如何给Debian装防火墙

在 Debian 上“装防火墙”通常有两层含义：

启用系统自带的包过滤（netfilter / iptables / nftables）
安装一个更易用的防火墙管理工具（如 ufw 或 firewalld）

下面按最推荐、最简单的方式讲，并补充进阶做法。

一、最推荐：使用 UFW（简单好用）

1. 安装 UFW

sudo apt update
sudo apt install ufw

2. 基本设置（示例）

# 默认拒绝入站，允许出站
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 允许 SSH（非常重要，否则可能断连）
sudo ufw allow ssh
# 或指定端口
sudo ufw allow 22/tcp

# 允许常用服务（按需）
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

3. 启用防火墙

sudo ufw enable

4. 查看状态

sudo ufw status verbose

✅ 适合：个人服务器、VPS、新手

二、使用 firewalld（适合 CentOS 转 Debian 的用户）

sudo apt install firewalld
sudo systemctl enable --now firewalld

常用命令：

firewall-cmd --state
firewall-cmd --add-service=ssh --permanent
firewall-cmd --reload

⚠️ Debian 默认更偏向 ufw / nftables

三、直接使用 nftables（Debian 官方推荐底层）

Debian 10+ 默认使用 nftables

安装

sudo apt install nftables
sudo systemctl enable --now nftables

示例规则（基础）

nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 ; }
nft add rule inet filter input ct state established,related accept
nft add rule inet filter input iif lo accept
nft add rule inet filter input tcp dport 22 accept
nft add rule inet filter input drop

保存规则：

nft list ruleset > /etc/nftables.conf

四、老方式（不推荐新系统）：iptables

Debian 新版本已逐步废弃 iptables 为前端，仅作兼容层。

sudo apt install iptables

五、安全建议（很重要）

✅ 先允许 SSH，再启用防火墙
✅ 云服务器注意安全组 + 系统防火墙双层
✅ 禁止 root 直接 SSH 登录
✅ 可用 fail2ban 防爆破

六、快速选择建议

用户类型	推荐
新手 / VPS	✅ UFW
运维 / 自动化	nftables
熟悉 CentOS	firewalld

如果你愿意，可以告诉我：

是 本地机器还是云服务器
是否 已经开了 SSH
想防什么（端口 / 服务 / 攻击）

我可以给你一套可直接复制的防火墙配置。