Qubes OS 是一款以安全为核心设计的操作系统，它通过 Xen 虚拟化技术将用户的工作负载隔离到不同的虚拟机（称为 “Qubes”）中。这种架构的核心理念是“安全通过隔离”，即假设某个应用程序或 Qube 可能被攻破，但攻击者无法轻易访问其他 Qube 或宿主机（Dom0）。
在 Qubes OS 的安全模型中，网络隔离是至关重要的一环。默认情况下，Qubes OS 提供了相当不错的网络隔离策略，但为了应对更复杂的威胁模型或特定的使用场景，深入理解并自定义防火墙规则是必不可少的。本文将详细解析 Qubes OS 的防火墙机制，提供实战技巧，并展示如何解决常见的网络隔离问题。
1. Qubes OS 网络架构基础
在深入防火墙配置之前，我们需要理解 Qubes OS 的网络架构。
1.1 NetVM (网络虚拟机)
在 Qubes OS 中，普通的 AppVM（应用程序虚拟机，如
work
、
personal
）本身并不直接连接到物理网络接口。相反，它们将网络流量通过虚拟网卡（vif）转发到一个专门负责网络处理的虚拟机，即
NetVM
。
默认 NetVM
: 通常命名为
sys-net
。它负责直接与物理网卡（Wi-Fi 或以太网）交互，获取 IP 地址，并处理 DHCP、DNS 等。
防火墙 VM
: 通常命名为
sys-firewall
。它位于 AppVM 和
sys-net
之间。AppVM 的流量首先到达
sys-firewall
，经过过滤后再转发到
sys-net
，最后到达外部网络。
这种“AppVM -> Firewall VM -> NetVM -> 物理网络”的分层结构是 Qubes 网络隔离的基础。
1.2 关键概念：Qubes RPC Policies
Qubes OS 使用一种基于策略的系统来管理虚拟机之间的交互，这被称为
Qubes RPC (Remote Procedure Call)
。防火墙规则本质上就是定义了哪些 Qubes 可以通过
sys-firewall
向外发送流量。
这些规则存储在 Dom0 的特定目录中，主要文件是：
/etc/qubes/policy.d/30-user.policy
(或类似名称，取决于版本，较新版本可能在
/etc/qubes/policy.d/
下有多个文件)
但在日常配置中，我们通常使用
qubes-firewall
工具或图形界面来管理规则，这些工具会自动修改底层的 iptables/nftables 规则。
2. 防火墙规则配置详解
Qubes OS 的防火墙规则主要基于
iptables
(在较新版本中可能迁移到
nftables
)。规则主要应用于
sys-firewall
VM 中。
2.1 使用 Qubes Manager (图形界面)
对于初学者或简单配置，图形界面是最直观的。
打开
Qubes Manager
。
右键点击你想要配置的 AppVM (例如
work
)。
选择
Settings
->
NetVM
。
确保 NetVM 设置为
sys-firewall
。
在同一个设置窗口中，找到
Firewall rules
标签页。
在这里，你可以看到默认规则：
Allow all outgoing traffic
: 允许该 VM 访问所有外部 IP 和端口。
Limit outgoing traffic to only
: 仅允许访问特定的 IP/端口。
2.2 命令行配置：
qubes-firewall
虽然图形界面方便，但命令行提供了更精细的控制。在 Dom0 中，我们可以使用
qubes-firewall
命令来管理特定 VM 的规则。
基本语法：
qubes-firewall [–help]
查看当前规则：
qubes-firewall work
这将输出
work
VM 当前生效的防火墙规则。
设置规则：
规则的格式遵循特定的语法，通常包含动作（Action）、方向（Direction）、协议（Protocol）、地址（Address）、端口（Port）。
示例：允许
work
VM 访问特定的 Web 服务器 (192.168.1.100) 的 443 端口，但拒绝其他所有流量。
# 首先，清除旧规则（如果需要）
qubes-firewall work reset
# 添加允许规则
qubes-firewall work allow tcp dst 192.168.1.100 port 443
# 添加拒绝规则（默认是拒绝所有未明确允许的流量，但显式添加更清晰）
qubes-firewall work deny all
2.3 深入规则语法
Qubes 的防火墙规则解析器将规则分解为以下几个部分：
Action (动作)
:
allow
(允许) 或
deny
(拒绝)。
Protocol (协议)
:
tcp
,
udp
,
icmp
或
all
。
Direction (方向)
:
dst
(目标，即 VM 访问外部) 或
src
(源，即外部访问 VM)。通常我们关注
dst
。
Address (地址)
: IPv4 或 IPv6 地址，支持 CIDR 格式 (如
192.168.1.0/24
)。
Port (端口)
: 单个端口 (如
80
) 或端口范围 (如
8000-9000
)。
高级示例：
假设你有一个
banking
VM，你希望它：
只能访问你的银行域名解析后的 IP (假设为 203.0.113.
5
⁄
32
) 的 443 端口。
允许 DNS 查询 (UDP 53 端口) 到你的内部 DNS 服务器 (192.168.1.1)。
拒绝所有其他流量。
# 1. 允许 DNS
qubes-firewall banking allow udp dst 192.168.1.1 port 53
# 2. 允许银行 HTTPS
qubes-firewall banking allow tcp dst 203.0.113.5 port 443
# 3. 拒绝其他所有 (Qubes 默认策略通常是拒绝，但显式拒绝是个好习惯)
qubes-firewall banking deny all
3. 实战技巧：解决常见网络隔离问题
在实际使用中，你可能会遇到一些特定的网络隔离需求。以下是几个常见场景及其解决方案。
3.1 场景一：隔离特定 VM 的网络访问 (完全离线)
问题
: 你有一个存放敏感文档的
vault
VM，你希望它绝对不能连接到互联网，甚至不能连接到局域网，只能与特定的其他 VM 通信（例如
work
VM）。
解决方案
:
断开网络连接
: 在 Qubes Manager 中，将
vault
的 NetVM 设置为
(none)
。这将完全阻止它访问外部网络。
允许与特定 VM 通信 (模板)
: 如果
vault
需要与
work
交换文件，你需要使用
Qubes Inter-VM File Copy/Move
或
Template-based sharing
。
注意
: 仅仅设置 NetVM 为 none 并不能阻止它通过 Xen 的内部网络与其他 VM 通信（如果它们共享同一个 NetVM）。为了彻底隔离，通常建议将
vault
的 NetVM 设置为 none，并且不给予它任何网络权限。
3.2 场景二：端口转发 (Port Forwarding)
问题
: 你在
web-server
VM 中运行了一个 Web 服务，你希望从宿主机（Dom0）或局域网中的其他机器访问这个服务。
解决方案
:
这需要在
sys-firewall
或
sys-net
中配置
iptables
规则，因为它们是直接连接物理网络的 VM。
步骤：
确定
web-server
的 IP
:
在
web-server
VM 中运行
ip addr
，假设其 IP 为
10.137.0.5
。
在
sys-firewall
中配置端口转发
:
你需要编辑
sys-firewall
的防火墙脚本或手动添加 iptables 规则。最安全的方法是在
sys-firewall
中添加规则。
打开
sys-firewall
的终端（通过 Qubes Manager 或
qvm-run -s sys-firewall xterm
）。
添加 DNAT 规则 (目标地址转换):
将到达
sys-firewall
8080 端口的流量转发到
web-server
的 80 端口。
# 在 sys-firewall 中执行
# -A PREROUTING: 在路由决策前处理
# -i vif+: 进入接口是虚拟网卡 (来自 Dom0 或其他 VM)
# -p tcp –dport 8080: 协议 TCP，目标端口 8080
# -j DNAT –to-destination 10.137.0.5:80: 跳转到目标
sudo iptables -t nat -A PREROUTING -i vif+ -p tcp –dport 8080 -j DNAT –to-destination 10.137.0.5:80
# 允许转发
sudo iptables -A FORWARD -p tcp -d 10.137.0.5 –dport 80 -m state –state NEW,ESTABLISHED,RELATED -j ACCEPT
持久化规则
:
上述规则在重启后会丢失。为了持久化，你可以将这些命令添加到
sys-firewall
的
/rw/config/rc.local
文件中。
3.3 场景三：DNS 泄露保护
问题
: 即使你使用了 VPN，某些应用程序可能会绕过 VPN 直接使用系统默认的 DNS 服务器，导致 DNS 泄露。
解决方案
:
在 Qubes OS 中，DNS 请求通常由 NetVM (
sys-net
) 处理。如果你配置了 VPN，通常 VPN 会接管 DNS。但为了双重保险，你可以在 AppVM 级别强制 DNS 查询走特定的隧道。
高级技巧：使用
dnscrypt-proxy
或
unbound
在
sys-firewall
中拦截并加密 DNS。
在
sys-firewall
中安装
dnscrypt-proxy
。
配置
dnscrypt-proxy
监听本地端口（如 53）。
在
sys-firewall
中使用
iptables
将所有来自 AppVM 的 53 端口流量重定向到本地的
dnscrypt-proxy
。
# 在 sys-firewall 中执行
# 将所有发往外部 53 端口的 UDP/TCP 流量重定向到本地 53 端口
sudo iptables -t nat -A PREROUTING -p udp –dport 53 -j REDIRECT –to-port 53
sudo iptables -t nat -A PREROUTING -p tcp –dport 53 -j REDIRECT –to-port 53
4. 优化系统安全策略
仅仅配置规则是不够的，你需要根据威胁模型不断优化策略。
4.1 最小权限原则 (Principle of Least Privilege)
默认拒绝
: 永远不要使用 “Allow all” 除非绝对必要。对于大多数 AppVM，应该明确列出允许访问的 IP 和端口。
功能隔离
: 不要在同一个 VM 中运行浏览器和密码管理器。如果浏览器被攻破，攻击者也无法读取你的密码。
4.2 使用 Disposable VMs (DVMs)
对于浏览不可信的链接或打开不可信的文档，使用
Disposable VMs
。
DVMs 是基于模板的临时 VM，关闭后所有数据都会丢失。
它们没有持久化的防火墙规则，每次启动都恢复到干净状态。
配置
: 在 Qubes Manager -> Settings -> Applications 中，将浏览器设置为 “Disposable”。
4.3 监控和日志分析
定期检查防火墙日志可以帮助发现异常行为。
在
sys-firewall
中查看丢弃的数据包：
# 查看 iptables 中被 DROP 的包
sudo iptables -L -v -n | grep DROP
如果发现某个 VM 尝试连接奇怪的 IP，这可能意味着该 VM 已经被感染或包含恶意软件。
4.4 防火墙 VM 的加固
sys-firewall
是一个关键节点。如果
sys-firewall
被攻破，攻击者可能拦截流量。
尽量减少在
sys-firewall
中安装不必要的软件。
保持
sys-firewall
的模板（通常是 Fedora 或 Debian）及时更新。
5. 总结
Qubes OS 提供了强大的防火墙功能，通过分层的网络架构（AppVM -> Firewall VM -> NetVM）实现了优秀的隔离性。掌握
qubes-firewall
命令行工具、理解 iptables 规则以及利用 Qubes 的 RPC 策略，你可以构建一个极其安全的计算环境。
核心要点回顾：
隔离是关键
: 善用 NetVM 和 Disposable VMs。
规则要具体
: 遵循最小权限原则，只开放必要的端口和 IP。
端口转发需谨慎
: 在
sys-firewall
中配置，并注意持久化。
持续监控
: 定期检查日志，确保没有异常流量。
通过这些技巧，你可以有效地解决网络隔离问题，并根据自己的需求定制 Qubes OS 的安全策略。