UFW BLOCK syslog - tcp/ip 被阻止，这在 UFW 中是允许的 - GPS TRACKING/TCP/UDP 报告服务器

Question 1

查看规则并将其与日志进行比较，会引发一些问题。看起来您正在尝试控制往返于接口的所有流量。这里的问题是，如果将阻止的数据包与防火墙列表进行比较，则必须找到数据包匹配的规则。所有被阻止的数据包的目标端口都在您的列表中，但源端口不在列表中。如果我的计算机发起与您计算机上的标准 http Web 服务器的通信，则我的目标端口是端口 80，而我的源端口是某个随机数，可能在 50,000+ 范围内。假设我的端口是 62545。当您的 Web 服务器尝试回复我时，需要允许它从您的接口的端口 80 发出，目的地是 62545。在您的允许输出列表中，哪个位置允许将数据包发送到 62545？如果不匹配，则数据包将被阻止。如果您查看显示的倒数第二个日志条目，就会发现这正是我刚刚解释的情况。您的列表中没有任何地方允许数据包发送到 62545。

这留下了两件事需要考虑。第一，防火墙是有状态的，这意味着如果您从接口向目标端口（例如 80）发起通信，则将允许返回数据包。如果不是首先从内部发起，则相同的数据包无法从外部进入您的接口。我认为您可能试图控制太多的出站流量。除非，第二件事，您正在控制接口之间的路由。如果是这种情况，则规则设置需要语法中的更多信息（从命令行输入“man ufw”以了解详细信息）。我通常输入详细规则，如前所述，但仅在传入端，因为我不在接口之间路由。如果出现有关 UFW 配置的问题，详细规则使以后重新评估规则变得更容易。如果您没有路由，请尝试删除允许规则，看看问题是否得到解决。我可能是错的，但这就是我解释 UFW 的方式以及我成功使用它的方式。祝你好运。希望这能有所帮助。

Answer

查看规则并将其与日志进行比较，会引发一些问题。看起来您正在尝试控制往返于接口的所有流量。这里的问题是，如果将阻止的数据包与防火墙列表进行比较，则必须找到数据包匹配的规则。所有被阻止的数据包的目标端口都在您的列表中，但源端口不在列表中。如果我的计算机发起与您计算机上的标准 http Web 服务器的通信，则我的目标端口是端口 80，而我的源端口是某个随机数，可能在 50,000+ 范围内。假设我的端口是 62545。当您的 Web 服务器尝试回复我时，需要允许它从您的接口的端口 80 发出，目的地是 62545。在您的允许输出列表中，哪个位置允许将数据包发送到 62545？如果不匹配，则数据包将被阻止。如果您查看显示的倒数第二个日志条目，就会发现这正是我刚刚解释的情况。您的列表中没有任何地方允许数据包发送到 62545。

这留下了两件事需要考虑。第一，防火墙是有状态的，这意味着如果您从接口向目标端口（例如 80）发起通信，则将允许返回数据包。如果不是首先从内部发起，则相同的数据包无法从外部进入您的接口。我认为您可能试图控制太多的出站流量。除非，第二件事，您正在控制接口之间的路由。如果是这种情况，则规则设置需要语法中的更多信息（从命令行输入“man ufw”以了解详细信息）。我通常输入详细规则，如前所述，但仅在传入端，因为我不在接口之间路由。如果出现有关 UFW 配置的问题，详细规则使以后重新评估规则变得更容易。如果您没有路由，请尝试删除允许规则，看看问题是否得到解决。我可能是错的，但这就是我解释 UFW 的方式以及我成功使用它的方式。祝你好运。希望这能有所帮助。

Question 2

对于那些使用 iptables GPS 跟踪的人，我使用此解决方案解决了我的允许端口范围问题......

一些 GPS 跟踪在短时间内向服务器发送大量报告...并且它会生成无效数据包，但我们希望允许它们全部...

例子：

在文件中添加规则之前before.rules我删除了允许范围端口ufw

ufw delete allow 1500:1600/tcp
ufw delete allow 1500:1600/udp

然后在添加所需的允许端口/etc/ufw/before.rules之前进行编辑......drop INVALID Packets

# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# these ports sometimes generate invalid packets, just accept everything for now
-A ufw-before-input -p tcp -m multiport --dports 1500:1600 -j ACCEPT
-A ufw-before-input -p udp -m multiport --dports 1500:1600 -j ACCEPT

# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

我添加了允许使用 tcp/udp 协议的 IP 范围的代码，之后执行

ufw reload

看看它是否会改变...iptables -S看看iptables -L

注意：允许特定端口有问题，

例如：如果我想在特定端口上允许一系列端口，但 xx 端口显示标签UFW BLOCK，syslog则tail -f /var/logs/syslog | grep "UFW BLOCK"需要在/etc/ufw/before.rules和中添加该端口/etc/ufw/before6.rules

仅补充您遇到的问题...不是全部...

UFW BLOCK对于那些拥有诸如ACK FIN和之类的标签的人来说RST

奇怪的 UFW 行为。在被告知不要阻止某些端口 80 请求时阻止了它们。

为什么 ufw 会记录有关已配置为“允许”连接的端口的“BLOCK”消息？

Answer