# 配置防火墙 ## 目的通过实用的规则示例和安全模式，指导工程师跨基于主机（iptables、nftables、UFW）、基于云（AWS 安全组、NACL）和基于容器（Kubernetes NetworkPolicies）的环境配置防火墙，以防止锁定和安全配置错误。 ## 何时使用此技能 **触发短语：** *“为[服务器/服务]配置防火墙” *“为[AWS资源]设置安全组” *“允许端口 [X] 通过防火墙” *“阻止 IP 地址 [X.X.X.X]” *“在 Ubuntu 服务器上设置 UFW” *“创建 iptables/nftables 规则” *“配置堡垒主机防火墙” *“实施出口过滤” **常见场景：** * 初始服务器设置和强化 * 公开新服务（Web 服务器、API、数据库） * 实现网络分段 * 创建堡垒主机或跳线盒 * 从 iptables 迁移到 nftables * 配置云安全组 * 解决连接问题 ## 决策框架：哪种防火墙工具？ ### 云环境 **AWS：** * 实例级控制 → **安全组**（有状态、仅允许规则） * 子网级实施 → **网络 ACL**（无状态、允许 + 拒绝规则） * 将两者用于纵深防御 **GCP：** * 使用 **VPC 防火墙规则**（有状态、基于优先级） **天蓝色：** * 使用 **网络安全组** (NSG)（有状态、基于优先级） ### 基于主机的 Linux 防火墙 **Ubuntu/Debian + 简单性：** * 使用**UFW**（简单防火墙）- 推荐大多数用户 * 具有简化语法的 iptables/nftables 前端 **RHEL/CentOS/Fedora：** * 使用**firewalld**（红帽生态系统中的默认设置） * 基于区域的配置，具有动态更新 **现代发行版+高级控制：** *使用**nftables**（最佳性能，现代标准） * O(log n) 性能 vs iptables O(n) * 统一IPv4/IPv6/NAT语法 **旧系统：** * 使用 **iptables** （可行时迁移到 nftables） * 旧内核需要 (< 4.14) ### Kubernetes/容器 * 使用**NetworkPolicies**（需要 CNI 插件：Calico、Cilium、Weave） * 参见references/k8s-networkpolicies.md ### 有状态与无状态 **有状态（在大多数情况下推荐）：** * 自动允许返回流量 * 更简单的配置 * 示例：安全组、UFW、nftables 默认值 **无状态（专门用途）：** * 必须明确允许两个方向 * 细粒度控制，更少的状态跟踪 * 示例：网络 ACL、自定义 nftables 规则 ## 快速入门示例 ### UFW (Ubuntu/Debian) # 1. 设置默认值 sudo ufw 默认拒绝传入 sudo ufw 默认允许传出 # 2. 关键：启用前允许 SSH（防止锁定） sudo ufw 允许 ssh sudo ufw limit ssh # 速率限制以防止暴力破解 # 3. 允许网络流量 sudo ufw 允许 http # 端口 80 sudo ufw 允许 https # 端口 443 # 4. 允许来自特定IP（例如数据库访问） sudo ufw 允许从 192.168.1.100 到任何端口 5432 # 5.启用防火墙须藤 ufw 启用 # 6. 验证规则 sudo ufw 状态详细有关完整的 UFW 模式，请参阅references/ufw-patterns.md ### nftables（现代 Linux） #!/usr/sbin/nft -f # /etc/nftables.conf 刷新规则集表 inet 过滤器 { 链输入{ 类型过滤钩子输入优先级0；政策下降； # 接受环回 iif“lo”接受 # 接受已建立的连接（有状态） ct状态已建立，相关接受 # 丢弃无效数据包 ct状态无效掉落 # 允许 SSH TCP dport 22 接受 # 允许 HTTP/HTTPS tcp dport { 80, 443 } 接受 # 记录丢弃的数据包日志前缀“nftables-drop:” drop } 链向前{ 类型过滤器钩子转发优先级0；政策下降； } 链输出{ type过滤器钩子输出优先级0；政策接受； } } 应用：`sudo nft -f /etc/nftables.conf` 启动时启用：`sudo systemctl enable nftables` 对于高级模式（集合、映射），请参阅references/nftables-patterns.md ### AWS 安全组 (Terraform) # Web服务器安全组资源“aws_security_group”“网络”{ 名称 =“网络服务器-sg” 描述 =“Web 服务器的安全组” vpc_id = aws_vpc.main.id # 允许来自任何地方的 HTTP/HTTPS 入口{ 描述 =“来自任何地方的 HTTPS” 来自端口 = 443 到端口 = 443 协议=“TCP” cidr_blocks = ["0.0.0.0/0"] } # 仅允许来自堡垒的 SSH 入口{ 描述 =“来自堡垒的 SSH” 来自端口 = 22 到端口 = 22 协议=“TCP” security_groups = [aws_security_group.bastion.id] } # 允许所有出站出口{ 来自端口 = 0 到端口 = 0 协议=“-1” cidr_blocks = ["0.0.0.0/0"] } 标签={ 名称 =“网络服务器-sg” } } 有关安全组与 NACL 指南，请参阅references/aws-security-groups.md ## 安全检查表在启用任何防火墙之前： * **在启用之前始终允许 SSH**（防止锁定） * 在启用之前测试规则（如果可能的话进行试运行） * 启用日志记录以进行调试 * 版本控制（Git）中的文档规则 * 使用 nmap 进行外部验证：`nmap -Pn ` * 具有控制台访问权限（云）或物理访问权限（本地） * 从默认拒绝开始，明确允许所需的流量 * 对 SSH 使用速率限制（`ufw limit ssh`） ## 常见模式 ### 模式 1：基本 Web 服务器 **要求：** * 允许来自任何地方的 HTTP (80) 和 HTTPS (443) * 仅允许来自特定 IP 或堡垒的 SSH * 默认拒绝所有其他入站流量 **UFW：** sudo ufw 默认拒绝传入 sudo ufw 允许从 203.0.113.0/24 到任何端口 22 # 办公室 IP sudo ufw 允许 http sudo ufw 允许 https 须藤 ufw 启用 **nftables：** 请参阅references/nftables-patterns.md 以获取完整示例 **AWS 安全组：** 请参阅references/aws-security-groups.md 了解 Terraform 模块 ### 模式 2：数据库服务器（私有） **要求：** * 仅允许来自应用程序层的数据库端口（5432、3306 等） * 没有公共互联网接入 * 仅限来自堡垒的 SSH 实现参见references/database-patterns.md ### 模式 3：堡垒主机（跳箱） **用途：** 用于 SSH 访问的单一强化入口点完整的实现请参见references/bastion-pattern.md ### 模式 4：出口过滤 **目的：** 控制出站流量以防止数据泄露实现参见references/egress-filtering.md ## 关键概念 ### 状态防火墙跟踪连接状态（已建立、相关、新）： * 自动允许回程流量 * 更简单的规则配置 * 使用者：安全组、UFW、nftables（默认） ### 无状态防火墙无连接跟踪： * 必须明确允许两个方向 * 必须允许临时端口 (1024-65535) 用于返回流量 * 使用者：网络 ACL ### 纵深防御分层多重防火墙控制： * **云：** 安全组 + NACL * **主机：** UFW/nftables +fail2ban * **容器：** 网络策略 ### 规则评估 **安全组 (AWS)：** 评估所有规则，最宽松的获胜 **网络 ACL (AWS)：** 顺序评估，第一个匹配获胜 **nftables/iptables：** 顺序，第一个匹配获胜 **UFW：** 按规则编号顺序 ## 通用最佳实践 1. **默认拒绝：** 以拒绝全部开始，明确允许所需流量 2. **最小权限原则：** 只开放必要的端口/IP 3. **敏感端口上禁止使用 0.0.0.0/0：** 绝不允许来自任何地方的 SSH/RDP/数据库 4. **版本控制：** 将防火墙规则存储在Git中 5. **日志记录：** 启用并监控防火墙日志 6. **定期审核：** 每季度审查规则，删除未使用的规则 7. **不要混合使用工具：** 避免同时运行 iptables 和 nftables 8. **生产前测试：** 首先使用临时环境 ## 高级主题 **堡垒主机架构：** 请参阅references/bastion-pattern.md 了解单入口点模式 **DMZ（非军事区）：**参见references/dmz-pattern.md了解网络分段 **出口过滤：** 请参阅references/egress-filtering.md 以了解出站流量控制 **Kubernetes NetworkPolicies：** 请参阅references/k8s-networkpolicies.md 以了解 pod 到 pod 的隔离 **将 iptables 迁移到 nftables：** 转换过程参见references/migration-guide.md **云防火墙比较：** * AWS：参考文献/aws-security-groups.md * GCP：参考文献/gcp-firewall.md * Azure：参考文献/azure-nsg.md ## 故障排除 **“我通过 SSH 将自己锁在外面”：** * 云：使用控制台/会话管理器访问 * 本地：物理控制台访问或 IPMI/iLO * 预防：在启用防火墙之前始终允许 SSH **连接超时：** * 检查防火墙是否阻止流量：`sudo ufw status`或`sudo nft list Ruleset` * 验证服务正在侦听：`ss -tuln | grep <端口>` * 外部测试：`nmap -Pn -p ` * 检查日志： `/var/log/ufw.log` 或 `journalctl -u nftables` **AWS：临时端口问题：** * NACL 需要返回流量：允许 1024-65535 入站 * 安全组是有状态的（不需要临时配置） **Kubernetes Pod 无法通信：** * 检查网络策略：`kubectl get networkpolicies -n ` * 验证 CNI 插件支持 NetworkPolicies（Calico、Cilium） * 先在没有策略的情况下进行测试有关完整的故障排除指南，请参阅references/troubleshooting.md ## 要避免的常见错误 ❌ **在 SSH/RDP 上允许 0.0.0.0/0** → 使用堡垒或 VPN ❌ **忘记启用防火墙** → 规则已配置但未激活 ❌ **启用前未测试** → 锁定风险 ❌ **NACL 中缺少临时端口** → 返回流量被阻止 ❌ **运行 iptables + nftables** → 冲突和不可预测的行为❌ **无日志记录** → 无法调试或审核 ❌ **大端口范围** → 不必要的攻击面 ❌ **不记录规则** → 未来混乱 ## 工具特定命令 ### UFW # 状态 sudo ufw 状态详细 sudo ufw 状态编号 # 添加规则 sudo ufwallow <端口>/<协议> sudo ufw 允许从到任何端口 sudo ufw limit ssh # 速率限制 # 删除规则 sudo ufw删除<规则号> sudo ufw 删除允许 80/tcp # 日志记录 sudo ufw 登录尾-f /var/log/ufw.log # 重置（禁用并删除所有规则）须藤 ufw 重置 ### nftables # 列出规则集 sudo nft 列表规则集 # 加载配置 sudo nft -f /etc/nftables.conf # 刷新所有规则 sudo nft 刷新规则集 # 动态添加规则 sudo nft 添加规则 inet 过滤器输入 tcp dport 8080 接受 # 启动时启用 sudo systemctl 启用 nftables ### iptables # 列出规则 sudo iptables -L -v -n sudo iptables -L INPUT --行号 # 添加规则 sudo iptables -A 输入 -p tcp --dport 80 -j 接受 # 删除规则 sudo iptables -D INPUT <规则号> # 保存规则 sudo netfilter-persistent save # Debian/Ubuntu sudo service iptables save # RHEL/CentOS ### AWS CLI # 列出安全组 aws ec2 描述安全组 --group-ids sg-xxxxx # 列出 NACL aws ec2 描述网络 acls --network-acl-ids acl-xxxxx # 添加规则到安全组 aws ec2 授权安全组入口 \ --group-id sg-xxxxx \ --协议 TCP \ --端口 443 \ --cidr 0.0.0.0/0 对于基础设施即代码方法，请使用 Terraform（请参阅引用/aws-security-groups.md） ## 示例目录完整的工作示例位于： * `examples/ufw/` \- UFW 配置脚本 * `examples/nftables/` \- nftables 规则集 * `examples/iptables/` \- iptables 规则脚本 * `examples/terraform-aws/` \- AWS 安全组和 NACL * `examples/terraform-gcp/` \- GCP 防火墙规则 * `examples/terraform-azure/` \- Azure NSG * `examples/kubernetes/` \- NetworkPolicy 清单 ## 集成点 **相关技能：** * **安全强化** \- 防火墙是服务器强化的组成部分之一。请参阅 SSH 强化、fail2ban、auditd 和 SELinux 的安全强化技能。 * **building-ci-pipelines** \- CI 运行者需要网络访问存储库和工件存储。为自托管运行器配置防火墙规则。 * **部署应用程序** \- 应用程序需要防火墙规则来提供服务暴露。请参阅部署应用程序以进行集成。 * **基础设施即代码** \- 使用 Terraform/CloudFormation 将防火墙作为代码进行管理。请参阅基础设施即代码以了解 IaC 最佳实践。 * **kubernetes-operations** \- 超越基本 NetworkPolicies 的高级 K8s 网络。有关服务、入口和 CNI 配置，请参阅 kubernetes-operations。 * **网络架构** \- 更广泛的网络设计模式。请参阅网络架构了解 VPC 设计、子网和路由。 ## 参考文件 **特定工具指南：** *references/ufw-patterns.md - 带有示例的完整 UFW 指南 *references/nftables-patterns.md - nftables 语法、集合、映射、日志记录 *references/iptables-patterns.md - iptables 基础知识和迁移路径 *references/migration-guide.md - 将 iptables 转换为 nftables **云提供商指南：** *references/aws-security-groups.md - 安全组与 Terraform 的 NACL *references/gcp-firewall.md - GCP VPC 防火墙规则 * 参考文献/azure-nsg.md - Azure 网络安全组 **高级模式：** *references/bastion-pattern.md - 跳转盒架构 *references/dmz-pattern.md - 使用 DMZ 进行网络分段 *references/egress-filtering.md - 出站流量控制 *references/k8s-networkpolicies.md - Kubernetes pod 隔离 **支持：** *references/troubleshooting.md - 常见问题和解决方案 *references/decision-tree.md - 工具选择的视觉指南

配置防火墙

包含技能