Linux VPS 设置 UFW 防火墙完全指南
阻止未经授权的访问

获得 Linux VPS 后，第一件要做的事就是配置防火墙，控制网络流量的进出，防止端口扫描、暴力破解和未经授权的访问。UFW（Uncomplicated Firewall）是 Ubuntu/Debian 的默认防火墙工具，简单易用、功能强大，适合初学者和专业管理员。

1. 什么是 UFW 及为何使用

UFW 全称 Uncomplicated Firewall，是 iptables 的前端工具，让防火墙规则管理变得更加简单。自 Ubuntu 8.04 起内置，Debian 完全支持。

为什么 VPS 需要配置防火墙：

• 连接互联网的 VPS 会持续遭受端口扫描——有时每小时数千次
• 意外开放的服务端口可能成为攻击者的入侵渠道
• 防火墙立即缩小攻击面，即使底层服务存在漏洞也能提供保护
• 可以限制只有特定 IP 才能访问 SSH 等重要端口

2. 在 Ubuntu/Debian 上安装 UFW

Ubuntu 20.04+ 预装了 UFW 但未启用。Debian 可能需要手动安装：

# 更新软件包列表
sudo apt update

# 安装 UFW（Ubuntu 通常已预装）
sudo apt install ufw -y

# 检查版本
ufw version

验证 UFW 已安装但尚未启用：

sudo ufw status
# 输出：Status: inactive

3. 设置默认策略

优秀防火墙的核心原则是拒绝所有，按需放行——先关闭一切，再开放必要的端口：

# 拒绝所有入站流量（允许的除外）
sudo ufw default deny incoming

# 允许所有出站流量（服务器正常对外通信）
sudo ufw default allow outgoing

4. 开放和关闭端口

允许 SSH（最重要——必须首先执行）

# 允许端口 22（标准 SSH）
sudo ufw allow 22/tcp

# 或使用服务名称
sudo ufw allow ssh

# 如果使用自定义 SSH 端口如 2222
sudo ufw allow 2222/tcp

允许 Web 服务器端口

# HTTP
sudo ufw allow 80/tcp

# HTTPS
sudo ufw allow 443/tcp

# 通过应用配置文件同时允许 HTTP 和 HTTPS
sudo ufw allow 'Nginx Full'
sudo ufw allow 'Apache Full'

允许端口范围

# 允许 TCP 端口 8000-8100
sudo ufw allow 8000:8100/tcp

# FTP 被动模式端口
sudo ufw allow 20000:21000/tcp

关闭端口

# 拒绝 MySQL 端口（不应向公网开放）
sudo ufw deny 3306/tcp

# 删除已有的允许规则
sudo ufw delete allow 80/tcp

5. IP 白名单和黑名单

允许特定 IP

# 允许单个 IP 访问所有端口
sudo ufw allow from 203.0.113.10

# 只允许单个 IP 访问端口 22
sudo ufw allow from 203.0.113.10 to any port 22

# 允许整个 /24 子网访问端口 22
sudo ufw allow from 203.0.113.0/24 to any port 22

封锁可疑 IP

# 封锁单个 IP
sudo ufw deny from 198.51.100.45

# 封锁整个子网
sudo ufw deny from 198.51.100.0/24

6. 速率限制防止暴力破解

UFW 的 limit 命令会自动封锁在 30 秒内连接超过 6 次的 IP：

# 为 SSH 启用速率限制
sudo ufw limit ssh

# 或指定端口号
sudo ufw limit 22/tcp

启用此规则后，UFW 将：

• 统计来自同一 IP 的连接尝试次数
• 若 IP 在 30 秒内连接超过 6 次 → 临时封锁
• 当连接频率降低后 → 该 IP 可以重新连接

7. 启用 UFW

配置好所有规则后，启用 UFW：

# 启用 UFW（会提示确认）
sudo ufw enable

# 输出：
# Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
# Firewall is active and enabled on system startup

临时禁用 UFW

sudo ufw disable

修改规则后重新加载

sudo ufw reload

8. 检查状态和规则

# 基本状态检查
sudo ufw status

# 带编号的规则列表（便于删除）
sudo ufw status numbered

# 完整详细信息
sudo ufw status verbose

ufw status numbered 输出示例：

Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 80/tcp                     ALLOW IN    Anywhere
[ 3] 443/tcp                    ALLOW IN    Anywhere
[ 4] 22/tcp (v6)                ALLOW IN    Anywhere (v6)
[ 5] 80/tcp (v6)                ALLOW IN    Anywhere (v6)
[ 6] 443/tcp (v6)               ALLOW IN    Anywhere (v6)

按编号删除规则

# 删除编号为 3 的规则
sudo ufw delete 3

9. UFW 日志记录

日志记录有助于了解被封锁的连接尝试：

# 启用低级日志（仅记录被封锁的数据包）
sudo ufw logging low

# 中级日志（被封锁 + 无效数据包）
sudo ufw logging medium

# 实时查看日志
sudo tail -f /var/log/ufw.log

# 只查看被封锁的条目
sudo grep "BLOCK" /var/log/ufw.log | tail -20

10. Web 服务器配置示例

适用于运行 Nginx + DirectAdmin 的 VPS 的实用配置：

# 重置清空规则
sudo ufw --force reset

# 设置默认策略
sudo ufw default deny incoming
sudo ufw default allow outgoing

# SSH + 速率限制（关键）
sudo ufw limit 22/tcp

# DirectAdmin 面板
sudo ufw allow 2222/tcp

# HTTP / HTTPS
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# FTP（仅在需要时开放）
sudo ufw allow 21/tcp
sudo ufw allow 20000:21000/tcp

# 启用日志记录
sudo ufw logging low

# 启用 UFW
sudo ufw enable

# 验证配置
sudo ufw status numbered

11. UFW 常用命令速查表

命令	功能
ufw enable	启用 UFW
ufw disable	临时禁用 UFW
ufw status numbered	列出所有规则（带编号）
ufw allow PORT/tcp	允许 TCP 端口
ufw deny PORT/tcp	封锁 TCP 端口
ufw limit ssh	对 SSH 端口进行速率限制
ufw allow from IP	将 IP 加入所有端口白名单
ufw deny from IP	立即封锁 IP
ufw delete NUM	按编号删除规则
ufw reload	重新加载所有规则
ufw reset	重置所有规则为默认值
ufw logging low/medium/high	设置日志级别

12. 常见问题解答