Ubuntu防火墙配置：如何允许特定IP访问SSH服务？

Question

在Ubuntu系统中配置防火墙以允许特定IP访问SSH服务时，常见的问题是如何正确设置`ufw`（Uncomplicated Firewall）规则。例如，执行`sudo ufw allow from [特定IP] to any port 22`后，仍然无法通过该IP访问SSH。这可能是由于以下原因：1) 防火墙未启用（需运行`sudo ufw enable`）；2) SSH服务端口被更改但规则仍针对默认端口22；3) 系统存在其他安全软件冲突；4) 规则顺序错误导致更高优先级的拒绝规则覆盖允许规则。解决方法包括确认SSH端口、检查`ufw status verbose`输出以及确保规则语法准确无误。如何验证并修正这些问题？

Answer 1

1. 确认防火墙状态

在配置UFW规则之前，必须确保防火墙已启用。执行以下命令检查防火墙状态：

sudo ufw status

如果显示“Status: inactive”，则需要启用防火墙：

sudo ufw enable

启用后再次运行sudo ufw status以确认状态。

2. 验证SSH服务端口

默认情况下，SSH服务使用端口22。但某些系统可能更改了SSH端口，这会导致基于默认端口的规则失效。可以通过以下步骤验证SSH端口：

1. 检查SSH配置文件/etc/ssh/sshd_config中的Port字段。
2. 如果发现非默认端口（例如2222），需调整UFW规则以匹配该端口。

示例命令：

sudo ufw allow from [特定IP] to any port 2222

3. 检查其他安全软件冲突

有时系统中可能存在其他安全软件（如iptables或第三方防火墙工具）与UFW冲突。以下是排查方法：

• 运行sudo iptables -L查看是否存在额外规则。
• 若发现冲突规则，可尝试禁用其他防火墙工具。

禁用iptables规则示例：

sudo iptables -F

4. 规则顺序问题

UFW规则遵循优先级原则，更高优先级的拒绝规则可能会覆盖允许规则。通过以下步骤验证规则顺序：

sudo ufw status numbered

此命令会列出所有规则及其编号。如果存在类似“deny any”这样的规则且优先级高于允许规则，则需调整顺序。

调整规则顺序示例：

sudo ufw delete [规则编号]

然后重新添加正确的允许规则。

5. 流程图总结

以下是解决UFW配置问题的流程图：

graph TD;
            A[开始] --> B{防火墙是否启用};
            B --否--> C[启用防火墙];
            B --是--> D{SSH端口是否默认};
            D --否--> E[修改UFW规则至正确端口];
            D --是--> F{是否存在冲突软件};
            F --是--> G[禁用冲突软件];
            F --否--> H{规则顺序是否正确};
            H --否--> I[调整规则顺序];
            H --是--> J[结束];

6. 关键词表

关键词	描述
ufw	Ubuntu系统的简易防火墙工具
SSH	Secure Shell协议，用于远程管理
端口配置	指定服务运行的网络端口
规则顺序	UFW规则的优先级设置