[Linux] UFW

What is UFW?

Uncomplicated Firewall의 약자로 Ubuntu 및 Debian 계열의 리눅스 배포판에서 간편하게 방화벽을 관리할 수 있도록 설계된 도구이며, Netfilter 기반의 iptables를 쉽게 다룰 수 있도록 만든 명령어

---

Command

Install Package

apt install -y ufw

---

기본 명령어

ufw enable

ufw 활성화

ufw disable

ufw 비활성화

ufw status verbose

ufw 상태 확인

ufw reset

룰 초기화

---

규칙 추가

ufw allow [Port]

Port 허용

ufw allow [Port]/[Protocol]

Port, Protocol 허용

ufw allow proto [Protocol] from any to any port [Port]

Port, Protocol 허용

ufw allow from [IP_Address]

특정 IP에서 들어오는 모든 트래픽 허용

ufw allow from [IP_Address]/[Prefix]

특정 Subnet에서 들어오는 트래픽 허용

ufw allow in on [Network_Interface]

Network Interface에서 들어오는 모든 트래픽 허용

---

규칙 삭제

ufw delete allow [Port]

Port 허용 규칙 삭제

ufw delete allow from [IP_Address]

특정 IP에서 오는 허용 규칙 삭제

ufw status numbered

번호가 있는 규칙 목록 확인

ufw delete [Number]

Number 규칙 삭제

---

트래픽 차단

ufw deny [Port]

Port 차단

ufw deny from [IP_Address]

특정 IP에서 오는 모든 트래픽 차단

ufw deny in on [Network_Interface]

Network Interface에서 들어오는 모든 트래픽 차단

ufw deny proto [Protocol] from any to any port [Port]

Port, Protocol 차단

vim /etc/ufw/before.rules
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

ICMP 허용
ACCEPT 부분을 DROP으로 변경 시 ping 요청이 거부됨.

---

로그 관리

ufw logging on

방화벽 로그 활성화

ufw logging off

방화벽 로그 비활성화

ufw logging low

최소한의 로그 기록

ufw logging medium

기본 로그 기록

ufw logging high

상세한 로그 기록

ufw logging full

모든 트래픽 로그 기록

---

기본 정책 설정

ufw default deny incoming

기본적으로 모든 들어오는 트래픽 차단

ufw default allow outgoing

기본적으로 모든 나가는 트래픽 허용

ufw default deny outgoing

기본적으로 모든 나가는 트래픽 차단

ufw default allow incoming

기본적으로 모든 들어오는 트래픽 허용

---

애플리케이션별 방화벽 설정

ufw app list

UFW가 관리하는 애플리케이션 목록 확인

ufw app info [Service_Name]

Service의 방화벽 설정 확인

ufw allow [Service_Name]

Service 허용