引言#

在现代服务器管理中，防火墙是保障系统安全的第一道防线。虽然 iptables 功能强大且精细，但其复杂的语法常常让新手望而生畏。为了简化网络安全管理，Ubuntu 默认提供了 UFW (Uncomplicated Firewall)。

UFW 的设计初衷正如其名——“不复杂的防火墙”，它通过直观的命令帮助管理员轻松控制入站和出站流量。

先决条件#

在开始配置之前，请确保：

1. 你拥有一个具有 sudo 权限的非 root 用户（推荐，以免误操作造成灾难）。
2. 确认 UFW 已安装（Ubuntu 通常预装）。若未安装，请执行：

1
sudo apt update && sudo apt install ufw

第一步：启用 IPv6 支持（可选但推荐）#

现代服务器通常都分配有 IPv6 地址。为了确保 UFW 同时管理两套协议，请检查配置文件：

1
sudo nano /etc/default/ufw

确保 IPV6=yes。保存退出后，后续配置的规则将同时应用于 IPv4 和 IPv6。

第二步：建立“白名单”防御策略#

防火墙的最佳实践是：拒绝所有入站连接，允许所有出站连接。这样，只有你手动授权的服务才能被外界访问。

1
sudo ufw default deny incoming
2
sudo ufw default allow outgoing

第三步：关键！允许 SSH 连接#

⚠️ 警告：在启用防火墙之前，必须先允许 SSH。否则一旦开启 UFW，你当前的远程会话会被立即切断，且无法再次登录！

• 默认 SSH 端口（22）：

1
sudo ufw allow ssh

• 非标准 SSH 端口（如 2222）：

1
sudo ufw allow 2222/tcp

第四步：启用与状态查看#

确认 SSH 规则已添加后，开启防火墙：

1
sudo ufw enable

你可以通过以下命令查看实时规则（包括端口的应用名称）：

1
sudo ufw status verbose

第五步：实战——允许常用服务#

1
sudo ufw app list

1
sudo ufw allow "Nginx Full"  # 如果你使用 Nginx
2
# 或者直接使用端口名
3
sudo ufw allow http
4
sudo ufw allow https

1
sudo ufw allow 6000:6007/tcp
2
sudo ufw allow 6000:6007/udp

1
sudo ufw allow from 192.168.1.50

第六步：规则管理与撤销#

1
sudo ufw deny from 203.0.113.4

1
sudo ufw status numbered

1
sudo ufw delete 2

第七步：重置与禁用#

如果配置混乱，想要从头再来：

• 重置所有规则：sudo ufw reset（会删除所有规则并禁用 UFW）。
• 临时禁用：sudo ufw disable。

总结#

通过以上步骤，你已经为 Ubuntu 服务器搭建了一个坚实的逻辑屏障。 核心原则回顾：

1. 先通 SSH：永远先允许 22 端口。
2. 默认拒绝：只开启必须对外提供的服务端口。
3. 定期检查：使用 status numbered 定期审视规则。