如何轻松开启Ubuntu防火墙日志记录，精准追踪每一个安全事件？
- 内容介绍
- 文章标签
- 相关推荐
服务器就像是你家的大门，而防火墙则是那个尽职尽责的保安。但是 如果这个保安只是默默地把坏人赶走，却从来不告诉你谁试图撬过门锁， 太虐了。 对，就这个意思。 或者谁在门口鬼鬼祟祟地徘徊，那你心里肯定会觉得不踏实对吧？这就是为什么日志记录对于系统平安 不仅仅是一个选项，更是一种必须。
搞起来。 很多使用Ubuntu的朋友都知道UFW，主要原因是它确实如其名，配置起来非常简单。通常，我们只是简单地输入几个命令，允许SSH，允许Web流量，然后就把这件事抛在脑后了。直到有一天你的网站变慢了或者数据丢失了你才开始抓耳挠腮地想知道发生了什么。这时候，如果你没有开启防火墙日志，那你简直就是在一个漆黑的屋子里找猫。
不如... 今天我们就来深入探讨一下如何让Ubuntu的防火墙“开口说话”。我们要做的不仅仅是开启日志，还要学会如何读懂这些日志，甚至如何根据你的需求调整日志的“话痨程度”。相信我，当你第一次看到那些清晰的攻击记录被拦截在门外时那种掌控全局的感觉会让你上瘾的。
在开始敲代码之前，我想先花点时间聊聊“为什么”。这不仅仅是为了满足好奇心。日志是系统管理员的时间机器。当平安事件发生时 无论是DDoS攻击， 干就完了！ 还是某个倒霉蛋试图暴力娱乐你的SSH密码，日志都是你唯一的目击证人，不妨...。
我个人认为... 未来可期。 想象一下你发现服务器的负载突然飙升。如果没有日志，你只能瞎猜：是不是代码写死循环了？还是数据库崩了？但如果你开启了防火墙日志， 你可能一眼就能看到：“哦，原来是有个IP地址在一秒钟内发了一万个请求到80端口，全被拦截了。” 这时候，你只需要把这个IP加入黑名单，世界就清静了。这就是日志的力量——它将未知变成了已知，将恐慌变成了行动。
切中要害。 虽然Ubuntu系统通常默认安装了UFW， 但为了保险起见，我们还是先确认一下。毕竟工欲善其事， KTV你。 必先利其器。如果你的系统是裸奔状态，那现在就是穿上铠甲的时候了。
太魔幻了。 一言难尽。 打开你的终端，那个黑色的窗口里藏着无限的可能。先说说检查一下UFW是否已经安装。如果没有，你需要通过包管理器把它请回来。Ubuntu的软件源管理非常方便， 只需要几行命令：
sudo apt update && sudo apt install ufw安装完成后不要急着去开日志。你得先把防火墙本身激活。这就好比你先得把保安招进来才能让他开始写巡逻日记。启用UFW的命令很简单， 但请务必注意，如果你正在通过SSH远程连接服务器，一定要先允许SSH端口，否则把自己关在门外的尴尬局面可是会发生的，杀疯了！。
sudo ufw allow ssh
sudo ufw enable当你输入第二条命令时 系统会给你一个警告提示，确认你是否要继续。输入“y”并回车。如果一切顺利，你会看到类似“Firewall is active and enabled on system startup”的提示。 未来可期。 这时候，你的Ubuntu服务器已经有了一层基本的保护罩，精神内耗。。
好了保安已经上岗了。现在我们得给他一支笔和一个笔记本，让他开始记录。UFW的日志功能默认可能是关闭的，或者处于一个非常基础的级别。我们需要显式地告诉它：“嘿，开始干活吧，把发生的事情都记下来。”，我不敢苟同...
开启日志记录的命令非常直观：
sudo ufw logging on你想... 施行完这条命令后UFW就会开始动笔了。但是这里有个很有意思的细节。UFW支持5种日志级别，按详细程度递增排序。 一句话。 这就像是保安的记录风格，有的保安只记大事，有的保安连谁家狗叫了两声都要记下来。
是个狼人。 默认情况下 当你输入上面的命令后日志级别会被设置为low。这个级别通常只记录被阻止的数据包。对于大多数日常运维这其实是一个挺合理的设置，主要原因是它不会让你的硬盘塞满废话。但是如果你正在调试某个网络服务，或者正在遭受攻击，你需要更详细的信息，这时候你就得调整级别了，记住...。
这不仅仅是简单的“开”和“关”，UFW给了我们非常细腻的控制权。让我们来看看这些级别分别意味着什么以及什么时候该用哪一个。 我悟了。 为了让你看得更清楚， 我特意整理了一个表格：，脑子呢？
| 级别 | 描述 |
|---|---|
off | 关闭日志记录 |
low | 记录被阻止的数据包 |
medium | 在low的基础上增加一些额外的信息 |
high | 记录几乎所有数据包 |
full | 记录所有数据包 |
累并充实着。 摆烂... 看到这个表格，你应该明白该怎么选了吧？如果你只是想看看谁在攻击你，low就足够了。但如果你发现某个服务连不上， 怀疑是防火墙拦住了那就把级别调到medium看看。
修改日志级别的命令也很简单。比如 我们要开启中等详细程度的日志：，挺好。
sudo ufw logging medium
或者， 如果你正处于水深火热之中，急需看到每一个数据包的流向，那就试试full，PTSD了...
sudo ufw logging full
不过我得提醒你一句full级别产生的**日志量是非常惊人的。如果你是在高流量的服务器上使用摸个底没过多久你的**日志文件就可能膨胀到几个GB。所以用完记得调回去别让**日志把你的硬盘撑爆了。
火候不够配置完之后 我们总是习惯性地确认一下这就像出门前要检查一下门锁一样。你可以使用status命令来查看UFW的当前状态包括**日志是否开启以及当前的级别。
输入以下命令
sudo ufw status verbose
在输出的信息中留意Logging这一行。如果它显示Logging on 或者其他你设置的级别那么恭喜你提到这个... 你已经成功了一半。如果显示的是off那你可能得回头检查一下刚才的命令是不是敲错了或者是不是权限不够。
现**日志文件通常都有它们固定的栖息地。对于UFW情况稍微有点复杂主要原因是它依赖于系统的内核****日志机制，我好了。。var/log/ufw.log这个文件里。这很直观对吧？但是 有时候根据你的系统配置拭目以待 这些**
服务器就像是你家的大门，而防火墙则是那个尽职尽责的保安。但是 如果这个保安只是默默地把坏人赶走，却从来不告诉你谁试图撬过门锁， 太虐了。 对，就这个意思。 或者谁在门口鬼鬼祟祟地徘徊，那你心里肯定会觉得不踏实对吧？这就是为什么日志记录对于系统平安 不仅仅是一个选项，更是一种必须。
搞起来。 很多使用Ubuntu的朋友都知道UFW，主要原因是它确实如其名，配置起来非常简单。通常，我们只是简单地输入几个命令，允许SSH，允许Web流量，然后就把这件事抛在脑后了。直到有一天你的网站变慢了或者数据丢失了你才开始抓耳挠腮地想知道发生了什么。这时候，如果你没有开启防火墙日志，那你简直就是在一个漆黑的屋子里找猫。
不如... 今天我们就来深入探讨一下如何让Ubuntu的防火墙“开口说话”。我们要做的不仅仅是开启日志，还要学会如何读懂这些日志，甚至如何根据你的需求调整日志的“话痨程度”。相信我，当你第一次看到那些清晰的攻击记录被拦截在门外时那种掌控全局的感觉会让你上瘾的。
在开始敲代码之前，我想先花点时间聊聊“为什么”。这不仅仅是为了满足好奇心。日志是系统管理员的时间机器。当平安事件发生时 无论是DDoS攻击， 干就完了！ 还是某个倒霉蛋试图暴力娱乐你的SSH密码，日志都是你唯一的目击证人，不妨...。
我个人认为... 未来可期。 想象一下你发现服务器的负载突然飙升。如果没有日志，你只能瞎猜：是不是代码写死循环了？还是数据库崩了？但如果你开启了防火墙日志， 你可能一眼就能看到：“哦，原来是有个IP地址在一秒钟内发了一万个请求到80端口，全被拦截了。” 这时候，你只需要把这个IP加入黑名单，世界就清静了。这就是日志的力量——它将未知变成了已知，将恐慌变成了行动。
切中要害。 虽然Ubuntu系统通常默认安装了UFW， 但为了保险起见，我们还是先确认一下。毕竟工欲善其事， KTV你。 必先利其器。如果你的系统是裸奔状态，那现在就是穿上铠甲的时候了。
太魔幻了。 一言难尽。 打开你的终端，那个黑色的窗口里藏着无限的可能。先说说检查一下UFW是否已经安装。如果没有，你需要通过包管理器把它请回来。Ubuntu的软件源管理非常方便， 只需要几行命令：
sudo apt update && sudo apt install ufw安装完成后不要急着去开日志。你得先把防火墙本身激活。这就好比你先得把保安招进来才能让他开始写巡逻日记。启用UFW的命令很简单， 但请务必注意，如果你正在通过SSH远程连接服务器，一定要先允许SSH端口，否则把自己关在门外的尴尬局面可是会发生的，杀疯了！。
sudo ufw allow ssh
sudo ufw enable当你输入第二条命令时 系统会给你一个警告提示，确认你是否要继续。输入“y”并回车。如果一切顺利，你会看到类似“Firewall is active and enabled on system startup”的提示。 未来可期。 这时候，你的Ubuntu服务器已经有了一层基本的保护罩，精神内耗。。
好了保安已经上岗了。现在我们得给他一支笔和一个笔记本，让他开始记录。UFW的日志功能默认可能是关闭的，或者处于一个非常基础的级别。我们需要显式地告诉它：“嘿，开始干活吧，把发生的事情都记下来。”，我不敢苟同...
开启日志记录的命令非常直观：
sudo ufw logging on你想... 施行完这条命令后UFW就会开始动笔了。但是这里有个很有意思的细节。UFW支持5种日志级别，按详细程度递增排序。 一句话。 这就像是保安的记录风格，有的保安只记大事，有的保安连谁家狗叫了两声都要记下来。
是个狼人。 默认情况下 当你输入上面的命令后日志级别会被设置为low。这个级别通常只记录被阻止的数据包。对于大多数日常运维这其实是一个挺合理的设置，主要原因是它不会让你的硬盘塞满废话。但是如果你正在调试某个网络服务，或者正在遭受攻击，你需要更详细的信息，这时候你就得调整级别了，记住...。
这不仅仅是简单的“开”和“关”，UFW给了我们非常细腻的控制权。让我们来看看这些级别分别意味着什么以及什么时候该用哪一个。 我悟了。 为了让你看得更清楚， 我特意整理了一个表格：，脑子呢？
| 级别 | 描述 |
|---|---|
off | 关闭日志记录 |
low | 记录被阻止的数据包 |
medium | 在low的基础上增加一些额外的信息 |
high | 记录几乎所有数据包 |
full | 记录所有数据包 |
累并充实着。 摆烂... 看到这个表格，你应该明白该怎么选了吧？如果你只是想看看谁在攻击你，low就足够了。但如果你发现某个服务连不上， 怀疑是防火墙拦住了那就把级别调到medium看看。
修改日志级别的命令也很简单。比如 我们要开启中等详细程度的日志：，挺好。
sudo ufw logging medium
或者， 如果你正处于水深火热之中，急需看到每一个数据包的流向，那就试试full，PTSD了...
sudo ufw logging full
不过我得提醒你一句full级别产生的**日志量是非常惊人的。如果你是在高流量的服务器上使用摸个底没过多久你的**日志文件就可能膨胀到几个GB。所以用完记得调回去别让**日志把你的硬盘撑爆了。
火候不够配置完之后 我们总是习惯性地确认一下这就像出门前要检查一下门锁一样。你可以使用status命令来查看UFW的当前状态包括**日志是否开启以及当前的级别。
输入以下命令
sudo ufw status verbose
在输出的信息中留意Logging这一行。如果它显示Logging on 或者其他你设置的级别那么恭喜你提到这个... 你已经成功了一半。如果显示的是off那你可能得回头检查一下刚才的命令是不是敲错了或者是不是权限不够。
现**日志文件通常都有它们固定的栖息地。对于UFW情况稍微有点复杂主要原因是它依赖于系统的内核****日志机制，我好了。。var/log/ufw.log这个文件里。这很直观对吧？但是 有时候根据你的系统配置拭目以待 这些**