Ubuntu: Jak dodać regułę iptables, której UFW nie może utworzyć

15

UFW działa dla mnie naprawdę dobrze, z wyjątkiem przypadków, w których nie ...

Czy mogę ręcznie dodać kolejną regułę, która zostanie zastosowana podczas uruchamiania?

gdzie powinienem umieścić tę zasadę?
jak mam zacząć od uruchomienia?
jak sprawić, by gra ładnie działała w UFW?

ubuntu iptables ufw

— Arthur Ulfeldt
źródło

1

ufw to jedna z tych rzeczy, które „widzisz, to wszystko, co dostajesz”, które ułatwiają początkującym. Jeśli potrzebujesz zrobić więcej, niż jest to w stanie zrobić, rozważ całkowite przejście na iptables. To, że „działa dla mnie naprawdę dobrze” jest dobrym dowodem na to, że możesz spróbować czegoś (iptables) bardziej skomplikowanego (ale także bardziej elastycznego).

— halp

14

Zgodnie z tą stroną wiki Ubuntu (przewiń w dół do „Zaawansowanej funkcjonalności”), możesz osiągnąć to, co chcesz, umieszczając własne iptablesreguły w następujących plikach:

/etc/ufw/before.rules
/etc/ufw/after.rules

beforePlik jest oceniana zanim jakiekolwiek ufwsą stosowane zasady; afterplik jest oceniany po. (Istnieją również odpowiednie before6i after6reguły plików dla twoich ip6tablesreguł.)

Pliki reguł powinny mieć iptables-restoreniekompatybilną składnię, prawdopodobnie dlatego, że ufwpo prostu ładuje je iptables-restore. Na koniec pamiętaj, że musisz zatrzymać i uruchomić ponownie ufwpo wprowadzeniu jakichkolwiek zmian w plikach reguł.

— Steven Monday
źródło

3

Zauważ, że możesz (być może nieumyślnie) zmienić pierwszeństwo reguł iptables, jeśli zapomnisz ustandaryzować użycie -I lub -A podczas korzystania z tych plików. -I (wstaw) dodaje reguły do GÓRY łańcucha, najpierw oceniane, podczas gdy -A (dołącz) dodaje je do dolnej części łańcucha. Może to powodować nieoczekiwane wyniki, jeśli na przykład użyjesz -I w pliku .after. Tylko myśl.

— Sam Halicke,

0

UFW usunie każdą RĘCZNIE dodaną regułę, w /etc/ufw/user.rulesktórej NIE jest poprzedzony komentarzem:

### tuple ### allow tcp 80 0.0.0.0/0 any 0.0.0.0/0 out
-A ufw-user-output -p tcp --dport 80 -j ACCEPT

Kiedy rozsądek UFW sprawdza reguły przy uruchamianiu, oczekuje komentarza towarzyszącego. Jeśli NIE jest obecny, nawet jeśli składnia reguły jest poprawna, UFW nadal ją wyczyści.

I nie używaj tylko dowolnych komentarzy: MUSI to być komentarz, który UFW wstawiłby podczas tworzenia reguły użytkownika za pomocą cli, tj .:

sudo ufw allow http/tcp

Więc jeśli chcesz wstępnie zaszczepić serię reguł w zestawie reguł w prostym pliku, nadal musisz utworzyć reguły za pomocą interfejsu CLI UFW, aby poznać składnię komentarzy, których oczekuje, że reguła przejdzie sprawdzanie poprawności i będzie trwała .

Wypróbuj powyższe z komentarzem BEZ komentarza i BEZ, a następnie ponownie załaduj przykładową regułę HTTP powyżej; zauważysz tylko z komentarzem, czy ręcznie dodana reguła przetrwa restart ( UFW ) UFW.

Jest to naprawdę sprzeczne z intuicją zachowanie i wcale nie udokumentowane.

— F1Linux
źródło