Ubuntu防火墙配置：从ufw基础到iptables高级应用与面试实战

原创

于 2026-06-27 15:41:16 发布 · 419 阅读

1. 项目概述：从“乌班图”防火墙到字节跳动面试

最近在帮朋友准备字节跳动的Linux运维工程师面试，他提到面试官很可能会问关于Ubuntu（也就是大家常说的“乌班图”）防火墙配置的问题，特别是ufw和iptables。这让我想起，很多刚接触Linux运维的朋友，甚至一些有几年经验的同学，对这两者的关系和实际应用场景依然存在不少困惑。大家可能知道 ufw status 要sudo，知道 iptables -L 能看规则，但被问到“为什么有了ufw还要用iptables？”或者“生产环境如何精细化控制某个服务的端口？”时，就容易卡壳。今天，我就结合自己这些年从踩坑到熟练的运维经历，把Ubuntu防火墙这套东西，从是什么、怎么配，到面试会怎么考，彻底拆解清楚。无论你是正在学习Linux的新手，还是准备冲击大厂运维岗位的同行，这篇内容都能帮你把这块知识拧成一股绳，形成可实操、能应对刁钻问题的知识体系。

简单来说，在Ubuntu世界里，防火墙配置主要有两层面具：一层是给人类用的、友好的命令行工具 ufw ；另一层是藏在幕后、真正掌管网络生杀大权的内核级工具 iptables 。 ufw （Uncomplicated Firewall）顾名思义，就是为了简化 iptables 那复杂到令人头疼的规则语法而生的前端。你可以把它理解成汽车的自挡模式，而 iptables 就是手动挡。日常通勤（常规服务器管理），用自挡（ufw）省心省力；但要下赛道做性能调优或者处理极端复杂的网络路由（比如做网关、深度包检测），就必须切到手挡（直接操作iptables）了。面试字节跳动这类对基础扎实度和问题排查能力要求极高的公司，面试官绝不会只满足于你知道 ufw allow 22/tcp ，他一定会深入到你对手动挡（iptables）的理解程度。

2. 核心概念拆解：ufw与iptables究竟是什么关系？

2.1 iptables：Linux内核的“交通总指挥部”

首先，我们必须认清一个事实： iptables 不是一个服务，也不是一个守护进程，它是Linux内核网络栈的一部分，具体来说是Netfilter框架的用户空间配置工具。 你可以把它想象成城市交通系统的核心控制规则。这些规则决定了哪些数据包（车辆）可以进入（INPUT）、离开（OUTPUT）本机，或者经过本机转发（FORWARD），以及在这些环节中如何修改数据包（比如NAT，地址转换）。

iptables 的规则被组织成“表”（Tables）和“链”（Chains）。常用的表有：

filter表 ：默认表，负责过滤数据包，决定放行（ACCEPT）还是拒绝（DROP/REJECT）。
nat表 ：负责网络地址转换，比如让内网机器通过网关上网（SNAT），或者将外部请求映射到内部服务器（DNAT）。
mangle表 ：用于修改数据包内容（如TTL、TOS标记），属于更高级的用法。

每个表里面包含预定义的链（如INPUT, OUTPUT, FORWARD, PREROUTING, POSTROUTING），我们写的规则就是附加在这些链上的。规则从上到下依次匹配，一旦匹配成功就执行对应的动作（Target），比如ACCEPT或DROP，并且不再继续匹配后续规则。

它的强大之处在于极其精细的控制能力，但缺点也很明显：命令行语法复杂、规则顺序至关重要且不易管理、规则不是持久化的（重启可能丢失，需借助 iptables-save/restore 或其它工具）。

2.2 ufw：为你管理iptables的“贴心管家”

正因为 iptables 直接操作的门槛高，Ubuntu推出了 ufw 。 ufw 的本质是一个高级命令行封装器，它通过更简单直观的命令，帮你生成并管理一套符合常见最佳实践的 iptables 规则集。

当你运行 sudo ufw allow 22/tcp 时， ufw 在背后做了几件事：

解析你的命令，理解是要开放TCP 22端口。
根据其内置的模板和默认策略，生成一条或多条对应的 iptables 规则。
将这些规则插入到它自己管理的 iptables 链中（通常是 ufw-user-input 等以 ufw- 开头的链）。
确保这些规则在系统重启后依然生效（因为它将规则写入了 /etc/ufw/ 下的配置文件）。

ufw 默认会设置比较保守的初始策略（比如默认拒绝所有入站、允许所有出站），并帮你处理好规则顺序，极大地降低了出错概率。 ufw status 命令看到的，就是它帮你管理的规则的一个简洁视图。

关键理解 ： ufw 和 iptables 不是二选一的关系，而是上层应用与底层框架的关系。启用 ufw 后，你通过 iptables -L 查看，会发现大量由 ufw 创建的链和规则。你可以同时使用它们，但要注意规则冲突和顺序问题。通常的建议是： 普通管理用 ufw ，复杂需求或排错时直接看 iptables 。

2.3 面试高频考点与应对思路

面试官问防火墙，通常有几个层次：

基础操作层 ：“如何查看防火墙状态？”“如何开放一个端口？”——考察你是否会用 ufw 。
原理理解层 ：“ufw和iptables是什么关系？”“iptables的四表五链是什么？”——考察你是否理解底层机制。
实战应用层 ：“如何只允许某个IP段访问服务器的80端口？”“如何做端口转发？”“服务器上如何限制某个进程对外发起连接？”——考察你能否将知识用于解决实际问题，这里往往需要直接操作 iptables 。
排错诊断层 ：“服务本地能通，但远程访问不了，如何一步步排查？”“ ufw status 显示规则生效了，但