Linux下，用ufw实现端口关闭、流量控制(二)

本文是
网安小白的端口关闭实践
的续篇。

海量报文，一手掌握，你值得拥有，让我们开始吧～

ufw 与 iptables的关系

理论介绍：

ufw（Uncomplicated Firewall）是一个基于iptables的前端工具，用于简化iptables的配置和管理。它提供了一组简单的命令和规则集，使用户能够更容易地配置和管理防火墙。

iptables是一个内核层的防火墙工具，用于过滤、重定向和修改网络数据包。它提供了非常强大的功能和灵活性，但其命令语法和配置较为复杂。

ufw实质上是对iptables进行了封装，提供了更简单易用的命令和配置接口。用户使用ufw命令时，ufw会自动转化为对iptables的操作命令，并在后台进行配置。因此，ufw在底层还是依赖iptables来实现防火墙规则的生效。

总而言之，ufw是一个基于iptables的简化工具，使用户更方便地配置和管理防火墙。

实践

  • 查看ufw的配置文件
cat /etc/ufw/before.rules
cat /etc/ufw/user.rules

可看到如下文件：

river@star:/etc/ufw$ ls
after6.rules                  before6.rules                  ufw.conf
after6.rules.20241202_150252  before6.rules.20241202_150252  user6.rules
after.init                    before.init                    user6.rules.20241202_150252
after.rules                   before.rules                   user.rules
after.rules.20241202_150252   before.rules.20241202_150252   user.rules.20241202_150252
applications.d                sysctl.conf

before.rules VS after.rules VS ufw.rules

在Ubuntu系统中，/etc/ufw/目录下的不同文件有以下含义：

  1. before.rules：这是ufw防火墙服务在加载之前将要应用的规则文件。它包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之前被应用。

  2. after.rules：这是ufw防火墙服务在加载之后将要应用的规则文件。它也包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之后被应用。

  3. user.rules：这是ufw命令行工具自动生成的规则文件。当你使用ufw命令添加或修改防火墙规则时，这些规则会被写入到/etc/ufw/user.rules文件中。这个文件包含了用户自定义的ufw规则，它会在ufw防火墙启动时被读取和加载到iptables规则链中。

需要注意的是，当你使用ufw命令修改防火墙规则时，实际上是修改了/etc/ufw/user.rules文件，然后使用sudo ufw reload命令来重新加载规则，使其生效。而before.rules和after.rules文件则通常用于添加更底层的iptables规则，以满足特定的需求或配置。

  • 执行
sudo ufw deny from any to 127.0.0.1

后，/etc/ufw/user.rules出现下述规则

### tuple ### deny any any 127.0.0.1 any 0.0.0.0/0 in
-A ufw-user-input -d 127.0.0.1 -j DROP

暂未找到下述规则的对应行：

sudo ufw default deny imcoming

规则制定范例

  • /etc/ufw/before.rules
#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
#   ufw-before-input
#   ufw-before-output
#   ufw-before-forward
## Don't delete these required lines, otherwise there will be errors
*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]
# End required lines# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT# ok icmp code for FORWARD
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT# allow dhcp client to work
-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT#
# ufw-not-local
#
-A ufw-before-input -j ufw-not-local# if LOCAL, RETURN
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN# if MULTICAST, RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN# if BROADCAST, RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN# all other non-local packets are dropped
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT# don't delete the 'COMMIT' line or these rules won't be processed
COMMIT

端口关闭实践

规则说明

  • 启用ufw后，修改/etc/iptales/rulesv4无效，执行iptables的命令也无效， 比如下面这个
sudo iptables -A OUTPUT -p tcp --dport 5556 -j DROP
  • 要想执行iptables，必须关闭ufw
  • 但理论上讲，所有iptables能执行的ufw也能执行

方法1：用ufw关闭，不用自己定义基础规则

上面的命令对应的ufw命令如下：

 sudo ufw deny from 127.0.0.1 to any port 5556
  • 注意，这代表，阻止从本机到任何机器的5556端口

以下才是阻止本机的5556到任何机器的报文

sudo ufw deny from 127.0.0.1 port 5556 to any

方法2：用iptables关闭

  • 修改/etc/iptables/rules.v4如下
# Generated by iptables-save v1.8.10 (nf_tables) on Mon Dec  2 23:18:41 2024
*filter
:INPUT ACCEPT [67:23836]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [66:29316]
-A INPUT -p tcp -m tcp --dport 5556 -j DROP
-A OUTPUT -p tcp -m tcp --dport 5556 -j DROP
COMMIT
# Completed on Mon Dec  2 23:18:41 2024

仅允许特定端口流出实践

  • 问题：ufw 如何禁止本机从80,443以外的端口 流出的流量?
sudo ufw default deny outgoing
sudo ufw allow out 80/tcp
sudo ufw allow out 443/tcp
sudo ufw allow out 443/udp
sudo ufw allow out 546/udp
sudo ufw allow out 995/tcp
sudo ufw allow out 853/tcp	#dns over tls
sudo ufw allow out 853/udp	#dns over quic
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发

真实有效，原来ufw也能让浏览器不能接受报文!!

  • 关闭时的防火墙状态；
    在这里插入图片描述
  • 作用效果：
    在这里插入图片描述

警告

  • sudo ufw default deny outgoing可能会导致部分软件无法工作，当然如果不使用某些奇奇怪怪的软件，以上配置大概是足够纯净和安全的！

安全解决方案II

  • 当确保所有软件都是安全时，仅仅这样也是足够的
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发
sudo apt install firewall-config
# 接着在firewall中允许仅仅若干服务

Last Extension: DoH VS DoT

DOH（DNS over HTTPS）和DOT（DNS over TLS）是两种将DNS查询加密的传输协议。

DOH使用HTTPS将DNS查询和响应封装在HTTP请求和响应中，通过常用的端口443进行传输。这意味着DNS查询被加密在TLS隧道中，并且可以与现有的HTTPS流量混合在一起，难以被网络监控或阻止。DOH可以通过使用基于浏览器的解析器或专用的DOH代理来实现。

DOT直接将DNS查询和响应封装在TLS流中，通过指定的端口（默认为853）进行传输。与DOH不同，DOT在应用层提供密钥交换和加密，而不是在HTTP层。它需要专用的DOT代理来将DNS请求发送到加密的DNS服务器进行解析。

总的来说，DOH将DNS查询封装在HTTPS中，可以通过通用的HTTPS端口传输，并且易于与现有的HTTPS流量混合。而DOT直接在TLS流中进行加密，需要专用的DOT代理来处理DNS查询和响应。两者都提供了DNS查询的加密传输，以增强隐私和安全性。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/diannao/62888.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

@staticmethod、@classmethod

@staticmethod、@classmethod

staticmethod 静态方法：staticmethod将一个普通函数嵌入到类中，使其成为类的静态方法。静态方法不需要一个类实例即可被调用，同时它也不需要访问类实例的状态。参数：静态方法可以接受任何参数，但通常不使用self或cls作…
阅读更多...
MySQL之数据完整性

MySQL之数据完整性

数据的完整性约束可以分为三类: 实体完整性、域完整性和引用完整性。 说来说去（说主键，外键，以及⼀些约束） 1、实体完整性 （实体就是行） 什么是关系型数据库？ 一个表代表一类事务&#xff0…
阅读更多...
echarts的双X轴，父级居中的相关配置

echarts的双X轴，父级居中的相关配置

前言：折腾了一个星期，在最后一天中午，都快要放弃了，后来坚持下来，才有下面结果。 这个效果就相当是复合表头，第一行是子级，第二行是父级。 子级是奇数个时，父级label居中很简单&…
阅读更多...
配置宝塔php curl 支持http/2 发送苹果apns消息推送

配置宝塔php curl 支持http/2 发送苹果apns消息推送

由于宝塔面板默认的php编译的curl未加入http2的支持，如果服务需要使用apns推送等需要http2.0的访问就会失败，所以重新编译php让其支持http2.0 编译方法： 一、安装nghttp2 git clone https://github.com/tatsuhiro-t/nghttp2.git cd nghttp…
阅读更多...
记录一次网关异常

记录一次网关异常

记一次网关异常 网关时不时就会出现下面的异常。关键是不知道什么时候就会报错，并且有时候就算什么都不操作，也会导致这个异常。 ERROR org.springframework.scheduling.support.TaskUtils$LoggingErrorHandler - Unexpected error occurred in schedul…
阅读更多...
Spring Boot开发——整合MyBatis的几种SQL写法

Spring Boot开发——整合MyBatis的几种SQL写法

文章目录 1. 批量操作优化• 批量插入• 批量更新• 批量删除2. 动态SQL• 动态查询3. 多条件分支查询• 多条件分支查询4. SQL语句优化• SQL语句优化5. 自动生成主键• 自动生成主键6. 注解方式使用MyBatis• 注解方式示例7. 高级映射• 一对多映射8. MyBatis-Plus集成• MyB…
阅读更多...
关于望远镜偏振校准源的一些记录

关于望远镜偏振校准源的一些记录

确定主要的偏振校准模型： 你需要一个最好的源，稳定偏振明确的校准作为主要模型例如：3C286，3C138，3C48 偏振位置角的校准：3C286，3C138，3C48（3C48一般用在6cm及以下的波段使…
阅读更多...
解决 Flutter Dio合并请求多个接口，如果一个接口500，那么导致其他请求不在执行

解决 Flutter Dio合并请求多个接口，如果一个接口500，那么导致其他请求不在执行

Flutter Dio如何自定义拦截异常 应用场景 我们一般会统一拦截DioExceptionType 如400，403，500 等错误 但有时候，有个地方合并请求多个接口，如果一个接口500，那么导致其他请求不在执行，因为统一拦截了500&…
阅读更多...
动态艺术：用Python将文字融入GIF动画

动态艺术：用Python将文字融入GIF动画

文章内容： 在数字媒体的多样化发展中，GIF动画作为一种流行的表达形式，常被用于广告、社交媒体和娱乐。本文通过一个具体的Python编程示例，展示了如何将文字以动态形式融入到GIF动画中，创造出具有视觉冲击力的动态艺术…
阅读更多...
@antv/x6 再vue中 ，自定义图形，画流程图、数据建模、er图等图形

@antv/x6 再vue中 ，自定义图形，画流程图、数据建模、er图等图形

X6 是基于 HTML 和 SVG 的图编辑引擎，提供低成本的定制能力和开箱即用的内置扩展，方便我们快速搭建 DAG 图、ER 图、流程图、血缘图等应用。 最终效果图 1.安装 npm install antv/x6 --save //x6主要包 npm install antv/x6-vue-shape //使用vue组…
阅读更多...
【k8s】k8s 中X.509 客户端证书验证机制

【k8s】k8s 中X.509 客户端证书验证机制

Kubernetes 使用 X.509 客户端证书进行身份验证是一种常见的方法。这种机制通过客户端证书来验证用户或应用程序的身份。以下是 Kubernetes 中 X.509 客户端证书验证机制的详细说明： 1. 生成客户端证书 首先，你需要生成客户端证书和私钥。这通常使用 O…
阅读更多...
2.4特征预处理（机器学习）

2.4特征预处理（机器学习）

2.4特征预处理 2.4.1 什么是特征预处理 通过 一些转换函数将特征数据转换成更加适合算法模型的特征数据过程。 1 包含内容 数值型数据的无量纲化： 归一化 标准化 2 特征预处理API sklearn.preprocessing 为什么要进行归一化/标准化？ 特征的单…
阅读更多...
前端、后端、测试？如何选择

前端、后端、测试？如何选择

目录 一、前端开发 （一）职业概述 （二）需学习的技术 二、后端开发 （一）职业概述 （二）需学习的技术 三、测试 （一）职业概述 （二&#xff0…
阅读更多...
AI - 谈谈RAG中的查询分析（2）

AI - 谈谈RAG中的查询分析（2）

AI - 谈谈RAG中的查询分析（2） 大家好，RAG中的查询分析是比较有趣的一个点，内容丰富，并不是一句话能聊的清楚的。今天接着上一篇，继续探讨RAG中的查询分析，并在功能层面和代码层面持续改进。 功…
阅读更多...
hadoop环境配置-创建hadoop用户+更新apt+安装SSH+配置Java环境

hadoop环境配置-创建hadoop用户+更新apt+安装SSH+配置Java环境

一、创建hadoop用户(在vm安装的ubantu上打开控制台) 1、sudo useradd -m hadoop -s /bin/bash （创建hadoop用户） 2、sudo passwd hadoop (设置密码) 3、sudo adduser hadoop sudo（将新建的hadoop用户设置为管理员） 执行如下图 将…
阅读更多...
大数据新视界 -- Hive 数据湖架构中的角色与应用（上）（25 / 30）

大数据新视界 -- Hive 数据湖架构中的角色与应用（上）（25 / 30）

💖💖💖亲爱的朋友们，热烈欢迎你们来到 青云交的博客！能与你们在此邂逅，我满心欢喜，深感无比荣幸。在这个瞬息万变的时代，我们每个人都在苦苦追寻一处能让心灵安然栖息的港湾。而 我的…
阅读更多...
SpringMVC：参数传递之日期类型参数传递

SpringMVC：参数传递之日期类型参数传递

环境准备和参数传递请见：SpringMVC参数传递环境准备 日期类型比较特殊，因为对于日期的格式有N多中输入方式，比如: 2088-08-182088/08/1808/18/2088… 针对这么多日期格式，SpringMVC该如何接收，它能很好的处理日期类…
阅读更多...
jmeter如何导出中文版的测试报告？

jmeter如何导出中文版的测试报告？

文章目录 0、初始步骤：把报告模板换成中文形式1、首先添加一份聚合报告2、然后点开【聚合报告】3，生成报告3.1 选择【工具】-【generate HTML report】3.2 【generate HTML report】参数详解3.3 、最后点击 【generate report】直接生成。 声明&#xff…
阅读更多...
基于IPD双轮驱动， 打破产品同质化竞争魔咒

基于IPD双轮驱动， 打破产品同质化竞争魔咒

在当今竞争激烈的商业环境中，产品同质化现象愈发严重，企业面临着巨大的挑战。如何在众多相似产品中脱颖而出，赢得客户的青睐并获取持续的竞争优势，成为企业亟待解决的关键问题。基于 IPD 双轮驱动的产品开发模式，为企业…
阅读更多...
2.mysql 中一条更新语句的执行流程是怎样的呢？

2.mysql 中一条更新语句的执行流程是怎样的呢？

前面我们系统了解了一个查询语句的执行流程，并介绍了执行过程中涉及的处理模块。 相信你还记得，一条查询语句的执行过程一般是经过连接器、分析器、优化器、执行器等功能模块，最后到达存储引擎。 那么，一条更新语句的执行流程又…
阅读更多...
最新文章

Copyright @ 2022~2023