Ufw-cheat-sheet

Allgemeines

Uncomplicated Firewall (ufw) ist ein einfaches iptables-Frontend für Debian- und Ubuntu-Systeme.

Installation

apt install ufw

Aktivieren und Deaktivieren

ufw enable
ufw disable
ufw reload
ufw reset

Status anzeigen

ufw status
ufw status verbose
ufw status numbered

Standardrichtlinien

ufw default deny incoming
ufw default allow outgoing

Ports freigeben

ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow from 192.168.0.0/16 to any port 22 proto tcp

Logging aktivieren

ufw logging on
ufw logging low
ufw logging medium
ufw logging high
ufw logging full

Logging anzeigen

less /var/log/ufw.log
journalctl -t kernel | grep UFW
journalctl -g UFW
journalctl -k

Anwendungen

ufw app list
ufw app info "Apache"
ufw allow "Apache Full"

Regeln löschen

ufw delete allow 22
ufw status numbered
ufw delete NUMMER

Forwarding aktivieren

IPv4

Aktiviert IP-Forwarding für IPv4

/etc/ufw/sysctl.conf

net/ipv4/ip_forward=1

IPv6

Aktiviert IP-Forwarding für IPv6

/etc/ufw/sysctl.conf

net/ipv6/conf/default/forwarding=1

UFW-Forwarding-Regel

Setzt das Forwarding-Verhalten der UFW

/etc/default/ufw

DEFAULT_FORWARD_POLICY="ACCEPT"

Manuelle Weiterleitungen (DNAT)

Erweiterte Weiterleitungen per iptables

/etc/ufw/before.rules

Beispiel:

iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.100:22
iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 22 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Konfigurationsdateien

Basis-Konfiguration, z. B. DEFAULT_FORWARD_POLICY

/etc/default/ufw

Aktiviert IP-Forwarding für IPv4 und IPv6

/etc/ufw/sysctl.conf

Eigene iptables-Regeln, z. B. DNAT oder Weiterleitungen

/etc/ufw/before.rules

Automatisch generierte Regeln (nicht manuell ändern)

/lib/ufw/user.rules

Nur vorhanden bei aktiviertem rsyslog – alternativ journalctl nutzen

/var/log/ufw.log

Typische Probleme

ufw loggt nicht → journald statt rsyslog verwenden
forwarding funktioniert nicht → DEFAULT_FORWARD_POLICY und sysctl.conf prüfen
Regeln greifen nicht → ufw reload ausführen, Status prüfen