ubuntu lamp防火墻配置技巧

Ubuntu LAMP防火墻配置技巧

一、基礎工具選擇與初始化設置

在Ubuntu LAMP環境中，UFW（Uncomplicated Firewall） 是新手首選的防火墻工具（基于iptables封裝，語法更簡潔），而iptables則適合需要高級自定義的場景。配置前需完成以下基礎準備：

1. 安裝工具：UFW通常預裝于Ubuntu，未安裝時可通過 sudo apt update && sudo apt install ufw 安裝；iptables一般默認安裝，若未安裝則用 sudo apt install iptables。
2. 設置默認策略：UFW的默認策略應設為“拒絕所有傳入、允許所有傳出”，強化“最小權限”原則，命令為 sudo ufw default deny incoming 和 sudo ufw default allow outgoing；iptables同理，需設置 sudo iptables -P INPUT DROP（拒絕所有入站）、sudo iptables -P OUTPUT ACCEPT（允許所有出站）。

二、LAMP必需端口開放技巧

LAMP（Linux+Apache+MySQL+PHP）環境需開放以下核心端口，確保Web服務、數據庫及遠程管理的正常訪問：

• HTTP（80/tcp）：允許網頁瀏覽，命令為 sudo ufw allow 80/tcp（UFW）或 sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT（iptables）；
• HTTPS（443/tcp）：保障加密網頁傳輸，命令為 sudo ufw allow 443/tcp 或 sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT；
• SSH（22/tcp）：遠程管理服務器，命令為 sudo ufw allow 22/tcp 或 sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT（iptables需限制為“已建立的連接”，防止非法入侵）；
• MySQL（3306/tcp）：數據庫訪問（若需遠程訪問），命令為 sudo ufw allow 3306/tcp 或 sudo iptables -A INPUT -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT。

三、高級配置技巧（提升安全性與靈活性）

1. 限制特定IP訪問關鍵端口：避免開放所有IP訪問敏感端口（如SSH、MySQL），僅允許可信IP訪問。例如，限制SSH僅能從公司IP（192.168.1.100）訪問，UFW命令為 sudo ufw allow from 192.168.1.100 to any port 22，iptables命令為 sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT。
2. 啟用日志記錄：通過日志追蹤被拒絕的連接，便于排查攻擊或誤配置。UFW啟用日志的命令為 sudo ufw enable logging，日志文件位于 /var/log/ufw.log，可通過 sudo tail -f /var/log/ufw.log 實時查看；iptables需手動添加日志規則，如 sudo iptables -A INPUT -j LOG --log-prefix "IPTABLES-DROP: "。
3. 保存與持久化規則：UFW規則默認自動保存，無需額外操作；iptables規則需手動保存（Ubuntu下可通過 sudo apt install iptables-persistent 安裝持久化工具，然后執行 sudo netfilter-persistent save），避免重啟后規則丟失。

四、測試與維護技巧

1. 驗證規則有效性：配置完成后，用 sudo ufw status verbose（UFW）查看規則是否生效，或通過 telnet your_server_ip 80（從外部機器測試HTTP端口連通性）驗證端口是否開放。
2. 定期審查規則：根據業務變化（如新增網站、修改數據庫訪問權限）及時調整規則，刪除不必要的端口開放（如測試完成后關閉3306的遠程訪問），降低安全風險。
3. 備份規則：定期備份UFW規則（sudo cp /etc/ufw/user.rules ~/ufw_backup.rules）和iptables規則（sudo iptables-save > ~/iptables_backup.v4），防止規則丟失或誤刪。