当前位置： 首页 > news >正文

我公司是做网站开发的怎么纳税做谐和年龄图的网站

news 2025/9/17 9:26:10
我公司是做网站开发的怎么纳税,做谐和年龄图的网站,图片网站seo,在工商局网站做年报要交费吗本文是 网安小白的端口关闭实践 的续篇。 海量报文，一手掌握，你值得拥有，让我们开始吧～ ufw 与 iptables的关系 理论介绍： ufw（Uncomplicated Firewall）是一个基于iptables的前端工具&#xf…

本文是
网安小白的端口关闭实践
的续篇。

海量报文，一手掌握，你值得拥有，让我们开始吧～

ufw 与 iptables的关系

理论介绍：

ufw（Uncomplicated Firewall）是一个基于iptables的前端工具，用于简化iptables的配置和管理。它提供了一组简单的命令和规则集，使用户能够更容易地配置和管理防火墙。

iptables是一个内核层的防火墙工具，用于过滤、重定向和修改网络数据包。它提供了非常强大的功能和灵活性，但其命令语法和配置较为复杂。

ufw实质上是对iptables进行了封装，提供了更简单易用的命令和配置接口。用户使用ufw命令时，ufw会自动转化为对iptables的操作命令，并在后台进行配置。因此，ufw在底层还是依赖iptables来实现防火墙规则的生效。

总而言之，ufw是一个基于iptables的简化工具，使用户更方便地配置和管理防火墙。

实践

  • 查看ufw的配置文件
cat /etc/ufw/before.rules
cat /etc/ufw/user.rules

可看到如下文件：

river@star:/etc/ufw$ ls
after6.rules                  before6.rules                  ufw.conf
after6.rules.20241202_150252  before6.rules.20241202_150252  user6.rules
after.init                    before.init                    user6.rules.20241202_150252
after.rules                   before.rules                   user.rules
after.rules.20241202_150252   before.rules.20241202_150252   user.rules.20241202_150252
applications.d                sysctl.conf

before.rules VS after.rules VS ufw.rules

在Ubuntu系统中，/etc/ufw/目录下的不同文件有以下含义：

  1. before.rules：这是ufw防火墙服务在加载之前将要应用的规则文件。它包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之前被应用。

  2. after.rules：这是ufw防火墙服务在加载之后将要应用的规则文件。它也包含了一些系统预定义的规则，可以在这里添加自定义的iptables规则，这些规则将在ufw规则之后被应用。

  3. user.rules：这是ufw命令行工具自动生成的规则文件。当你使用ufw命令添加或修改防火墙规则时，这些规则会被写入到/etc/ufw/user.rules文件中。这个文件包含了用户自定义的ufw规则，它会在ufw防火墙启动时被读取和加载到iptables规则链中。

需要注意的是，当你使用ufw命令修改防火墙规则时，实际上是修改了/etc/ufw/user.rules文件，然后使用sudo ufw reload命令来重新加载规则，使其生效。而before.rules和after.rules文件则通常用于添加更底层的iptables规则，以满足特定的需求或配置。

  • 执行
sudo ufw deny from any to 127.0.0.1

后，/etc/ufw/user.rules出现下述规则

### tuple ### deny any any 127.0.0.1 any 0.0.0.0/0 in
-A ufw-user-input -d 127.0.0.1 -j DROP

暂未找到下述规则的对应行：

sudo ufw default deny imcoming

规则制定范例

  • /etc/ufw/before.rules
#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
#   ufw-before-input
#   ufw-before-output
#   ufw-before-forward
## Don't delete these required lines, otherwise there will be errors
*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]
# End required lines# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT# ok icmp code for FORWARD
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT# allow dhcp client to work
-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT#
# ufw-not-local
#
-A ufw-before-input -j ufw-not-local# if LOCAL, RETURN
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN# if MULTICAST, RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN# if BROADCAST, RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN# all other non-local packets are dropped
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT# don't delete the 'COMMIT' line or these rules won't be processed
COMMIT

端口关闭实践

规则说明

  • 启用ufw后，修改/etc/iptales/rulesv4无效，执行iptables的命令也无效， 比如下面这个
sudo iptables -A OUTPUT -p tcp --dport 5556 -j DROP
  • 要想执行iptables，必须关闭ufw
  • 但理论上讲，所有iptables能执行的ufw也能执行

方法1：用ufw关闭，不用自己定义基础规则

上面的命令对应的ufw命令如下：

 sudo ufw deny from 127.0.0.1 to any port 5556
  • 注意，这代表，阻止从本机到任何机器的5556端口

以下才是阻止本机的5556到任何机器的报文

sudo ufw deny from 127.0.0.1 port 5556 to any

方法2：用iptables关闭

  • 修改/etc/iptables/rules.v4如下
# Generated by iptables-save v1.8.10 (nf_tables) on Mon Dec  2 23:18:41 2024
*filter
:INPUT ACCEPT [67:23836]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [66:29316]
-A INPUT -p tcp -m tcp --dport 5556 -j DROP
-A OUTPUT -p tcp -m tcp --dport 5556 -j DROP
COMMIT
# Completed on Mon Dec  2 23:18:41 2024

仅允许特定端口流出实践

  • 问题：ufw 如何禁止本机从80,443以外的端口 流出的流量?
sudo ufw default deny outgoing
sudo ufw allow out 80/tcp
sudo ufw allow out 443/tcp
sudo ufw allow out 443/udp
sudo ufw allow out 546/udp
sudo ufw allow out 995/tcp
sudo ufw allow out 853/tcp	#dns over tls
sudo ufw allow out 853/udp	#dns over quic
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发

真实有效，原来ufw也能让浏览器不能接受报文!!

  • 关闭时的防火墙状态；
    在这里插入图片描述
  • 作用效果：
    在这里插入图片描述

警告

  • sudo ufw default deny outgoing可能会导致部分软件无法工作，当然如果不使用某些奇奇怪怪的软件，以上配置大概是足够纯净和安全的！

安全解决方案II

  • 当确保所有软件都是安全时，仅仅这样也是足够的
sudo ufw default deny incoming		# 顺便阻止传入，因为本机不是服务器
sudo ufw default deny forward		# 顺便阻止转发
sudo apt install firewall-config
# 接着在firewall中允许仅仅若干服务

Last Extension: DoH VS DoT

DOH（DNS over HTTPS）和DOT（DNS over TLS）是两种将DNS查询加密的传输协议。

DOH使用HTTPS将DNS查询和响应封装在HTTP请求和响应中，通过常用的端口443进行传输。这意味着DNS查询被加密在TLS隧道中，并且可以与现有的HTTPS流量混合在一起，难以被网络监控或阻止。DOH可以通过使用基于浏览器的解析器或专用的DOH代理来实现。

DOT直接将DNS查询和响应封装在TLS流中，通过指定的端口（默认为853）进行传输。与DOH不同，DOT在应用层提供密钥交换和加密，而不是在HTTP层。它需要专用的DOT代理来将DNS请求发送到加密的DNS服务器进行解析。

总的来说，DOH将DNS查询封装在HTTPS中，可以通过通用的HTTPS端口传输，并且易于与现有的HTTPS流量混合。而DOT直接在TLS流中进行加密，需要专用的DOT代理来处理DNS查询和响应。两者都提供了DNS查询的加密传输，以增强隐私和安全性。

http://www.yayakq.cn/news/40850/

相关文章：

  • 系部 网站建设方案wordpress用户注册协议
  • 桐城市住房城乡建设局网站网赌网站怎么做
  • 买表去哪个app是正品怎样给网站做关键词优化
  • 定制网站开发是什么西安网站优化维护
  • 临汾建设局官方网站天津建设工程信息网官网首页
  • 免费企业网站程序asph5教程入门
  • 新桥网站建设百度搜索入口
  • 河北网站建设免费推荐宁乡电商网站建设报价
  • 罗湖网站建设58学网站开发的培训学校
  • 网站怎么推广怎么做网络营销案例100例小故事
  • 好模版网站免费自助小型网站
  • 石家庄网站建设时光如何快速提升网站权重
  • 外贸网站建设 联雅莱芜金点子广告最新招聘信息
  • 天津网站制作系统佛山网页设计培训怎么学
  • 江苏宜兴做网站的电话湖州网站建设培训教程
  • 北龙建设集团有限公司企业网站怎么查看网站是用什么编程语言开发的
  • 重庆市住房和城乡建设厅官方网站域名买好了怎么建网站
  • 怎样在各大网站做有效的宣传宝安沙井天气
  • 房山建设网站张家界商城网站建设
  • 电子建设网站的目的icp备案是什么
  • 舟山公司做网站做虾皮网站
  • 宣传网站怎么做建设银行个人查询余额下载
  • 淄博企业网站制作个人主页在哪里
  • 国家建设材料检测网站网站做相片
  • 做百科的网站网站建设先买主机还是
  • pdf做电子书下载网站专门做同人h的网站
  • 邢台做网站信息企业网站源码排行
  • 简书网站开发h5网站设计方案
  • 网站开发创业计划书财务分析无锡网站制作哪家不错
  • 动易网站建设深圳坂田做网站