《Linux运维总结：基于Ubuntu系统使用ufw为docker容器配置防火墙策略》

关注

原创 2024-01-26 14:26:35 1.3k 阅读 AI 写同款· GEO 优化 ›

Ubuntu 14.04 下 UFW 防火墙实战：从入门配置到 Docker 兼容加固 防火墙是 Linux 系统安全的基石，iptables 作为底层包过滤框架功能强大但学习成本高；UFW（Uncomplicated Firewall）则为其提供了语义清晰、开箱即用的高级封装，尤其在 Ubuntu 系统中深度集成。它通过应用 profile、端口规则与 before/after 分层机制，将复杂网络策略转化为可读、可审计、可回滚的文本配置。在老旧但仍在服役的 Ubuntu 14.04 LTS 环境中，UFW 不仅承担基础访问控制职责，还需协同 fail2ban 应对暴力破解，并通过定制 be 阅读详情

一、背景信息

由于在客户环境使用的是docker来部署系统的应用程序，客户要求对于数据库服务器开启防火墙策略，开启白名单策略，只允许特定IP访问数据库。

环境信息如下

操作系统	容器网络模式
22.04.2 LTS	主机网络模式

如下所示：
在这里插入图片描述

总结：容器使用bridge模式，暂时没有找到方法，对容器映射到宿主机上的端口添加白名单策略，进行了多次尝试，还是没有办法达到预期效果，如果你有更好的方法，可以联系博主！

二、解决方案

1、容器信息如下
在这里插入图片描述

2、开启防火请，并设置默认策略为拒绝

# 1、开机启动防火墙
root@lolaage:~# ufw enable

#2、修改默认拒绝
root@lolaage:~# ufw default deny 

#3、允许传入SSH连接（必须，不然无法连接服务器，当然你也可以添加ip限制）
root@lolaage:~# ufw allow ssh

说明：在将默认策略修改为拒绝之后，在192.168.1.188主机上就无法访问3306、6379、27017等容器端口，如下图所示：
在这里插入图片描述

3、设置容器端口3306、6379、27017访问规则

# 允许192.168.1.188访问容器端口3306、27017、6379
root@lolaage:~# ufw allow from 192.168.1.188 to any port 3306
root@lolaage:~# ufw allow from 192.168.1.188 to any port 6379
root@lolaage:~# ufw allow from 192.168.1.188 to any port 27017

说明：添加访问规则，如下图所示：
在这里插入图片描述

4、验证访问结果，如下图所示：
在这里插入图片描述

三、UFW使用介绍

1、UFW 基础命令

ufw version           #查看版本信息
ufw enable            #启用防火墙
ufw disable           #禁用防火墙
ufw reload            #重载防火墙
ufw reset             #重新设置防火墙 (注意：这将禁用UFW并删除之前定义的任何规则)
ufw verbose           #查看防火墙策略

2、设置允许SSH

ufw allow ssh
或
ufw allow 22

3、设置允许SSH

# 默认情况下ufw开启会阻止所有传入的流量并且允许所有传出的流量，通过以下命令实现：
ufw default allow outgoing
ufw deault deny incoming

4、设置其他端口（含协议限制）

#增加协议限制，基于tcp/udp过滤数据包
ufw allow 80/tcp
ufw allow 7000/udp

4、删除已经添加的端口

ufw delete allow 80
ufw delete deny 7000

5、按照范围开通端口

ufw allow 9000:9002/tcp
ufw allow 9000:9002/udp

6、限制IP访问白名单，只允许或者拒绝某IP访问

#限制某个ip
ufw allow from 192.168.1.11 #允许
ufw deny from 192.168.1.11  #拒绝

#限制指定IP地址范围
ufw allow from 192.168.1.0/24 #允许
ufw deny from 192.168.1.0/24 #拒绝

7、限制指定IP访问特定端口

ufw allow from 192.168.1.11 to any port 80 #允许
ufw deny from 192.168.1.11 to any port 80 #拒绝

#指定协议
#允许
ufw allow from 192.168.1.11 to any port 80 proto tcp
ufw allow from 192.168.1.11 to any port 80 proto udp
#拒绝
ufw deny from 192.168.1.11 to any port 80 proto tcp
ufw deny from 192.168.1.11 to any port 80 proto udp

8、限制访问外网

ufw default deny outgoing

9、允许对外访问域名解析用的DNS端口（53）

ufw allow out  to any port 53

10、允许访问外网的某个IP

ufw allow out proto tcp to 183.21.111.43

11、如果想恢复允许访问所有外网IP

ufw default allow outgoing

12、查看ufw日志

cat /var/log/ufw.log

总结：整理不易，如果对你有帮助，可否点赞关注一下？

更多详细内容请参考：《Linux运维篇：Linux系统运维指南》

收录于

《企业级K8s集群运维实战》

标签

#linux #运维 #ubuntu

Docker与UFW防火墙冲突解析：使用ufw-docker修复安全漏洞在Linux服务器安全防护中，防火墙是保障系统安全的第一道防线，而iptables作为Linux内核的底层网络包过滤框架，是实现防火墙功能的核心技术。通过iptables，管理员可以定义复杂的规则链来控制网络流量的转发、过滤与地址转换。Docker容器技术通过创建虚拟网络接口和网桥，为应用提供了隔离的运行环境，但其为了实现容器端口映射与外部通信，会直接操作iptables规则，这便与基于iptables的前端管理工具UFW产生了设计冲突。这种冲突导致UFW配置的规则被Docker插入的规则覆盖，造成潜在的安阅读详情