Debian防火墙如何定制安全策略

Debian 防火墙定制安全策略

一 工具选择与总体思路

• 在 Debian 上常用防火墙工具有 UFW（上手快、适合大多数场景）与 iptables（灵活强大、适合高级定制）。无论采用哪种方式，建议遵循“默认拒绝入站、允许出站”的最小权限原则，并按需开放必要端口与服务，同时保留应急回退通道（如控制台/带外管理）。

二 使用 UFW 快速定制策略

• 安装与启用
  • 安装：sudo apt update & & sudo apt install ufw
  • 默认策略：sudo ufw default deny incoming，sudo ufw default allow outgoing
  • 启用前务必先放行 SSH（避免被锁）：sudo ufw allow ssh 或 sudo ufw allow 22/tcp，再执行 sudo ufw enable
• 常用规则
  • 按端口/服务：sudo ufw allow 80/tcp，sudo ufw allow http（应用配置可用 sudo ufw show apps 与 sudo ufw allow “Apache Full”）
  • 按来源 IP/子网：sudo ufw allow from 203.0.113.100 to any port 22 proto tcp，sudo ufw allow from 192.168.1.0/24 to any port 80 proto tcp
  • 端口范围：sudo ufw allow 1000:2000/tcp
  • 速率限制防暴力：sudo ufw limit ssh（默认每分钟 6 次，可自定义如 sudo ufw limit 22/tcp rate 10/minute）
• 管理与可视化
  • 状态与编号：sudo ufw status verbose，sudo ufw status numbered
  • 删除规则：sudo ufw delete < 编号> 或 sudo ufw delete allow 22/tcp
  • 日志：sudo ufw logging on|off，sudo ufw logging medium；日志路径 /var/log/ufw.log，可用 grep “UFW BLOCK” /var/log/ufw.log 过滤被拒连接
• 进阶
  • 多网卡/接口：sudo ufw allow in on eth0 to any port 80 proto tcp
  • IPv6：编辑 /etc/default/ufw 确保 IPV6=yes
  • 云环境：同时配置云厂商安全组与 UFW，二者需一致放行策略

三 使用 iptables 精细定制策略

• 基本框架（示例）
  • 默认策略：iptables -P INPUT DROP，iptables -P FORWARD DROP，iptables -P OUTPUT ACCEPT
  • 本地回环：iptables -A INPUT -i lo -j ACCEPT
  • 已建立会话：iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  • 放行服务：SSH（示例端口 22）iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT；HTTP/HTTPS：iptables -A INPUT -p tcp --dport 80 -j ACCEPT，iptables -A INPUT -p tcp --dport 443 -j ACCEPT
• 增强与观测
  • 连接数限制：iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 5 -j DROP
  • 抗 SYN Flood：echo 1 > /proc/sys/net/ipv4/tcp_syncookies
  • 拒绝与日志：iptables -A INPUT -j LOG --log-prefix "IPTables-Dropped: " --log-level 4；按需 DROP/REJECT
• 持久化与回退
  • 方案 A（推荐）：安装 iptables-persistent 并使用 netfilter-persistent 保存/恢复
    • 安装：sudo apt install iptables-persistent
    • 保存：sudo netfilter-persistent save；恢复：sudo netfilter-persistent start
    • 也可通过 dpkg-reconfigure iptables-persistent 重新选择保存当前规则
  • 方案 B：自定义脚本在网卡启动前恢复
    • 保存：iptables-save > /etc/iptables/rules.v4
    • 恢复脚本：/etc/network/if-pre-up.d/iptables，内容示例：/sbin/iptables-restore < /etc/iptables/rules.v4，并 chmod +x 赋予可执行权限

四 安全加固与运维要点

• 最小暴露面：仅开放业务必需端口；对 SSH 建议限制来源 IP，并启用 速率限制；必要时修改默认端口并同步更新防火墙与安全组
• 日志与告警：启用 UFW 日志并定期审计 /var/log/ufw.log；结合 fail2ban 自动封禁暴力来源（如 [SSH] 段配置 action = ufw）
• 云上部署：同时配置 云安全组 与主机防火墙，避免仅依赖其一导致策略缺口
• 变更与回退：变更前备份规则（如 iptables-save > /etc/iptables/rules.v4 或备份 /etc/ufw/ 配置）；先测试再上线，保留控制台/带外管理通道以便紧急恢复

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！