ufw-before-rules: UFW 前置规则配置文件

概述

ufw-before-rules 文件包含 UFW 激活时最先加载的 `iptables` 规则。这允许您添加 UFW 的高级命令无法提供的自定义规则，以应对特定场景（例如，加载特定模块、高级路由规则、特定数据包操作等）。添加到此文件的规则将优先于 UFW 的默认策略和用户自定义规则。

ufw-before-rules 文件作为 UFW (Uncomplicated Firewall) 软件包的一部分提供。因此，安装 UFW 时也会创建此文件。大多数最新的 Linux 发行版默认不安装 UFW，因此您需要使用以下命令进行安装。

Debian/Ubuntu 基于的系统

sudo apt update
sudo apt install ufw

使用 APT 包管理器安装 UFW。

CentOS/RHEL 基于的系统

sudo yum install epel-release
sudo yum install ufw

使用 YUM 或 DNF 包管理器安装 UFW。

安装后，您可以检查 UFW 的状态以确认是否已成功安装。

检查 UFW 状态

sudo ufw status

ufw-before-rules 文件需要手动编辑，并且在修改后需要重新加载 UFW 才能应用更改。

检查 ufw-before-rules 文件位置

ls -l /etc/ufw/before.rules

检查 ufw-before-rules 文件的默认路径。

查看 ufw-before-rules 文件内容

cat /etc/ufw/before.rules

查看文件的当前内容以了解默认规则。

编辑 ufw-before-rules 文件

sudo nano /etc/ufw/before.rules

# 在文件内容的适当位置添加以下行：
# -A ufw-before-input -i eth0 -p icmp --icmp-type echo-request -j ACCEPT

使用文本编辑器（如 nano 或 vi）编辑文件。例如，您可以添加一条规则以允许特定接口上的 ICMP (ping)。以下示例展示了如何在 `*filter` 部分的 `INPUT` 链中添加一条允许 `eth0` 接口上的 ICMP 的规则。

重新加载 UFW 以应用更改

sudo ufw reload

修改 ufw-before-rules 文件后，必须重新加载 UFW 才能应用更改。

禁用并重新启用 UFW (强制应用)

sudo ufw disable
sudo ufw enable

有时仅重新加载 `ufw reload` 可能不足够。在这种情况下，您可以完全禁用 UFW 然后重新启用它，以强制重新加载所有规则。此操作可能会暂时中断网络连接，请谨慎操作。

编辑 ufw-before-rules 文件时，由于它直接影响系统的网络安全，因此需要格外小心。

**理解 `iptables` 语法**：此文件使用纯粹的 `iptables` 语法，因此必须理解 `iptables` 规则的编写。错误的规则可能会完全阻止系统的网络连接。
**务必备份**：在修改文件之前，请务必备份原始文件。`sudo cp /etc/ufw/before.rules /etc/ufw/before.rules.bak`
**谨慎测试**：添加新规则后，必须彻底测试该规则是否按预期工作，并且不会影响其他重要服务。
**远程连接注意事项**：在远程服务器上操作时，错误的规则可能导致 SSH 连接中断。请在控制台可访问的环境中操作，或考虑使用在应用规则后一定时间内自动回滚的脚本。