标签归档：防火墙

甲骨文Oracle Cloud免费VPS Ubuntu 18.04/20.04 系统防火墙（UFW和iptables）的正确配置方法

4条回复

之前写过一篇文章，记录如何配置甲骨文的CentOS 7 系统防火墙（firewalld和iptables）。但是改成Ubuntu系统后，启用UFW防火墙后，发现重启系统后，ufw会变成未激活状态（inavtive），设置的iptables也恢复成了默认状态。下面介绍一下大佬们总结的几种解决办法。

一 甲骨文控制台开放端口

不管哪种办法，先在甲骨文网页控制台开放端口是基本操作。这里复制一下之前的内容。

登陆Oracle Cloud网页后台，进行设置

进入“实例”，点击“实例信息”下的“虚拟云网络”右侧类似“VirtualCloudNetwork-2019****-****”的按钮并进入；

在“（根）区间中的子网”下，如果存在多个类似“公共子网 pbOp:***-**-1 ”的项目列表，就随便点进去一个；

在“安全列表”下，点击并进入“Default Security List for VirtualCloudNetwork-2019****-****”。

编辑“入站规则”下“目的地端口范围”为22那条规则，或者参照这条规则新建也可以。
将“目的地端口范围”下的“22”改为“22,80,443”，然后“保存更改”即可。 系统会自动根据添加的IP生成新的两条规则。

注意：每个端口或范围间隔需要英文逗号；如果需要增加UDP端口，就在“IP 协议 ”下选择“UDP”。

二 大佬们的几种方法

2.1 彻底禁用防火墙

简单粗暴，能用就行。不太推荐。

2.1.1 直接删除iptables规则

sudo rm -rf /etc/iptables && reboot

2.1.2 开放所有端口

sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
sudo iptables -F
sudo apt-get purge netfilter-persistent
reboot

2.2 使用iptables开放端口

这个大佬使用iptalbes开放了必要的端口，可以用。

sudo iptables -I INPUT -s 0.0.0.0/0 -p tcp --dport 8888 -j ACCEPT 
sudo iptables -I INPUT -s 0.0.0.0/0 -p tcp --dport 80 -j ACCEPT
sudo iptables -I INPUT -s 0.0.0.0/0 -p tcp --dport 443 -j ACCEPT 
sudo iptables-save
sudo apt-get update
sudo apt-get install iptables-persistent -y
sudo netfilter-persistent save
sudo netfilter-persistent reload

三 如何正确使用UFW

首先理解UFW只是iptables的配置工具，所以想用UFW就不要把iptables删除或禁用，放着不管就好了。但问题是，就如开头所说，重启会使配置失效。下面来说一下正确使用UFW的流程。

3.1 安装相关软件包

sudo apt-get install iptables-persistent netfilter-persistent ufw

3.2 修改UFW启动配置文件

sudo vi /lib/systemd/system/ufw.service

增加一行“After=netfilter-persistent.service”到[Unit]段最后，改成这个样子：

[Unit]
Description=Uncomplicated firewall
Documentation=man:ufw(8)
DefaultDependencies=no
Before=network.target
After=netfilter-persistent.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/lib/ufw/ufw-init start quiet
ExecStop=/lib/ufw/ufw-init stop

[Install]
WantedBy=multi-user.target

重启系统。

3.3 正常配置UFW防火墙

按常规方式开放22，80，443端口即可。

sudo ufw reset

sudo ufw default deny incoming
sudo ufw default allow outgoing

sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https

sudo ufw enable

这样应该就可以了。

在Oracle Cloud免费VPS CentOS 7 系统上开启SELinux和防火墙（firewalld和iptables）情况下安装Web服务器Caddy

发表评论

参考：

https://src.fedoraproject.org/rpms/caddy/blob/master/f/caddy.spec
https://github.com/caddyserver/caddy/tree/master/dist/init/linux-systemd

本文的亮点在于开启SELinux、防火墙（Firewalld和iptables）情况下，配置caddy。 本文不限于Oracle Cloud云服务，同样适用于其他类似的情况下。

按照以上教程，默认路径为：

  • /usr/local/bin/caddy #caddy程序所在目录
  • /etc/caddy/Caddyfile #caddy配置文件所作目录
  • /etc/ssl/caddy #ssl证书所在目录
  • /var/www/ #网页所在目录

建立www-data用户

caddy服务默认使用www-data用户运行，因此需要建立该用户。教程中为建立用户组为33，但Oracle CentOS 7系统中GID 33被tape占用：

grep '33' /etc/group

使用GID 36建立www-data用户 

sudo groupadd -g 36 www-data
sudo useradd \
  -g www-data --no-user-group \
  --home-dir /var/www --no-create-home \
  --shell /usr/sbin/nologin \
  --system --uid 36 www-data

下载并安装caddy

sudo mkdir ~/caddy && cd ~/caddy

sudo wget https://github.com/caddyserver/caddy/releases/download/v1.0.3/caddy_v1.0.3_linux_amd64.tar.gz

sudo tar xvf caddy_v1.0.3_linux_amd64.tar.gz
sudo cp caddy /usr/local/bin

sudo chown root:root /usr/local/bin/caddy

sudo chmod 755 /usr/local/bin/caddy

使caddy能监听443，80端口

sudo setcap 'cap_net_bind_service=+ep' /usr/local/bin/caddy

安装systemd服务

sudo cp init/linux-systemd/caddy.service /etc/systemd/system/

sudo chown root:root /etc/systemd/system/caddy.service

sudo chmod 644 /etc/systemd/system/caddy.service

修改servicen内容

sudo vi /etc/systemd/system/caddy.service

需要修改为以下三行：

  1. ExecStart=/usr/local/bin/caddy -quic -log stdout -agree=true -conf=/etc/caddy/Caddyfile -root=/var/tmp
  2. ReadWriteDirectories=/etc/ssl/caddy
  3. AmbientCapabilities=CAP_NET_BIND_SERVICE

说明：

第一行，加入-quic，使caddy开启QUIC协议；

第二行，默认为ReadWritePaths=/etc/ssl/caddy，此时启动caddy服务，会出现如下错误：[ERROR] Making new certificate manager: could not save user: mkdir /etc/ssl/caddy/acme: read-only file system。

第三行，注释掉AmbientCapabilities=CAP_NET_BIND_SERVICE前的#，不用注释应该页没问题。因前面已经setcap过了。

建立caddy配置文件和ssl相关文件夹

sudo mkdir /etc/caddy

sudo touch /etc/caddy/Caddyfile

sudo chown -R www-data:www-data /etc/caddy

sudo chmod 644 /etc/caddy/Caddyfile
sudo mkdir /etc/ssl/caddy

sudo chown www-data:www-data /etc/ssl/caddy

sudo chown -R root:www-data /etc/ssl/caddy

sudo chmod 0770 /etc/ssl/caddy

修改VPS系统内SELinux和防火墙相关设置

将caddy定义为httpd服务

sudo semanage fcontext -a -t httpd_exec_t /usr/local/bin/caddy

sudo restorecon /usr/local/bin/caddy

设置caddy配置文件和ssl相关文件夹SELinux权限

sudo semanage fcontext -a -t httpd_config_t /etc/caddy

sudo semanage fcontext -a -t httpd_config_t /etc/caddy/Caddyfile

sudo semanage fcontext -a -t httpd_sys_rw_content_t /etc/ssl/caddy

sudo restorecon -r /etc/caddy

sudo restorecon -r /etc/ssl/caddy

开启http和https服务，即开启80和443端口，默认为tcp

sudo firewall-cmd --permanent --zone=public --add-service=http

sudo firewall-cmd --permanent --zone=public --add-service=https

允许ACME进行连接以获取证书

sudo setsebool -P httpd_can_network_connect 1

HTTP challenge 端口的SELinux权限

sudo semanage port -a -t http_port_t -p tcp 5033

开启QUIC，需开放udp端口

sudo semanage port --add --type http_port_t --proto udp 80

sudo semanage port --add --type http_port_t --proto udp 443

QUIC-firewalld设置

sudo firewall-cmd --zone=public --add-port=80/udp --permanent

sudo firewall-cmd --zone=public --add-port=443/udp --permanent

保存设置，重启防火墙，以使配置生效

sudo firewall-cmd --reload

在Oracle Cloud后台网页开放端口

进入“实例”，点击“实例信息”下的“虚拟云网络”右侧类似“VirtualCloudNetwork-2019****-****”的按钮并进入；

在“（根）区间中的子网”下，如果存在多个类似“公共子网 pbOp:***-**-1 ”的项目列表，就随便点进去一个；

在“安全列表”下，点击并进入“Default Security List for VirtualCloudNetwork-2019****-****”。

编辑“入站规则”下“目的地端口范围”为22那条规则，或者参照这条规则新建也可以。
将“目的地端口范围”下的“22”改为“22,80,443,5033”，然后“保存更改”即可。 系统会自动根据添加的IP生成新的三条规则。

注意：每个端口或范围间隔需要英文逗号。

开启QUIC，需要开放80和443的UDP端口，参照刚才设置的80和433端口新建规则即可，注意在“IP 协议 ”下选择“UDP”。

web站点文件相关设置

建立web站点文件夹

sudo mkdir /var/www

sudo chown -R www-data:www-data /var/www

sudo chmod 555 /var/www
sudo mkdir -p /var/www/example.com

sudo chown -R www-data:www-data /var/www/example.com

sudo chmod -R 555 /var/www/example.com

设置网站文件夹SELinux权限

sudo restorecon -r /var/www

建立web测试页

sudo vi /var/www/example.com/index.html

写入如下内容

<h1>Hello world!</h1>

测试web页

修改Caddyfile，添加站点

sudo vi /etc/caddy/Caddyfile

添加如下内容：

example.com {
     root /var/www/example.com
}

启动caddy服务

sudo systemctl daemon-reload

sudo systemctl start caddy.service

systemctl status caddy

访问example.com，看是否能见到网站页面

如能成功访问，设置开机启动

sudo systemctl enable caddy.service

完毕。

Oracle Cloud免费VPS CentOS 7 系统防火墙（firewalld和iptables）的正确配置方法

3条回复

不少人不会配置Oracle的防火墙，导致无法访问80或443端口。本文记录为Oracle Cloud的VPS CentOS 7系统正确配置防火墙的步骤，理论上适用于其他系统，如Debian等。

VPS系统的SELinux为开启状态

sestatus

Firewalld为开启状态

sudo firewall-cmd --state

Iptables为开启状态，查看iptables规则

sudo iptables -L -n

一些人的做法是彻底停用防火墙（firewalld），并清除iptables规则，如：

sudo systemctl stop firewalld

sudo systemctl disable firewalld
sudo iptables -P INPUT ACCEPT

sudo iptables -P FORWARD ACCEPT

sudo iptables -P OUTPUT ACCEPT

sudo iptables -F

但是端口仍然可能不能正常访问，同时我们都知道这肯定不是正确的解决方式。那正确的做法是什么呢？

正确的配置方法为：

  1. 登陆VPS的CentOS 7 系统，配置防火墙（firewalld），开放相关服务和端口；
  2. 登陆Oracle Cloud网页后台，进入实例，在“安全列表”中，修改“入站规则”；
  3. 不要手动修改iptables。

例，要建立一个小网站，需要开放80和443端口，步骤为：

第一步，登陆VPS的CentOS 7系统，修改防火墙设置，增加http和https服务，即开启80和443端口

sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --permanent --zone=public --add-service=https

重启防火墙以生效

sudo firewall-cmd --reload

第二步，登陆Oracle Cloud网页后台，进行设置

进入“实例”，点击“实例信息”下的“虚拟云网络”右侧类似“VirtualCloudNetwork-2019****-****”的按钮并进入；

在“（根）区间中的子网”下，如果存在多个类似“公共子网 pbOp:***-**-1 ”的项目列表，就随便点进去一个；

在“安全列表”下，点击并进入“Default Security List for VirtualCloudNetwork-2019****-****”。

编辑“入站规则”下“目的地端口范围”为22那条规则，或者参照这条规则新建也可以。
将“目的地端口范围”下的“22”改为“22,80,443”，然后“保存更改”即可。 系统会自动根据添加的IP生成新的两条规则。

注意：每个端口或范围间隔需要英文逗号；如果需要增加UDP端口，就在“IP 协议 ”下选择“UDP”。

至此设置完毕，赶紧访问下你的网页吧。

为网站开启QUIC的几点注意事项

发表评论

讲QUIC的文章比较多了，但是开启起来仍然是件困扰人的事。本文简要记录一下为网站开启QUIC的几点注意事项。

一 QUIC对比现有HTTP2的主要优势：

  • 显著减少连接建立时间
  • 改进的拥塞控制
  • 无对头阻塞的多路复用
  • 前向纠错
  • 连接迁移

二 开启QUIC的注意事项主要有以下几点：

Caddy的13f9c34已经支持QUIC 44、43、39，运行参数中加入-quic

编译caddy时，需要为主分支的quic-go打一个补丁:
cd $GOPATH/src/github.com/mholt/caddy/vendor/github.com/lucas-clemente/quic-go/

vi quic.patch

quic.pathch的内容如下：

From 20719a7c50c1f97ff0f2272010cda5710794c1d0 Mon Sep 17 00:00:00 2001
From: Marten Seemann <martenseemann@gmail.com>
Date: Thu, 29 Nov 2018 20:33:02 +0700
Subject: [PATCH] use the original tls.Config if tls.Config.GetConfigForClient
 returns nil

---
 internal/crypto/cert_chain.go      | 15 ++++++++++-----
 2 files changed, 10 insertions(+), 5 deletions(-)

diff --git a/internal/crypto/cert_chain.go b/internal/crypto/cert_chain.go
index 0c728fd25..45af2952d 100644
--- a/internal/crypto/cert_chain.go
+++ b/internal/crypto/cert_chain.go
@@ -56,8 +56,7 @@ func (c *certChain) GetLeafCert(sni string) ([]byte, error) {
 }
 
 func (c *certChain) getCertForSNI(sni string) (*tls.Certificate, error) {
-	conf := c.config
-	conf, err := maybeGetConfigForClient(conf, sni)
+	conf, err := maybeGetConfigForClient(c.config, sni)
 	if err != nil {
 		return nil, err
 	}
@@ -107,7 +106,13 @@ func maybeGetConfigForClient(c *tls.Config, sni string) (*tls.Config, error) {
 	if c.GetConfigForClient == nil {
 		return c, nil
 	}
-	return c.GetConfigForClient(&tls.ClientHelloInfo{
-		ServerName: sni,
-	})
+	confForClient, err := c.GetConfigForClient(&tls.ClientHelloInfo{ServerName: sni})
+	if err != nil {
+		return nil, err
+	}
+	// if GetConfigForClient returns nil, use the original config
+	if confForClient == nil {
+		return c, nil
+	}
+	return confForClient, nil
 }

patch -p1 < quic.patch

之后再进入caddy目录进行下一步的编译：

cd $GOPATH/src/github.com/mholt/caddy

请升级到目前的最新版 1.11。

  • 在防火墙中为443端口开启udp

          Firewalld:

sudo firewall-cmd --zone=public --add-port=443/udp --permanent

          iptables:

sudo iptables -A INPUT -p udp --dport 443 -j ACCEPT
  • 将Chrome升级到最新版

在chrome://flags/#enable-quic中启用QUIC支持。

三 一个查看QUIC支持情况的命令

curl -I https://www.coldawn.com we get
HTTP/1.1 200 OK
Alt-Svc: quic=":443"; ma=2592000; v="44,43,39"
Cache-Control: max-age=8640000
Content-Type: text/html; charset=UTF-8
Link: <https://www.coldawn.com/wp-json/>; rel="https://api.w.org/"
Server: Caddy
Strict-Transport-Security: max-age=31536000;
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
X-Powered-By: PHP/7.2.10
X-Xss-Protection: 1; mode=block
Date: Fri, 28 Sep 2018 04:29:41 GMT