Давайте предположим:

• У меня мало или нет знаний о внутренней работе ОС Ubuntu / Linux. Все, что я знаю по своему опыту работы с Windows, это то, что мне нужно настроить и запустить брандмауэр, прежде чем я подключусь к Интернету, иначе моя система будет примерно такой же безопасной, как выход в отпуск и выход из дома со всеми дверями и окнами. открыто.
• Я только что перешел на рабочий стол Ubuntu 18.04 LTS и только что вошел в систему в первый раз. Я хочу защитить свою систему до того, как подключу свой компьютер к Интернету.

(NB: обратите внимание на акцент на слове « рабочий стол» , поэтому любые ссылки на сервер не будут относиться к вопросу и, следовательно, не будут иметь значения)

и после некоторого исследования на эту тему я понимаю это очень много:

а. UFW брандмауэр по умолчанию "инструмент конфигурации" для Ubuntu? (обратите внимание, что в нем написано средство настройки, а не настоящий брандмауэр), и ufw установлен, но он не запущен и вообще не настроен, поэтому у него нет стандартных правил, установленных из коробки.

б. Gufw - это пользовательский интерфейс для ufw, но он не установлен по умолчанию, или, по крайней мере, так обстоит дело с Ubuntu Desktop 18.04 LTS.

с. iptables - это настоящий межсетевой экран, который встроен в ядро ​​как модуль.

На данный момент знаю, что я могу настроить UFW так же просто, как ABC, поэтому его имя и использовать его, в качестве отправной точки, вам нужно установить deny (входящий), allow (исходящий) и запустить его, я также понимаю, что я мог бы использовать Gufw, чтобы сделать это тоже. Так что я могу просто оставить это там и сделать это.

Однако после всех моих исследований я нахожу много статей, вопросов и блогов на эту тему со многими взглядами и мнениями, многие из которых заявляют, что вам не нужен брандмауэр, нет открытых портов, но я думаю, что некоторые порты должны открыть при подключении к интернету? это означает, что я подключаю свое устройство к сети и открываю двустороннее соединение с трафиком, но вся информация, которую я только что прочитал, делает ее неясной и неоднозначной, поэтому я перевариваю всю эту информацию и пытаюсь разобраться в ней, а затем уменьшить это сводится к одному утверждению и поэтому вкратце:

Пользователи Ubuntu для настольных компьютеров не нуждаются в UFW, так как это всего лишь инструмент настройки iptables, который является настоящим межсетевым экраном под капотом.

Итак, скажите, что я воспринимаю приведенное выше утверждение буквально, тогда верно ли следующее утверждение ?:

iptables - это встроенный брандмауэр для Ubuntu Desktop, он полностью настроен и работает из коробки с правилами по умолчанию, которые достаточно безопасны для обычного пользователя рабочего стола.

Потому что, если вышеприведенное верно, то какой смысл в ufw, кроме как обеспечить простой интерфейс для iptables, который по всем параметрам сложен, и, кроме того, эксперты советуют вам избегать прямой настройки iptables, поскольку, если вы точно не знаете, что именно вы делаете, вы могли бы легко сделать вашу систему небезопасной или непригодной для использования, если она неправильно настроена?

Вот сканирование nmap моей системы вместе с настройкой брандмауэра, показывающее открытые порты в моей системе:

Пожалуйста, кто-нибудь может дать краткий, актуальный и не основанный на мнении факт, ответ :)

Вопрос значительно изменился

Новый ответ

НАЗВАНИЕ Вопрос

Как новый пользователь Ubuntu Desktop 18.04 LTS, мне нужно использовать ufwдля брандмауэра или достаточно iptables?

Большинство домашних пользователей Ubuntu не нуждаются или не используют ufw. Оба ufwи iptablesустановлены по умолчанию и настроены ничего не делать. Почему в этом нет необходимости, более подробно объясняется ниже.

Другой вопрос 1:

Итак, скажите, что я воспринимаю приведенное выше утверждение буквально, тогда верно ли следующее утверждение ?:

iptables - это встроенный брандмауэр для Ubuntu Desktop, он полностью настроен и работает из коробки с правилами по умолчанию, которые достаточно безопасны для обычного пользователя рабочего стола, а именно: deny (входящий), allow (исходящий).

Утверждение ложное

Утверждение - фактически два утверждения, соединенные и . Таким образом, если только одна часть всего утверждения является ложной, тогда все утверждение является ложным. Давайте разберемся с этим:

iptables это встроенный брандмауэр для Ubuntu Desktop

Вышеуказанная часть верна.

Теперь давайте посмотрим на другую часть:

iptables полностью настроен и работает и работает из коробки с правилами по умолчанию, которые являются достаточно безопасными для обычного пользователя рабочего стола, а именно: deny (входящий), allow (исходящий).

Вышеуказанная часть является ложной.

Установка рабочего стола Ubuntu по умолчанию не имеет открытых портов и серверов. Поэтому, несмотря на то, iptablesчто он установлен по умолчанию в настольной Ubuntu, он не настроен ничего делать. То есть брандмауэр по умолчанию не имеет установленных правил.

Таким образом, iptableнастроено ничего не делать при установке Ubuntu.

Другой вопрос 2:

Пояснения к nmap и gufw image (думаю, это то, что вы хотите)

Ваш nmap показывает, что только два открытых порта открыты для 127.0.0.1. Это специальный IP-адрес, который относится к самому компьютеру. То есть сам компьютер может общаться с собой, используя эти два открытых порта.

На gufwснимке экрана показано, что правила брандмауэра не настроены. Однако, так как вы установили gufwи нажали на него, ufwон также установлен (gufw использует ufw) и ufw активен. Конфигурация ufw по умолчанию, которую вы упомянули выше, deny (входящий) и allow (исходящий), работает. Однако эти правила не применяются к самому компьютеру, то есть 127.0.0.1. Этого (не обязательно, но) достаточно для домашнего пользователя.

Оригинальный ответ ==>

Обычным домашним пользователям не нужен брандмауэр

Установка рабочего стола Ubuntu по умолчанию не имеет открытых портов и серверов. Поэтому, если вы не запускаете какой-либо серверный демон, такой как ssh server, вам не нужен брандмауэр. Таким образом, iptable настроен так, чтобы ничего не делать при установке Ubuntu. См. Нужно ли активировать брандмауэр? Я использую Ubuntu только для домашнего рабочего стола? для деталей.

Если вы запускаете серверы, вам нужен брандмауэр

Если вы не обычный домашний пользователь и хотите сделать что-то сложное, например, получить удаленный доступ к своему рабочему столу с помощью ssh или запустить другие службы, то вам нужен брандмауэр. Ваша конфигурация брандмауэра будет зависеть от того, какие серверные демоны вы планируете запустить.

Даже если вы не планируете запускать сервер, вам может потребоваться межсетевой экран с конфигурацией по умолчанию, которая запрещает все входящие соединения со всех портов. Это должно быть вдвойне безопасно, если в один прекрасный день вы захотите установить и запустить сервер, не осознавая, что вы делаете. Без изменения конфигурации брандмауэра по умолчанию сервер не будет работать должным образом. Вы будете часами чесать голову, прежде чем вспомнить, что вы активировали брандмауэр. Затем вы можете удалить серверное программное обеспечение, так как оно может не стоить риска. Или вы можете настроить брандмауэр, чтобы сервер работал.

gufw самый простой

gufw - это графический интерфейс для ufw, который, в свою очередь, настраивает iptables. Поскольку вы используете Linux с 1990-х годов, вам может быть комфортно работать с командной строкой или предпочитать визуальные подсказки графического интерфейса. Если вам нравится графический интерфейс, то используйте gufw. Это легко понять и настроить даже для новичка.

ufw легко

Если вам нравится командная строка, ufwэто достаточно просто.

iptables не так просто

Причина, по которой мы не хотим, чтобы кто-либо напрямую возился с iptables, и использовал ufwили gufwзаключается в том, что очень легко все испортить, iptablesи, как только вы это сделаете, система может сломаться настолько сильно, что может оказаться непригодной для использования. Команда iptables-applyимеет несколько встроенных средств защиты, чтобы защитить пользователей от их ошибок.

Надеюсь это поможет

Я даю этот ответ сам, так как меня не убедили люди, которые настаивают на том, что вам не нужен брандмауэр, у вас нет открытых портов ... и я не буду отмечать его как принятый, хотя я принимаю его сам, я оставлю это сообщество, чтобы проголосовать, должен ли это быть ответом.

Все, что я хотел бы сказать всем, кто использует Ubuntu Desktop, кто сталкивался с этим вопросом, если вы не уверены в брандмауэре, потому что, как и я, вы сами убедились в том, что существует множество противоречивых мнений по этому вопросу, тогда мой совет просто идти вперед используйте брандмауэр, я рекомендую UFW, и если вы хотите UI, то используйте Gufw, потому что, когда все сказано и сделано, даже если все, что он делает, это дает вам душевное спокойствие, вы не можете причинить вреда при использовании его.

В конце концов я обратился за разъяснениями к официальной документации по Ubuntu и нашел следующую статью, и после моего опыта в поиске ответов я бы порекомендовал вам прочитать эту статью, потому что она имеет большой смысл и отвечает на мои вопросы и подвопросы, и я думаю, что я сейчас все будет в порядке;)

https://help.ubuntu.com/community/DoINeedAFirewall

Вот выдержка из вышеупомянутой статьи:

У меня нет открытых портов, поэтому мне не нужен брандмауэр, верно?

Ну не совсем. Это распространенное заблуждение. Во-первых, давайте разберемся, что такое открытый порт. Открытый порт - это порт, к которому привязана и прослушивается служба (например, SSH). Когда клиент SSH пытается установить связь с сервером SSH, он отправляет пакет TCP SYN на порт SSH (по умолчанию 22), и сервер подтверждает это, тем самым создавая новое соединение. Ошибочное представление о том, как брандмауэр может помочь вам, начинается здесь. Некоторые пользователи предполагают, что, поскольку у вас нет служб, соединение не может быть установлено. Так что вам не нужен брандмауэр. Если бы это были единственные вещи, о которых вам нужно было подумать, это было бы совершенно приемлемо.Однако это только часть картины. Здесь есть два дополнительных фактора. Во-первых, если вы не используете брандмауэр на том основании, что у вас нет открытых портов, вы наносите вред своей собственной безопасности, потому что, если используемое вами приложение эксплуатируется и происходит выполнение кода, можно создать новый сокет и связать его с произвольным порт. Другим важным фактором здесь является то, что, если вы не используете брандмауэр, вы также не имеете никакого контроля над исходящим трафиком. Вслед за эксплуатируемым приложением, вместо создания нового сокета и связывания порта, другая альтернатива, которую может использовать злоумышленник, - создать обратное соединение с вредоносной машиной. Без каких-либо правил брандмауэра это соединение будет проходить беспрепятственно.

iptables является частью сетевого стека TCP / IP. Если у вас есть * Nix, у вас есть IPTABLES. Если вы находитесь в IP-сети, брандмауэр включен или отключен, вы используете iptables, независимо от того.

ufw - это приложение * Nix поверх (имеется в виду использование iptables ). Он основан на консоли консоли, но не так сложен в использовании. Может быть включен / выключен. Вы не можете отключить iptables, так как должны быть маршруты по умолчанию для Интернета (0.0.0.0), локальной обратной связи (127.0.0.0), localhost (192.168.0.0) и автоадресации (169.254.0.0). Как видите, iptables запекается в сетевой стек. Вы не можете избежать этого, даже если бы захотели.

UFW может изменить записи iptables в матрице, не выходя из консоли оболочки. Можно отредактировать IP-маршруты iptables вручную, но я не буду рекомендовать его, так как в лучшем случае он подвержен ошибкам. Думайте об ufw как о средстве редактирования таблиц IP-маршрутов.

Как бы мне ни было удобно с консолью оболочки, я все же рекомендую простоту gufw, которая является графической «оболочкой» для ufw, которая находится поверх iptables.

Мне нравится его простота, особенно добавление профилей брандмауэра приложений, таких как медиа-серверы или приложения с бит-торрентом. Все, что делает мою жизнь легче, зарабатывает мое почтение.

Таким образом, чтобы ответить на ваш измененный вопрос, IPTABLES не защитит вашу сеть, если оставить ее в покое. Он не предназначен для блокировки, фильтрации, отключения или разрешения определенных портов, которые проходят таблицы IP-маршрутов. Используйте ufw + gufw, если вы хотите разрешить / заблокировать только определенные порты или диапазон портов, которые в свою очередь динамически редактируют таблицу маршрутизации ip.