SSH 连接远端 Ubuntu 服务器设置防火墙,实现只允许白名单访问

SSH 连接远端 Ubuntu 服务器设置防火墙,实现只允许白名单访问

记录时间:2021/6/25

环境情况

  1. 服务器(Ubuntu server 版 16.04.7 LTS,安装openssh,举例 IP:10.110.111.4)
  2. 客户端(Windows10,ssh工具使用 MobaXterm,举例 IP:10.72.10.10)
  3. 但是,服务器在远端,无法直接操作,只能从客户端通过 SSH 连到服务器上操作

需求

  1. 服务器(10.110.111.4)设置防火墙,禁止所有外部访问,只允许白名单中的 IP 访问,例如 10.110.111.10
  2. 服务器禁止其他主机 ping

实现

使用 Ubuntu 中的防火墙工具 UFW 实现以上需求。

UFW 为简化 iptables 防火墙配置而开发,ufw 提供了一种用户友好的方式来创建基于 IPv4 或 IPv6 的基于主机的防火墙。默认情况下,UFW 被禁用。

需求1-只允许白名单访问

  1. 启用 ufw
    ufw enable
    
  2. 默认拒绝所有外部访问
    ufw default deny
    
  3. 添加 IP 白名单
    ufw allow from 10.110.111.10
    ufw allow from 10.72.10.10
    
  4. 重新加载
    ufw reload
    

完成以上设置后,只允许 10.110.111.10 和 10.72.10.10 这两个 IP 访问服务器。其他 IP 无法访问服务器,但是可以 ping 通。

注意:
通常会把客户端 IP 也加到白名单,否则,结束 SSH 会话后,客户端无法再通过 SSH 与服务器建立会话,无法再继续远程对服务器进行操作

需求2-设置服务器禁止 PING

默认情况,ufw 允许 ping 请求。想要禁用,可以修改 /etc/ufw/before.rules 文件。由于 ping 命令使用 icmp 协议,可以移除或注释下面的行

# ok icmp codes
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

或者将 “ACCEPT” 改成 “DROP”

# ok icmp codes
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j DROP
-A ufw-before-input -p icmp --icmp-type source-quench -j DROP
-A ufw-before-input -p icmp --icmp-type time-exceeded -j DROP
-A ufw-before-input -p icmp --icmp-type parameter-problem -j DROP
-A ufw-before-input -p icmp --icmp-type echo-request -j DROP

参考链接:https://help.ubuntu.com/community/UFW

  • 1
    点赞
  • 4
    收藏
  • 打赏
    打赏
  • 1
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
©️2022 CSDN 皮肤主题:数字20 设计师:CSDN官方博客 返回首页
评论 1

打赏作者

xyp632

你的鼓励将是我创作的最大动力

¥2 ¥4 ¥6 ¥10 ¥20
输入1-500的整数
余额支付 (余额:-- )
扫码支付
扫码支付:¥2
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值