![是否应该更改允许 mDNS 和 UPnP 进行服务发现的 ufw 默认配置?](https://linux22.com/image/947235/%E6%98%AF%E5%90%A6%E5%BA%94%E8%AF%A5%E6%9B%B4%E6%94%B9%E5%85%81%E8%AE%B8%20mDNS%20%E5%92%8C%20UPnP%20%E8%BF%9B%E8%A1%8C%E6%9C%8D%E5%8A%A1%E5%8F%91%E7%8E%B0%E7%9A%84%20ufw%20%E9%BB%98%E8%AE%A4%E9%85%8D%E7%BD%AE%EF%BC%9F.png)
Ubuntu 18.04 中 ufw 的默认配置文件( /etc/ufw/before.rules 和 /etc/ufw/before6.ruls )接受 UPnP 和 mDNS 的服务发现。
文件 /etc/ufw/before.rules
...
# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT
# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT
...
文件 /etc/ufw/before6.rules
...
# allow MULTICAST mDNS for service discovery
-A ufw6-before-input -p udp -d ff02::fb --dport 5353 -j ACCEPT
# allow MULTICAST UPnP for service discovery
-A ufw6-before-input -p udp -d ff02::f --dport 1900 -j ACCEPT
...
我读了一些文章,其中说 UPnP 存在安全风险。我应该禁用这些规则吗?在这种情况下,将它们注释掉就足够了吗?还是我必须将 ACCEPT 更改为 DROP 或 REJECT ?
提前感谢任何线索。
答案1
实际上,这里的问题是“您需要 UPnP 吗?”
如果您出于某种逻辑原因需要 UPnP,那么保留这些规则就可以了。但是,如果您不需要或不希望 UPnP 服务发现工作,您可以按照您的指示将其注释掉。
大多数网络不再默认启用 UPnP,因此存在一些缓解措施,但是 UPnP是存在安全风险,因为当您的设备使用 UPnP 时,它可能会在您的网络中打开漏洞。通常最好禁用 UPnP。但是,请记住 18.04 也有 4 年的历史了,默认值可能ufw
自 18.04 以来发生了变化,因此您提出这个问题的理由可能不再适用于以后的 Ubuntu 版本。
答案2
对于问题的第二部分,只需将它们注释掉即可,因为在这种情况下,这些数据包将继续通过ufw-输入后链,然后虽然ufw-跳至策略输入链条最终会将它们掉落。