Linux下，用ufw实现端口关闭、流量控制(二)

本文是
网安小白的端口关闭实践
的续篇。

海量报文，一手掌握，你值得拥有，让我们开始吧～

ufw 与 iptables的关系

理论介绍：

ufw（Uncomplicated Firewall）是一个基于iptables的前端工具，用于简化iptables的配置和管理。它提供了一组简单的命令和规则集，使用户能够更容易地配置和管理防火墙。

iptables是一个内核层的防火墙工具，用于过滤、重定向和修改网络数据包。它提供了非常强大的功能和灵活性，但其命令语法和配置较为复杂。

ufw实质上是对iptables进行了封装，提供了更简单易用的命令和配置接口。用户使用ufw命令时，ufw会自动转化为对iptables的操作命令，并在后台进行配置。因此，ufw在底层还是依赖iptables来实现防火墙规则的生效。

总而言之，ufw是一个基于iptables的简化工具，使用户更方便地配置和管理防火墙。

实践

  • 查看ufw的配置文件
cat /etc/ufw/before.rules
cat /etc/ufw/user.rules

可看到如下文件：

river@star:/etc/ufw$ ls
after6.rules                  before6.rules                  ufw.conf
after6.rules.20241202_150252  before6.rules.20241202_150252  user6.rules
after.init                    before.init                    user6.rules.20241202_150252
after.rules                   before.rules                   user.rules
after.rules.20241202_150252   before.rules.20241202_150252   user.rules.20241202_150252
applications.d                sysctl.conf

before.rules VS after.rules VS ufw.rules

在Ubuntu系统中，/etc/ufw/目录下的不同文件有以下含义：

  1. before.rules：这是ufw防火墙服务在加载之前将要应用的规则文件。它包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之前被应用。

  2. after.rules：这是ufw防火墙服务在加载之后将要应用的规则文件。它也包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之后被应用。

  3. user.rules：这是ufw命令行工具自动生成的规则文件。当你使用ufw命令添加或修改防火墙规则时，这些规则会被写入到/etc/ufw/user.rules文件中。这个文件包含了用户自定义的ufw规则，它会在ufw防火墙启动时被读取和加载到iptables规则链中。

需要注意的是，当你使用ufw命令修改防火墙规则时，实际上是修改了/etc/ufw/user.rules文件，然后使用sudo ufw reload命令来重新加载规则，使其生效。而before.rules和after.rules文件则通常用于添加更底层的iptables规则，以满足特定的需求或配置。

  • 执行
sudo ufw deny from any to 127.0.0.1

后，/etc/ufw/user.rules出现下述规则

### tuple ### deny any any 127.0.0.1 any 0.0.0.0/0 in
-A ufw-user-input -d 127.0.0.1 -j DROP

暂未找到下述规则的对应行：

sudo ufw default deny imcoming

规则制定范例

  • /etc/ufw/before.rules
#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
#   ufw-before-input
#   ufw-before-output
#   ufw-before-forward
## Don't delete these required lines, otherwise there will be errors
*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]
# End required lines# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT# ok icmp code for FORWARD
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT# allow dhcp client to work
-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT#
# ufw-not-local
#
-A ufw-before-input -j ufw-not-local# if LOCAL, RETURN
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN# if MULTICAST, RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN# if BROADCAST, RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN# all other non-local packets are dropped
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT# don't delete the 'COMMIT' line or these rules won't be processed
COMMIT

端口关闭实践

规则说明

  • 启用ufw后，修改/etc/iptales/rulesv4无效，执行iptables的命令也无效， 比如下面这个
sudo iptables -A OUTPUT -p tcp --dport 5556 -j DROP
  • 要想执行iptables，必须关闭ufw
  • 但理论上讲，所有iptables能执行的ufw也能执行

方法1：用ufw关闭，不用自己定义基础规则

上面的命令对应的ufw命令如下：

 sudo ufw deny from 127.0.0.1 to any port 5556
  • 注意，这代表，阻止从本机到任何机器的5556端口

以下才是阻止本机的5556到任何机器的报文

sudo ufw deny from 127.0.0.1 port 5556 to any

方法2：用iptables关闭

  • 修改/etc/iptables/rules.v4如下
# Generated by iptables-save v1.8.10 (nf_tables) on Mon Dec  2 23:18:41 2024
*filter
:INPUT ACCEPT [67:23836]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [66:29316]
-A INPUT -p tcp -m tcp --dport 5556 -j DROP
-A OUTPUT -p tcp -m tcp --dport 5556 -j DROP
COMMIT
# Completed on Mon Dec  2 23:18:41 2024

仅允许特定端口流出实践

  • 问题：ufw 如何禁止本机从80,443以外的端口 流出的流量?
sudo ufw default deny outgoing
sudo ufw allow out 80/tcp
sudo ufw allow out 443/tcp
sudo ufw allow out 443/udp
sudo ufw allow out 546/udp
sudo ufw allow out 995/tcp
sudo ufw allow out 853/tcp	#dns over tls
sudo ufw allow out 853/udp	#dns over quic
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发

真实有效，原来ufw也能让浏览器不能接受报文!!

  • 关闭时的防火墙状态；
    在这里插入图片描述
  • 作用效果：
    在这里插入图片描述

警告

  • sudo ufw default deny outgoing可能会导致部分软件无法工作，当然如果不使用某些奇奇怪怪的软件，以上配置大概是足够纯净和安全的！

安全解决方案II

  • 当确保所有软件都是安全时，仅仅这样也是足够的
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发
sudo apt install firewall-config
# 接着在firewall中允许仅仅若干服务

Last Extension: DoH VS DoT

DOH（DNS over HTTPS）和DOT（DNS over TLS）是两种将DNS查询加密的传输协议。

DOH使用HTTPS将DNS查询和响应封装在HTTP请求和响应中，通过常用的端口443进行传输。这意味着DNS查询被加密在TLS隧道中，并且可以与现有的HTTPS流量混合在一起，难以被网络监控或阻止。DOH可以通过使用基于浏览器的解析器或专用的DOH代理来实现。

DOT直接将DNS查询和响应封装在TLS流中，通过指定的端口（默认为853）进行传输。与DOH不同，DOT在应用层提供密钥交换和加密，而不是在HTTP层。它需要专用的DOT代理来将DNS请求发送到加密的DNS服务器进行解析。

总的来说，DOH将DNS查询封装在HTTPS中，可以通过通用的HTTPS端口传输，并且易于与现有的HTTPS流量混合。而DOT直接在TLS流中进行加密，需要专用的DOT代理来处理DNS查询和响应。两者都提供了DNS查询的加密传输，以增强隐私和安全性。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/483451.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

MySQL常见面试题（二）

MySQL常见面试题（二）

MySQL 索引 MySQL 索引相关的问题比较多，对于面试和工作都比较重要，于是，我单独抽了一篇文章专门来总结 MySQL 索引相关的知识点和问题：MySQL 索引详解 。 MySQL 查询缓存 MySQL 查询缓存是查询结果缓存。执行查询语句的时候&a…
阅读更多...
红日靶场vulnstark 2靶机的测试报告

红日靶场vulnstark 2靶机的测试报告

目录 一、测试环境 1、系统环境 2、注意事项 3、使用工具/软件 二、测试目的 三、操作过程 1、信息搜集 2、Weblogic漏洞利用 3、Getshell 4、CS上线 5、内网信息收集 利用zerologon漏洞攻击域控服务器(获取密码) 6、横向移动 ①使用PsExec上线域控服务器 ②使用…
阅读更多...
用于LiDAR测量的1.58um单芯片MOPA（一）

用于LiDAR测量的1.58um单芯片MOPA（一）

--翻译自M. Faugeron、M. Krakowski1等人2014年的文章 1.简介 如今，人们对高功率半导体器件的兴趣日益浓厚，这些器件主要用于遥测、激光雷达系统或自由空间通信等应用。与固态激光器相比，半导体器件更紧凑且功耗更低，这在低功率供…
阅读更多...
MFC工控项目实例三十五读取数据库数据

MFC工控项目实例三十五读取数据库数据

点击按钮打开文件夹中的数据文件生成曲线 相关代码 void CSEAL_PRESSUREDlg::OnTesReport() {CFileDialog dlgOpen(TRUE/*TRUE打开，FALSE保存*/,0,0,OFN_NOCHANGEDIR|OFN_FILEMUSTEXIST,"All Files(mdb.*)|*.*||",//文件过滤器NULL);CString mdb_1, m…
阅读更多...
Harnessing Large Language Models for Training-free Video Anomaly Detection

Harnessing Large Language Models for Training-free Video Anomaly Detection

标题：利用大型语言模型实现无训练的视频异常检测 原文链接：https://openaccess.thecvf.com/content/CVPR2024/papers/Zanella_Harnessing_Large_Language_Models_for_Training-free_Video_Anomaly_Detection_CVPR_2024_paper.pdf 源码链接：ht…
阅读更多...
Linux笔试题（自己整理，已做完，选择题）

Linux笔试题（自己整理，已做完，选择题）

详细Linux内容查看：day04【入门】Linux系统操作-CSDN博客 1、部分笔试题 本文的笔试题，主要是为了复习学习的day04【入门】Linux系统操作-CSDN博客的相关知识点。后续还会更新一些面试相关的题目。 欢迎一起学习
阅读更多...
BA是什么？

BA是什么？

1.BA的定义 BA的中文译为“光束法平差”,也有翻译为“束调整”、“捆绑调整”等,是一种用于计算机视觉和机器人领域的优化技术,主要用于精确优化相机参数(包括内参数和外参数)和三维空间中特征点的位置。BA的目标是通过最小化重投影误差来提高三维重建的精度和一致性。重投影误…
阅读更多...
Windows系统搭建Docker

Windows系统搭建Docker

Windows系统搭建Docker 一、系统虚拟化1.1启用虚拟化1.2启用Hyper-v并开启虚拟任务 二、安装WSL2.1 检验安装2.2 命令安装WSL（与2.3选其一）2.3 手动安装WSL（与2.2选其一）2.4 将 WSL 2 设置为默认版本 三、docker安装 一、系统虚拟…
阅读更多...
洛谷二刷P4715 【深基16.例1】淘汰赛（c嘎嘎）

洛谷二刷P4715 【深基16.例1】淘汰赛（c嘎嘎）

题目链接：P4715 【深基16.例1】淘汰赛 - 洛谷 | 计算机科学教育新生态 题目难度：普及 刷题心得：本题是我二刷，之前第一次刷是在洛谷线性表那个题单，当时印象深刻第 一篇题解是用的树来做，当时我不屑一顾&…
阅读更多...
基于Matlab BP神经网络的电力负荷预测模型研究与实现

基于Matlab BP神经网络的电力负荷预测模型研究与实现

随着电力系统的复杂性和规模的不断增长，准确的电力负荷预测对于电网的稳定性和运行效率至关重要。传统的负荷预测方法依赖于历史数据和简单的统计模型，但这些方法在处理非线性和动态变化的负荷数据时，表现出较大的局限性。近年来，…
阅读更多...
非标自动化行业ERP选型与案例展示！

非标自动化行业ERP选型与案例展示！

非标自动化行业，那么使用的就是非标设备，什么是非标设备呢?用一句话来说明就是指设计制造方面没有形成国家标准的设备。 在如今追求高效的社会，各行各业都朝着提高效率精益工艺，缩减流程，调整业务，用各种…
阅读更多...
十、软件设计架构-微服务-服务调用Dubbo

十、软件设计架构-微服务-服务调用Dubbo

文章目录 前言一、Dubbo介绍1. 什么是Dubbo 二、实现1. 提供统一业务api2. 提供服务提供者3. 提供服务消费者 前言 服务调用方案--Dubbo‌ 基于 Java 的高性能 RPC分布式服务框架，致力于提供高性能和透明化的RPC远程服务调用方案，以及SOA服务治理方案。…
阅读更多...
【AI系统】CANN 算子类型

【AI系统】CANN 算子类型

CANN 算子类型 算子是编程和数学中的重要概念，它们是用于执行特定操作的符号或函数，以便处理输入值并生成输出值。本文将会介绍 CANN 算子类型及其在 AI 编程和神经网络中的应用，以及华为 CANN 算子在 AI CPU 的详细架构和开发要求。 算子基…
阅读更多...
uniapp使用扩展组件uni-data-select出现的问题汇总

uniapp使用扩展组件uni-data-select出现的问题汇总

前言 不知道大家有没有学习过我的这门课程那，《uniCloud云开发Vue3版本官方推荐用法》，这么课程已经得到了官方推荐，想要快速上手unicloud的小伙伴们，可以学习一下这么课程哦，不要忘了给一键三连呀。 在录制这门课程…
阅读更多...
TypeScript和JavaScript区别详解

TypeScript和JavaScript区别详解

文章目录 TypeScript和JavaScript区别详解一、引言二、类型系统1、静态类型检查TypeScript 示例JavaScript 示例 2、类型推断TypeScript 示例JavaScript 示例 三、面向对象编程TypeScript 示例JavaScript 示例 四、使用示例1. 环境搭建2. 创建TypeScript项目3. 安装TypeScript插…
阅读更多...
前端开发 之 15个页面加载特效上【附完整源码】

前端开发 之 15个页面加载特效上【附完整源码】

文章目录 一：彩球环绕加载特效1.效果展示2.HTML完整代码 二：跷跷板加载特效1.效果展示2.HTML完整代码 三：两个圆形加载特效1.效果展示2.HTML完整代码 四：半环加载特效1.效果展示2.HTML完整代码 五：音乐波动加载特效1.效…
阅读更多...
基于C#+SQLite开发数据库应用的示例

基于C#+SQLite开发数据库应用的示例

SQLite数据库，小巧但功能强大；并且是基于文件型的数据库，驱动库就是一个dll文件，有些开发工具 甚至不需要带这个dll，比如用Delphi开发，用一些三方组件；数据库也是一个文件，虽然是个文…
阅读更多...
生态环境一体化智慧监管平台

生态环境一体化智慧监管平台

在数字化和智能化的浪潮中，生态环境保护与治理正迎来革命性的变化。生态环境一体化智慧监管平台的建设，不仅响应了这一趋势，而且为中国式现代化的生态治理提供了新的解决方案。本文将深度分析该平台的建设内容，探讨其在推动生态文…
阅读更多...
3.4 朴素贝叶斯算法

3.4 朴素贝叶斯算法

3.4 朴素贝叶斯算法 朴素？ 假设：特征与特征之间是相互独立的 应用：文本分类，单词作为特征 3.4.1 什么是朴素贝叶斯算法 朴素贝叶斯（Naive Bayes）是一种基于贝叶斯定理的简单概率分类器，它假…
阅读更多...
使用Mybatis-Plus时遇到的报错问题及解决方案

使用Mybatis-Plus时遇到的报错问题及解决方案

创建Maven项目后&#xff0c;一个个手动添加spring-boot和mybatis-plus依赖冲突问题 解决方案&#xff1a;找一个现成的pom.xml文件替换后重新加载&#xff08;以下提供java8&#xff0c;对应的spring-boot,mybatis-plus依赖&#xff09; <?xml version"1.0" en…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023