Linux 防火墙三国杀：ufw / firewalld / iptables / nftables 怎么选

1
iptables --version
2
# iptables v1.8.7 (nf_tables)   ← 兼容层（背后是 nftables）
3
# iptables v1.8.7 (legacy)      ← 真正的 iptables

1
# ufw 看到的（只是 ufw 自己的）
2
sudo ufw status
3

4
# iptables 看到的（所有规则，包括 docker、fail2ban 写的）
5
sudo iptables -L -n -v
6
sudo iptables -t nat -L -n -v
7

8
# nftables 看到的（新发行版）
9
sudo nft list ruleset

1
/etc/iptables/rules.v4     # IPv4 规则
2
/etc/iptables/rules.v6     # IPv6 规则

1
# 状态
2
sudo firewall-cmd --state
3
sudo systemctl status firewalld
4

5
# 看当前 zone
6
sudo firewall-cmd --get-default-zone
7
sudo firewall-cmd --get-active-zones
8

9
# 看 zone 里的规则
10
sudo firewall-cmd --list-all
11

12
# 加端口（runtime + 永久）
13
sudo firewall-cmd --add-port=8080/tcp
14
sudo firewall-cmd --add-port=8080/tcp --permanent
15

16
# 加服务
17
sudo firewall-cmd --add-service=http --permanent
18

19
# 重新加载
20
sudo firewall-cmd --reload
21

22
# 删除规则
23
sudo firewall-cmd --remove-port=8080/tcp --permanent

1
# 看所有规则
2
sudo nft list ruleset
3

4
# 看某个表
5
sudo nft list table inet filter
6

7
# 加一个 inet 类型的 filter 表
8
sudo nft add table inet filter
9

10
# 加 input 链（默认 drop）
11
sudo nft add chain inet filter input { type filter hook input priority 0\; policy drop\; }
12

13
# 允许已建立的连接
14
sudo nft add rule inet filter input ct state established,related accept
15

16
# 允许 SSH
17
sudo nft add rule inet filter input tcp dport 22 accept
18

19
# 保存到 /etc/nftables.conf（持久化）
20
sudo nft list ruleset > /etc/nftables.conf
21
sudo systemctl enable --now nftables

1
#!/usr/sbin/nft -f
2

3
flush ruleset
4

5
table inet filter {
6
    chain input {
7
        type filter hook input priority 0; policy drop;
8
        ct state established,related accept
9
        iifname lo accept
10
        tcp dport 22 accept
11
        tcp dport { 80, 443 } accept
12
    }
13
    chain forward {
14
        type filter hook forward priority 0; policy drop;
15
    }
16
    chain output {
17
        type filter hook output priority 0; policy accept;
18
    }
19
}

1
# 看规则
2
sudo iptables -L -n -v --line-numbers
3

4
# 清空规则
5
sudo iptables -F
6
sudo ip6tables -F
7

8
# 设置默认策略
9
sudo iptables -P INPUT DROP
10
sudo iptables -P FORWARD DROP
11
sudo iptables -P OUTPUT ACCEPT
12

13
# 允许 loopback
14
sudo iptables -A INPUT -i lo -j ACCEPT
15

16
# 允许已建立连接
17
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
18

19
# 允许 SSH / HTTP / HTTPS
20
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
21
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
22
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
23

24
# 保存（需要 iptables-persistent）
25
sudo netfilter-persistent save

1
# 1. 停掉 / 卸载所有防火墙前端
2
sudo systemctl stop ufw
3
sudo systemctl disable ufw
4
sudo apt purge -y iptables-persistent ufw
5

6
# 2. 清空内存中的规则
7
sudo iptables -F
8
sudo iptables -X
9
sudo iptables -t nat -F
10
sudo iptables -t nat -X
11
sudo ip6tables -F
12
sudo ip6tables -X
13

14
# 3. 重置默认策略为 ACCEPT（避免清空后断 SSH）
15
sudo iptables -P INPUT ACCEPT
16
sudo iptables -P FORWARD ACCEPT
17
sudo iptables -P OUTPUT ACCEPT
18

19
# 4. 重启确认
20
sudo reboot
21

22
# 5. 重启后再装回想用的工具
23
sudo apt install -y ufw