在使用Linux服务器或桌面系统时，防火墙是保障系统安全的重要防线。UFW（Uncomplicated Firewall）是Ubuntu及其他Debian系Linux发行版中一个简单易用的防火墙配置工具。它通过提供一个用户友好的命令行界面，来管理底层的iptables规则。默认情况下，UFW通常配置为拒绝所有传入连接，除非明确允许。
什么是UFW开放端口？
简单来说，UFW开放端口就是配置UFW防火墙，允许外部或内部特定的网络通信流量通过指定的端口进入或离开你的系统。因为UFW默认是拒绝所有未明确允许的连接（入站流量），如果你的应用程序（如Web服务器、SSH服务、数据库等）需要在某个特定的端口上监听并接收外部连接，你就必须在UFW中为该端口创建一个允许规则，这就是“开放端口”。
每一个网络服务都在一个或多个特定的端口上运行和监听。例如，SSH服务通常在TCP 22端口上监听，HTTP服务在TCP 80端口，HTTPS服务在TCP 443端口。如果这些端口在防火墙层面被阻止，外部客户端就无法连接到对应的服务。
为什么需要使用UFW开放端口？
为什么要开放端口？理由非常直接：
- 允许特定服务正常工作： 如上所述，你的Web服务器需要开放80或443端口才能被访问，SSH服务器需要开放22端口才能进行远程管理，游戏服务器需要开放特定的端口才能让玩家连接等等。如果端口不开，服务对外就是不可用的。
- 控制入站流量： UFW的默认拒绝策略非常安全，它阻止了所有不必要的连接尝试。你只为你确实需要的服务开放端口，这极大地减少了系统暴露的攻击面。相比于完全关闭防火墙，只开放必要的端口是一种更安全的策略。
- 区分不同流量： 你可以针对不同的端口应用不同的规则，例如允许特定IP地址范围访问某个敏感端口，或者只允许某个服务使用特定的协议（TCP或UDP）。
如果不开放所需的端口，即使你的服务已经在系统内部正常运行，外部世界也无法访问它，连接尝试将会超时或被防火墙拒绝。
在哪里进行UFW开放端口的操作？
UFW的配置和操作主要通过命令行进行。
- 在终端中执行命令： 你需要在你的Linux系统的终端或命令行界面中执行UFW相关的命令。这通常需要管理员权限，所以命令前需要加上
sudo。 - UFW规则存储位置（了解即可）： UFW的规则最终会被转换为iptables/nftables规则。UFW自己的规则文件通常位于
/etc/ufw/目录下，例如/etc/ufw/user.rules和/etc/ufw/before.rules等。但强烈建议通过ufw命令来修改规则，而不是直接编辑这些文件，因为手动编辑容易出错且可能导致UFW命令无法正常工作。
关于开放端口的“多少”问题（安全考量）
关于“开放多少端口”并没有一个固定的数字上限。理论上你可以开放所有65535个端口（每个协议），但这在安全上是极其危险和不明智的。
- 原则：最小权限原则： 安全的最佳实践是仅开放你的服务“绝对必需”的那些端口。开放的端口越多，你的系统暴露在外的潜在攻击点就越多。
- 权衡：可用性与安全： 你需要在服务的可用性（需要开放端口）和系统安全性（尽量少开放端口）之间找到平衡。对于大多数服务器而言，只开放SSH、Web服务相关端口、特定应用端口等少数几个端口是常态。
如何使用UFW开放端口（具体操作指南）
以下是如何使用UFW开放端口的各种具体操作步骤和命令示例：
1. 检查UFW状态
在进行任何规则修改之前，最好先检查UFW的状态，看它是否已经启用，以及当前的规则集是怎样的。
查看UFW状态：
sudo ufw status如果显示“Status: inactive”，说明UFW未启用。如果显示“Status: active”，则会列出当前的防火墙规则。为了更容易管理和删除规则，建议使用numbered选项：
sudo ufw status numbered这将以带编号的列表形式显示规则。
如果UFW未启用，你可以使用以下命令启用它。请注意，启用前务必确认已经允许了SSH端口（如果通过SSH连接服务器），否则你可能会断开连接！
sudo ufw enable启用后，UFW的默认策略（通常是拒绝所有传入，允许所有传出）就会生效。
2. 开放指定端口 (基本方式)
这是最常见的开放端口的方式。默认情况下，这个命令会为TCP和UDP协议都开放该端口。
sudo ufw allow [端口号]例如，开放标准的HTTP端口80：
sudo ufw allow 80开放标准的SSH端口22：
sudo ufw allow 223. 开放指定协议的端口
如果只想为特定协议（TCP或UDP）开放端口，可以在端口号后加上/[协议]。
sudo ufw allow [端口号]/[tcp或udp]例如，只开放TCP协议的80端口（Web服务）：
sudo ufw allow 80/tcp只开放UDP协议的53端口（DNS查询通常使用UDP）：
sudo ufw allow 53/udp开放TCP协议的443端口（HTTPS服务）：
sudo ufw allow 443/tcp4. 开放端口范围
有时一个应用程序需要使用一系列连续的端口。你可以指定一个端口范围。
sudo ufw allow [起始端口]:[结束端口]/[协议]例如，开放TCP协议从6000到6007的端口范围（常用于X11转发或某些游戏）：
sudo ufw allow 6000:6007/tcp开放UDP协议从5000到5010的端口范围：
sudo ufw allow 5000:5010/udp5. 开放端口给特定IP地址或子网
为了更高的安全性，你可以限制只有来自特定IP地址或IP地址段的连接才能访问某个端口。
sudo ufw allow from [IP地址] to any port [端口号]例如，只允许IP地址为192.168.1.100的主机访问22端口：
sudo ufw allow from 192.168.1.100 to any port 22sudo ufw allow from [子网] to any port [端口号]例如，只允许来自192.168.1.0/24子网（即192.168.1.1到192.168.1.254）的主机访问3306端口（MySQL）：
sudo ufw allow from 192.168.1.0/24 to any port 3306你也可以结合协议：
sudo ufw allow from [IP地址/子网] to any port [端口号]/[协议]例如，只允许来自10.0.0.0/8子网的主机访问TCP协议的5432端口（PostgreSQL）：
sudo ufw allow from 10.0.0.0/8 to any port 5432/tcp6. 按应用程序名称开放端口
UFW包含一些常见服务的预定义规则集（profiles）。你可以直接按应用程序名称开放端口。
首先，查看可用的应用程序列表：
sudo ufw app list这将列出例如 ‘OpenSSH’, ‘Apache’, ‘Nginx HTTP’, ‘Nginx HTTPS’ 等。查看某个应用程序的详细规则：
sudo ufw app info '[应用程序名称]'例如，查看OpenSSH的规则：
sudo ufw app info 'OpenSSH'输出可能会显示：
Profile: OpenSSH
Title: Secure shell server, an rshd replacement
Description: OpenSSH is a free implementation of the Secure Shell protocol…
Ports:
22/tcp
然后，使用应用程序名称开放端口：
sudo ufw allow '[应用程序名称]'例如，开放OpenSSH服务：
sudo ufw allow 'OpenSSH'这会自动根据Profile信息开放对应的端口（通常是TCP 22）。这种方式非常方便，因为它使用了官方或社区维护的已知端口信息。
7. 删除开放端口规则
当你不再需要某个端口开放时，应该将其关闭以增强安全。删除规则通常有两种方式：按编号删除或按规则内容删除。
首先，使用status numbered命令列出当前规则及编号：
sudo ufw status numbered输出示例如下：
Status: active
To Action From
— —— —-
[ 1] 22 ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 443/tcp ALLOW IN Anywhere
[ 4] 3306 ALLOW IN 192.168.1.0/24
按编号删除规则（假设要删除编号为2的80/tcp规则）：
sudo ufw delete 2系统会要求你确认是否删除该规则。
按规则内容删除（不推荐，容易出错，但了解一下）：
sudo ufw delete allow [端口号]/[协议]例如，删除允许80端口/tcp的规则：
sudo ufw delete allow 80/tcp删除允许来自192.168.1.100访问22端口的规则：
sudo ufw delete allow from 192.168.1.100 to any port 228. 拒绝/阻止端口（与开放相对）
虽然本文主要讲开放，但了解如何明确拒绝/阻止端口也很有用。默认策略已经是拒绝了，但你可以添加明确的拒绝规则来覆盖默认的允许规则，或者阻止特定的IP访问某个已开放的端口。
sudo ufw deny [端口号]/[协议]例如，阻止所有外部对25端口（SMTP）的连接：
sudo ufw deny 25阻止来自特定IP地址对所有端口的访问：
sudo ufw deny from [IP地址]阻止来自特定IP地址对某个特定端口的访问：
sudo ufw deny from [IP地址] to any port [端口号]常见的需要开放端口的应用类型
很多网络应用和服务都需要开放特定的端口才能与外部或其他网络上的客户端通信。以下是一些常见的例子：
- 远程管理： SSH (22/tcp) – 允许你远程登录和管理服务器。
- Web服务： HTTP (80/tcp), HTTPS (443/tcp) – 托管网站和Web应用。
- 文件传输： FTP (21/tcp, 以及数据端口), SFTP (通常使用22/tcp) – 文件上传和下载。
- 邮件服务： SMTP (25/tcp), POP3 (110/tcp), IMAP (143/tcp), SMTPS (465/tcp), POP3S (995/tcp), IMAPS (993/tcp) – 发送和接收电子邮件。
- 数据库服务： MySQL (3306/tcp), PostgreSQL (5432/tcp), MongoDB (27017/tcp) – 允许客户端连接数据库服务器。
- DNS服务： DNS (53/tcp, 53/udp) – 解析域名和IP地址。
- 其他应用： VNC (5900-59xx/tcp), RDP (3389/tcp), 游戏服务器（端口各异）, VPN服务（端口各异）等。
在部署任何需要网络通信的服务之前，查阅其官方文档以确定需要开放哪些端口及其使用的协议（TCP或UDP）是非常重要的。
总结
UFW开放端口是管理Linux系统网络访问权限的基本操作。通过使用简单直观的ufw allow命令，你可以精确控制哪些服务可以从外部访问。记住，开放端口是为了让需要的服务可用，但同时也是一种安全风险，因此应始终遵循最小权限原则，只开放必需的端口，并在可能的情况下，通过指定源IP地址或子网来进一步限制访问。定期检查ufw status numbered并删除不再需要的规则，是维护系统安全的重要一环。
开放端口是让服务被访问的必要步骤，但请始终优先考虑“需要”而非“想要”，将暴露的风险降到最低。
