Ubuntu防火墙怎样限制端口访问

Ubuntu防火墙（ufw）限制端口访问的完整步骤

1. 安装ufw（若未安装）

Ubuntu系统通常预装ufw，若未安装，可通过以下命令安装：

sudo apt update
sudo apt install ufw

2. 启用ufw并设置默认策略

启用防火墙：
```
sudo ufw enable
```
系统会提示确认，输入y并按回车键。启用后，ufw会在系统启动时自动运行。
设置默认策略：
为增强安全性，建议设置默认拒绝所有传入连接（允许所有传出连接），仅明确允许的端口可被访问：
```
sudo ufw default deny
```

3. 限制端口访问的具体方法

① 拒绝特定端口访问（全局）

若需禁止所有外部IP访问某一端口（如禁止外部访问FTP端口21/tcp），可使用以下命令：

sudo ufw deny 21/tcp

说明：21/tcp表示TCP协议的21端口，若需限制UDP端口，将tcp替换为udp（如21/udp）。
验证规则：
```
sudo ufw status
```
输出中会显示21/tcp DENY Anywhere，表示规则已生效。

② 允许特定端口访问（全局）

若需允许所有外部IP访问某一端口（如允许HTTP端口80/tcp），可使用以下命令：

sudo ufw allow 80/tcp

说明：允许后，sudo ufw status会显示80/tcp ALLOW Anywhere。

③ 允许指定IP访问特定端口

若需限制仅某一IP（如192.168.1.100）可访问某一端口（如SSH端口22/tcp），可使用以下命令：

sudo ufw allow from 192.168.1.100 to any port 22

说明：from 192.168.1.100指定源IP，to any port 22表示目标端口为22/tcp（可简写为sudo ufw allow from 192.168.1.100 to any port 22/tcp）。
验证规则：
```
sudo ufw status
```
输出中会显示192.168.1.100 ALLOW to any port 22。

④ 拒绝指定IP访问特定端口

若需禁止某一IP（如192.168.1.100）访问某一端口（如SSH端口22/tcp），可使用以下命令：

sudo ufw deny from 192.168.1.100 to any port 22

4. 管理ufw规则

① 删除规则

若需删除已添加的规则（如删除允许192.168.1.100访问22/tcp的规则），可使用以下命令：

sudo ufw delete allow from 192.168.1.100 to any port 22

说明：删除规则时需指定完整规则内容（与添加时的命令一致）。

② 查看带编号的规则

若需通过编号删除规则（更直观），可使用以下命令查看带编号的规则列表：

sudo ufw status numbered

输出示例：

Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    192.168.1.100
[ 2] 80/tcp                     ALLOW IN    Anywhere

删除编号为1的规则：
```
sudo ufw delete 1
```

③ 重置ufw

若需清除所有自定义规则并恢复默认状态，可使用以下命令：

sudo ufw reset

5. 注意事项

备份规则：修改规则前，建议备份当前配置（ufw规则存储在/etc/ufw/目录下），防止误操作导致无法访问。
测试规则：应用新规则后，建议从外部设备测试端口访问情况（如使用telnet或nmap工具），确保规则生效。
日志记录：若需监控防火墙流量，可开启日志记录：
```
sudo ufw logging on
```
日志文件默认存储在/var/log/ufw.log。

通过以上步骤，可灵活使用ufw限制Ubuntu防火墙的端口访问，保障系统安全。