禁用不常用网络协议栈可缩小攻击面，需通过内核模块黑名单（如blacklist ipx）实现，UFW仅过滤已启用协议流量，不能直接禁用协议栈。

禁用不常用的网络协议栈（如 IPX、AppleTalk、NetBEUI 等）确实能缩小攻击面，对缓解部分零日漏洞有一定辅助作用，但需明确：UFW 本身不直接管理内核协议栈加载，它仅是 iptables 前端，负责过滤已启用协议的网络流量。真正禁用协议栈需通过内核模块控制。

哪些协议栈值得禁用？

现代 Linux 系统默认已不加载多数老旧协议，但仍可检查确认：

• IPX：上世纪局域网协议，现基本无用；
• AppleTalk：旧 macOS 设备通信协议，2000 年代后已弃用；
• ATM / DECnet / X.25：特定专网协议，通用服务器无需启用；
• IPv6（若业务完全不用）：虽非“过时”，但若未配置且不依赖，禁用可减少潜在攻击面。

如何真正禁用协议栈（非 UFW 操作）

在 /etc/modprobe.d/blacklist.conf 中添加以下行（每行一个协议），阻止内核加载对应模块：

blacklist ipx
blacklist appletalk
blacklist decnet
blacklist atm
blacklist x25

若确定不用 IPv6，还可添加：

blacklist ipv6

保存后执行 sudo update-initramfs -u && sudo reboot 生效（部分系统需 reload 内核模块或重启）。

UFW 能配合做什么？

UFW 可作为第二道防线，显式拒绝异常协议残留流量（即使模块被误加载）：

• 关闭所有非必要端口与协议：运行 sudo ufw default deny incoming；
• 禁用 IPv6 规则（如果已禁用 IPv6 协议栈）：编辑 /etc/default/ufw，设 IPV6=no；
• 检查是否有意外规则放行非常规协议端口（如 AppleTalk 使用的端口 548、2000+ 等），用 sudo ufw status verbose 审查。

效果与局限性说明

该操作属于“纵深防御”中的基础加固项：

• ✅ 减少内核攻击面，避免因协议栈实现缺陷（如历史上的 CVE-2017-1000364、CVE-2019-19057）被利用；
• ✅ 防止服务误绑定到废弃协议接口，降低信息泄露风险；
• ❌ 无法防御针对已启用协议（如 TCP/IP、IPv4/IPv6）的新漏洞，仍需及时更新内核与软件；
• ❌ 不替代防火墙策略、最小权限、服务隔离等核心安全实践。