Linux 防火牆 iptables / ufw 教學

Linux 防火牆教學中，iptables 與 UFW 是核心安全工具。iptables 提供核心層級防火牆功能，能對每個網路封包進行細緻控制，適合有經驗的系統管理員進行精細化設定；UFW 則是簡化工具，透過簡單指令即可快速建立、防護規則。本文完整介紹安裝、啟用、防火牆規則設定與編輯檔案的方法，每行指令都附中文註解，幫助新手快速上手。

iptables 設定與檔案編輯

iptables 設定能控制 Linux 核心層網路流量，是 Linux 防火牆教學的重要部分。以下說明指令設定及如何編輯規則檔案永久生效。

安裝 iptables

# Ubuntu/Debian 系統
sudo apt update              # 更新套件清單
sudo apt install iptables     # 安裝 iptables

# CentOS/RHEL/AlmaLinux 系統
sudo dnf install iptables     # 安裝 iptables 套件

基本指令設定 (逐行中文註解)

編輯 iptables 規則檔案以永久生效

# Ubuntu/Debian 系統
sudo nano /etc/iptables/rules.v4        # 編輯 IPv4 防火牆規則檔
sudo iptables-restore < /etc/iptables/rules.v4  # 立即套用規則

# 安裝 netfilter-persistent，確保規則重開機自動載入
sudo apt update
sudo apt install -y netfilter-persistent

# 儲存目前規則，讓系統開機自動套用
sudo netfilter-persistent save

# 確認服務開機自動啟動
sudo systemctl enable netfilter-persistent

# CentOS/RHEL 系統
sudo nano /etc/sysconfig/iptables        # 編輯防火牆規則檔
sudo systemctl restart iptables          # 套用修改後規則
sudo systemctl enable iptables           # 開機自動啟動

實務案例 (逐行中文註解)

# 允許本機 HTTP/HTTPS 流量
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT    # 允許 HTTP
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT   # 允許 HTTPS

# 封鎖內網特定網段
sudo iptables -A INPUT -s 192.168.100.0/24 -j DROP   # 封鎖指定內網段

# 保留回環介面
sudo iptables -A INPUT -i lo -j ACCEPT               # 允許本機流量

UFW 安裝與設定檔編輯

UFW 安裝與設定適合新手快速建立防火牆規則，也可透過設定檔編輯達到永久生效。

安裝與啟用 UFW

sudo apt update           # 更新套件清單
sudo apt install ufw      # 安裝 UFW 防火牆套件
sudo ufw enable           # 啟用防火牆
sudo ufw status verbose   # 查看目前規則與防火牆狀態

UFW 規則設定 (逐行中文註解)

sudo ufw allow 22/tcp         # 允許 SSH 連線
sudo ufw allow 80,443/tcp     # 允許 HTTP/HTTPS 流量
sudo ufw deny from 1.2.3.4    # 封鎖特定來源 IP
sudo ufw default deny incoming # 預設拒絕所有輸入
sudo ufw default allow outgoing# 預設允許所有輸出
sudo ufw reset                 # 重置規則回復預設

編輯 UFW 設定檔案

sudo nano /etc/ufw/user.rules   # 編輯自訂規則檔
sudo ufw reload                 # 套用修改後規則

FAQ 常見問題