Debian防火墙虚拟机应用

Debian 虚拟机中的防火墙应用与部署

一 场景与网络模式选择

• NAT 模式：虚拟机通过宿主机上网，默认从外部不可直达，适合“只出网”的场景；如需从外部访问，可在宿主机做端口转发或在虚拟机上仅开放必要端口并限制来源。
• 桥接模式：虚拟机直接接入物理网络，获取与主机同网段的 IP，便于被局域网其他设备访问；应配合防火墙仅开放所需端口。
• 仅主机模式：仅主机与宿主机互通，适合隔离测试与内部服务联调。
  以上模式的选择直接影响防火墙策略的严格程度与端口开放方式。

二 防火墙工具选型与默认策略

• 工具选型建议：
  • UFW（Uncomplicated Firewall）：基于 iptables 的前端，规则简洁，适合快速上手与日常运维。
  • iptables：灵活强大，适合需要细粒度控制的场景。
  • nftables：新一代 Linux 防火墙框架，语法更现代，适合新项目或长期演进。
• 默认安全基线：建议采用“默认拒绝入站、默认允许出站”的策略，仅对明确需要的端口与来源放行，降低攻击面。

三 快速上手 UFW 规则示例

• 安装与启用：
  • 安装：sudo apt update && sudo apt install ufw
  • 启用：sudo ufw enable（首次启用前务必先放行 SSH，避免被锁）
• 常用规则：
  • 放行 SSH：sudo ufw allow 22/tcp（如修改了 SSH 端口，请放行对应端口）
  • 放行 Web：sudo ufw allow 80/tcp, 443/tcp
  • 状态与查看：sudo ufw status verbose
• IPv6 支持：编辑 /etc/default/ufw，将 IPV6=yes，使 UFW 同时管理 IPv6 规则。
• 安全提示：在云环境或远程管理场景下，务必“先放行 SSH 再启用 UFW”，并尽量采用 密钥登录、禁用密码登录。

四 进阶 iptables 与 nftables 规则示例

• iptables（传统工具，兼容性好）：
  • 放行 SSH/HTTP/HTTPS：
    • sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    • sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
    • sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
  • 默认拒绝入站：sudo iptables -P INPUT DROP（谨慎操作，确保已有控制台/带外通道）
  • 持久化：
    • Debian 9 及更早：sudo apt install iptables-persistent（安装时选择保存当前规则）
    • 通用：sudo sh -c "iptables-save > /etc/iptables/rules.v4"，并在启动时恢复（如通过 systemd 服务或 rc.local）
• nftables（现代替代方案）：
  • 查看规则集：sudo nft list ruleset
  • 放行端口示例：
    • sudo nft add rule ip filter input tcp dport 22 accept
    • sudo nft add rule ip filter input tcp dport 80 accept
    • sudo nft add rule ip filter input tcp dport 443 accept
  • 默认拒绝入站：sudo nft add rule ip filter input drop
  • 持久化：sudo nft list ruleset > /etc/nftables.conf，启动时执行 sudo nft -f /etc/nftables.conf
    以上规则可按需细化（例如仅允许特定来源 IP 访问管理端口）。

五 虚拟机安全加固清单

• 系统与更新：
  • 保持系统最新：sudo apt update && sudo apt upgrade
  • 启用自动安全更新：sudo apt install unattended-upgrades && sudo dpkg-reconfigure unattended-upgrades
• 身份与访问控制：
  • 禁用 root 远程登录：编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no
  • 使用 SSH 密钥 替代口令，必要时更改默认端口，限制空密码与弱加密算法
• 服务与端口：
  • 仅安装必要软件，禁用不需要的服务与端口
  • 防火墙仅放行业务必需端口，并遵循“最小权限原则”
• 备份与监控：
  • 定期备份关键数据与配置（如 rsync/duplicity）
  • 基础监控与日志审计（如 logwatch/auditd），必要时部署 ClamAV 做恶意文件扫描
    以上措施与防火墙策略协同使用，可显著提升虚拟机整体安全性。