Google Cloud: приходится вручную перезапускать ufw — что делать?

Как понимаю это не продакшин с ответственностью, не парься - добавь в кронтаб

@reboot ufw disable && ufw --force enable

Ну а по хоршему, смотри iptables -L -t nat, до и после, недостающее добавь

Ну а по хоршему, смотри iptables -L -t nat, до и после, недостающее добавь

Вывод команды iptables -L -t nat одинаковый.

добавь в кронтаб

Добавил в /etc/crontab - не помогло.

Почему вообще не запускается автоматом? Ведь ufw запущен, какой смысл его перезапускать?

Сравни sysctl -a сразу после перезагрузки и после принудительного включения ufw

Почему вообще не запускается автоматом? Ведь ufw запущен, какой смысл его перезапускать?

Есть такие сервисы, которые непосредственно в процессе своей работы добавляют/меняют правила netFilter - например, Docker. В этом случае пользоваться ufw (или там csf) без соответствующей подстройки уже не безопасно. Например, перезапуск csf (это аналог ufw) просто трет все докеровские правила в netFilter. Ну и наоборот - другой сервис может что-то подпортить в логике работы фаервольного фронтенда (типа ufw, csf), расчитанного на монопольное управление правилами netFilter.

Да, спасибо, разница очевидна:

< net.ipv4.conf.all.accept_redirects = 1
---
> net.ipv4.conf.all.accept_redirects = 0
254c254
< net.ipv4.conf.all.forwarding = 0
---
> net.ipv4.conf.all.forwarding = 1
258c258
< net.ipv4.conf.all.log_martians = 1
---
> net.ipv4.conf.all.log_martians = 0
285c285
< net.ipv4.conf.default.forwarding = 0
---
> net.ipv4.conf.default.forwarding = 1
289c289
< net.ipv4.conf.default.log_martians = 1
---
> net.ipv4.conf.default.log_martians = 0
316c316
< net.ipv4.conf.ens4.forwarding = 0
---
> net.ipv4.conf.ens4.forwarding = 1
347c347
< net.ipv4.conf.lo.forwarding = 0
---
> net.ipv4.conf.lo.forwarding = 1
385c385
< net.ipv4.ip_forward = 0
---
> net.ipv4.ip_forward = 1

Внес в /etc/sysctl.conf значение net.ipv4.ip_forward=1 и все заработало. В инструкции это значение прадлагают внести в /etc/ufw/sysctl.conf