，需要专用的DOT代理来处理DNS查询和响应。两者都提供了DNS查询的加密传输，以增强隐私和安全性。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/diannao/62888.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

MySQL之数据完整性

MySQL之数据完整性

数据的完整性约束可以分为三类: 实体完整性、域完整性和引用完整性。 说来说去（说主键，外键，以及⼀些约束） 1、实体完整性 （实体就是行） 什么是关系型数据库？ 一个表代表一类事务&#xff0…
阅读更多...
echarts的双X轴，父级居中的相关配置

echarts的双X轴，父级居中的相关配置

前言：折腾了一个星期，在最后一天中午，都快要放弃了，后来坚持下来，才有下面结果。 这个效果就相当是复合表头，第一行是子级，第二行是父级。 子级是奇数个时，父级label居中很简单&…
阅读更多...
配置宝塔php curl 支持http/2 发送苹果apns消息推送

配置宝塔php curl 支持http/2 发送苹果apns消息推送

由于宝塔面板默认的php编译的curl未加入http2的支持，如果服务需要使用apns推送等需要http2.0的访问就会失败，所以重新编译php让其支持http2.0 编译方法： 一、安装nghttp2 git clone https://github.com/tatsuhiro-t/nghttp2.git cd nghttp…
阅读更多...
记录一次网关异常

记录一次网关异常

记一次网关异常 网关时不时就会出现下面的异常。关键是不知道什么时候就会报错，并且有时候就算什么都不操作，也会导致这个异常。 ERROR org.springframework.scheduling.support.TaskUtils$LoggingErrorHandler - Unexpected error occurred in schedul…
阅读更多...
动态艺术：用Python将文字融入GIF动画

动态艺术：用Python将文字融入GIF动画

文章内容： 在数字媒体的多样化发展中，GIF动画作为一种流行的表达形式，常被用于广告、社交媒体和娱乐。本文通过一个具体的Python编程示例，展示了如何将文字以动态形式融入到GIF动画中，创造出具有视觉冲击力的动态艺术…
阅读更多...
@antv/x6 再vue中 ，自定义图形，画流程图、数据建模、er图等图形

@antv/x6 再vue中 ，自定义图形，画流程图、数据建模、er图等图形

X6 是基于 HTML 和 SVG 的图编辑引擎，提供低成本的定制能力和开箱即用的内置扩展，方便我们快速搭建 DAG 图、ER 图、流程图、血缘图等应用。 最终效果图 1.安装 npm install antv/x6 --save //x6主要包 npm install antv/x6-vue-shape //使用vue组…
阅读更多...
2.4特征预处理（机器学习）

2.4特征预处理（机器学习）

2.4特征预处理 2.4.1 什么是特征预处理 通过 一些转换函数将特征数据转换成更加适合算法模型的特征数据过程。 1 包含内容 数值型数据的无量纲化： 归一化 标准化 2 特征预处理API sklearn.preprocessing 为什么要进行归一化/标准化？ 特征的单…
阅读更多...
前端、后端、测试？如何选择

前端、后端、测试？如何选择

目录 一、前端开发 （一）职业概述 （二）需学习的技术 二、后端开发 （一）职业概述 （二）需学习的技术 三、测试 （一）职业概述 （二&#xff0…
阅读更多...
AI - 谈谈RAG中的查询分析（2）

AI - 谈谈RAG中的查询分析（2）

AI - 谈谈RAG中的查询分析（2） 大家好，RAG中的查询分析是比较有趣的一个点，内容丰富，并不是一句话能聊的清楚的。今天接着上一篇，继续探讨RAG中的查询分析，并在功能层面和代码层面持续改进。 功…
阅读更多...
hadoop环境配置-创建hadoop用户+更新apt+安装SSH+配置Java环境

hadoop环境配置-创建hadoop用户+更新apt+安装SSH+配置Java环境

一、创建hadoop用户(在vm安装的ubantu上打开控制台) 1、sudo useradd -m hadoop -s /bin/bash （创建hadoop用户） 2、sudo passwd hadoop (设置密码) 3、sudo adduser hadoop sudo（将新建的hadoop用户设置为管理员） 执行如下图 将…
阅读更多...
大数据新视界 -- Hive 数据湖架构中的角色与应用（上）（25 / 30）

大数据新视界 -- Hive 数据湖架构中的角色与应用（上）（25 / 30）

💖💖💖亲爱的朋友们，热烈欢迎你们来到 青云交的博客！能与你们在此邂逅，我满心欢喜，深感无比荣幸。在这个瞬息万变的时代，我们每个人都在苦苦追寻一处能让心灵安然栖息的港湾。而 我的…
阅读更多...
SpringMVC：参数传递之日期类型参数传递

SpringMVC：参数传递之日期类型参数传递

环境准备和参数传递请见：SpringMVC参数传递环境准备 日期类型比较特殊，因为对于日期的格式有N多中输入方式，比如: 2088-08-182088/08/1808/18/2088… 针对这么多日期格式，SpringMVC该如何接收，它能很好的处理日期类…
阅读更多...
jmeter如何导出中文版的测试报告？

jmeter如何导出中文版的测试报告？

文章目录 0、初始步骤：把报告模板换成中文形式1、首先添加一份聚合报告2、然后点开【聚合报告】3，生成报告3.1 选择【工具】-【generate HTML report】3.2 【generate HTML report】参数详解3.3 、最后点击 【generate report】直接生成。 声明&#xff…
阅读更多...
基于IPD双轮驱动， 打破产品同质化竞争魔咒

基于IPD双轮驱动， 打破产品同质化竞争魔咒

在当今竞争激烈的商业环境中，产品同质化现象愈发严重，企业面临着巨大的挑战。如何在众多相似产品中脱颖而出，赢得客户的青睐并获取持续的竞争优势，成为企业亟待解决的关键问题。基于 IPD 双轮驱动的产品开发模式，为企业…
阅读更多...
2.mysql 中一条更新语句的执行流程是怎样的呢？

2.mysql 中一条更新语句的执行流程是怎样的呢？

前面我们系统了解了一个查询语句的执行流程，并介绍了执行过程中涉及的处理模块。 相信你还记得，一条查询语句的执行过程一般是经过连接器、分析器、优化器、执行器等功能模块，最后到达存储引擎。 那么，一条更新语句的执行流程又…
阅读更多...
【LeetCode每日一题】——204.计数质数

【LeetCode每日一题】——204.计数质数

文章目录 一【题目类别】二【题目难度】三【题目编号】四【题目描述】五【题目示例】六【题目提示】七【解题思路】八【时空频度】九【代码实现】十【提交结果】 一【题目类别】 数组 二【题目难度】 中等 三【题目编号】 204.计数质数 四【题目描述】 给定整数 n &…
阅读更多...
【数据事务】.NET开源 ORM 框架 SqlSugar 系列

【数据事务】.NET开源 ORM 框架 SqlSugar 系列

.NET开源 ORM 框架 SqlSugar 系列 【开篇】.NET开源 ORM 框架 SqlSugar 系列【入门必看】.NET开源 ORM 框架 SqlSugar 系列【实体配置】.NET开源 ORM 框架 SqlSugar 系列【Db First】.NET开源 ORM 框架 SqlSugar 系列【Code First】.NET开源 ORM 框架 SqlSugar 系列【数据事务…
阅读更多...
【机器学习】机器学习的基本分类-监督学习-决策树-ID3 算法

【机器学习】机器学习的基本分类-监督学习-决策树-ID3 算法

ID3（Iterative Dichotomiser 3）是决策树的一种构造算法，由 Ross Quinlan 在 1986 年提出。它主要用于分类问题，通过信息增益选择特征来构建决策树。ID3 假设数据是离散型特征，且不支持连续型数据。 1. 核心思想 划分标…
阅读更多...
JAVA ｜日常开发中读写XML详解

JAVA ｜日常开发中读写XML详解

JAVA ｜日常开发中读写XML详解 前言一、XML 简介二、在 Java 中读取 XML2.1 使用 DOM（Document Object Model）方式读取 XML2.2 使用 SAX（Simple API for XML）方式读取 XML 三、在 Java 中写入 XML3.1 使用 DOM 方式写入…
阅读更多...
ISAAC SIM踩坑记录--Omniverse Launcher添加代理

ISAAC SIM踩坑记录--Omniverse Launcher添加代理

最近Omniverse Launcher不知道又抽什么疯，在Exchange界面安装各种软件都不成功，报错如下： FetchError: request to https://launcher-index-prod.s3.amazonaws.com/en/components.json failed, reason: Client network socket disconnected…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023