UFW 설정하기(Ubuntu 화이트리스트)

# ufw 활성화

ufw enable

# ufw 비활성화

ufw disable

# ufw 상태확인

ufw status verbose

---

# 기본 룰 확인

ufw show raw

# 기본 정책 차단

ufw default deny

# 기본 정책 허용

ufw default allow

---

# SSH 포트 22번 허용(tcp/udp 22번 포트를 모두 허용)

ufw allow 22

# tcp 22번 포트만을 허용 - SSH는 tcp 22번 포트만 허용하는게 정답

ufw allow 22/tcp

# udp 22번 포트만을 허용

ufw allow 22/udp

---

# ssh 포트 22번 거부(tcp/udp 22번 포트를 모두 거부)

ufw deny 22

# tcp 22번 포트만을 거부

ufw deny 22/tcp

# udp 22번 포트만을 거부

ufw deny 22/udp

---

# UFW 룰의 삭제

ufw deny 22/tcp 설정이 되어있다고 가정

ufw delete deny 22/tcp

---

# SSH 서비스

ufw allow sshsudo ufw deny ssh

# UFW 로그 기록

ufw logging on

ufw logging off

---

특정한 IP 주소 허가/거부

특정한 IP주소 허용

ufw allow from <ip address>

예) 192.168.0.100 주소 허용(IP 주소192.168.0.100 에서만 접속이 가능해진다)

ufw allow from 192.168.0.100

네트워크 단위로 지정하여 같은 네트워크 상에 있는 컴퓨터들은 접속가능해진다.

ufw allow from 192.168.0.0/24

---

특정 IP 주소와 일치하는 포트 허용

ufw allow from <ip address> to <protocol> port <port number>

예) 192.168.0.100 주소와 포트, 프로토콜 허용

ufw allow from 192.168.0.100 to any port 22

---

특정 IP 주소와 프로토콜, 포트 허용

$ ufw allow from <ip address> to <protocol> port <port number> proto <protocol name>

예) 192.168.0.100 주소와 tcp 프로토콜 22번 포트 허용

sudo ufw allow from 192.168.0.100 to any port 22 proto tcp

위의 예제들에서 allow 대신 deny를 입력하면 거부가 된다.

---

ping (icmp) 허용/거부

UFW 기본설정은 ping 요청을 허용하도록 되어있다.

sudo vi /etc/ufw/before.rules

  # ok icmp codes

  -A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT

  -A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT

  -A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT

  -A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT

  -A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

위 코드들의 ACCEPT 부분을 모두 DROP으로 변경하거나 삭제하면 ping 요청을 거부하게 된다.

---

가디언즈에 적용할 화이트리스트 (동방 공유기 ip가 125)

ufw enable

ufw allow from 223.194.105.125 to any port 22

ufw allow from 27.117.241.240 to any port 22

ufw deny 80/tcp

ufw deny 3306/tcp

ufw status