Ubuntu22.04如何配置防火墙以增强服务器安全？

Question

在Ubuntu 22.04中如何使用UFW配置SSH端口仅允许特定IP访问以增强服务器安全？ 在实际部署中，我们常需要限制SSH访问范围来防止未经授权的登录尝试。例如，如何通过UFW（Uncomplicated Firewall）设置规则，使SSH端口（默认22）只对指定IP地址或子网开放？这能有效减少恶意攻击风险。假设需允许192.168.1.100访问，具体命令与步骤是怎样的？此外，如果更改了默认SSH端口，又该如何调整UFW规则以匹配新端口？

Answer 1

1. UFW基础概念与SSH安全

在Ubuntu 22.04中，UFW（Uncomplicated Firewall）是一个易于使用的防火墙管理工具。通过配置UFW规则，可以限制SSH端口的访问范围，从而增强服务器的安全性。默认情况下，SSH服务运行在22端口上，但恶意攻击者可能会频繁尝试暴力破解登录。

为了解决这一问题，我们可以通过UFW设置规则，仅允许特定IP地址或子网访问SSH端口。这不仅能减少未经授权的登录尝试，还能有效降低服务器被攻击的风险。

1.1 常见技术问题

• 如何安装和启用UFW？
• 如何配置规则以限制SSH访问？
• 更改默认SSH端口后，如何更新UFW规则？

2. 步骤：使用UFW限制SSH访问

以下是具体步骤，用于配置UFW以限制SSH端口仅对指定IP地址开放：

2.1 安装并启用UFW

如果尚未安装UFW，可以通过以下命令进行安装：

sudo apt update
sudo apt install ufw

启用UFW并检查状态：

sudo ufw enable
sudo ufw status

2.2 配置SSH访问规则

假设需要允许IP地址192.168.1.100访问SSH端口：

sudo ufw allow from 192.168.1.100 to any port 22

如果希望允许整个子网（例如192.168.1.0/24），可以使用以下命令：

sudo ufw allow from 192.168.1.0/24 to any port 22

2.3 禁用其他SSH访问

为了进一步增强安全性，应明确禁止所有其他IP地址访问SSH端口：

sudo ufw deny 22

3. 更改默认SSH端口后的UFW调整

如果将SSH端口从默认的22更改为其他端口（例如2222），需要同步更新UFW规则：

3.1 修改SSH配置文件

编辑SSH配置文件以更改默认端口：

sudo nano /etc/ssh/sshd_config

找到“Port 22”行，并将其更改为新的端口号（如2222）。保存并退出后重启SSH服务：

sudo systemctl restart ssh

3.2 更新UFW规则

删除旧的SSH端口规则并添加新端口规则：

sudo ufw delete allow 22
sudo ufw allow from 192.168.1.100 to any port 2222

4. 分析与解决方案

在实际部署中，限制SSH访问范围是一种有效的安全措施。然而，还需要考虑以下几点：

问题	解决方案
规则冲突导致无法连接	确保规则顺序正确，并测试连接。
忘记允许自身IP访问	在修改规则前，先确认当前IP已被允许。

4.1 防火墙规则优先级

UFW规则的优先级由其添加顺序决定。通常，“allow”规则应优先于“deny”规则。

4.2 使用Mermaid图表示流程

graph TD;
    A[开始] --> B[安装UFW];
    B --> C[启用UFW];
    C --> D[配置SSH规则];
    D --> E[测试连接];
    E --> F[完成];