防火墙配置：掌握 iptables、firewalld 等工具的使用与管理

防火墙配置：掌握 iptables、firewalld 等工具的使用与管理

在现代服务器安全体系中，防火墙是最基础、最关键的安全屏障之一。无论是传统的iptables，还是更现代的firewalld，都承担着“限制访问、减少攻击面、保护系统”的核心职责。

本文将从以下几个方面展开：

• iptables 与 firewalld 的区别与适用场景
• iptables 常用规则与管理方法
• firewalld 的区域、服务与端口管理
• 企业级防火墙最佳实践

---

1. iptables 与 firewalld 的区别

项目	iptables	firewalld
工作方式	静态规则表	动态规则管理
配置难度	较高	较低
是否支持热更新	❌ 重载会中断连接	✔ 支持动态更新
管理方式	命令行规则	区域（zone）+ 服务（service）
适用场景	高度自定义、精细控制	日常运维、快速配置

总结：

• 需要精细控制 → 用iptables
• 需要快速管理、动态更新 → 用firewalld

---

2. iptables 基础与常用配置

iptables 基于表（table）和链（chain）工作：

• filter：默认表，用于过滤流量
• nat：地址转换（DNAT/SNAT）
• mangle：修改数据包
• raw：绕过连接跟踪

常用链：

• INPUT：进入本机的流量
• OUTPUT：从本机发出的流量
• FORWARD：转发流量

---

2.1 查看当前规则

iptables -L -n -v

---

2.2 放行常用端口

放行 SSH（22）

iptables -A INPUT -p tcp --dport22-j ACCEPT

放行 HTTP/HTTPS

iptables -A INPUT -p tcp -m multiport --dports80,443-j ACCEPT

---

2.3 拒绝所有其他流量（默认策略）

iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT

---

2.4 允许本地回环与已建立连接

iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

---

2.5 保存规则

CentOS 7 及以下：

serviceiptables save

Ubuntu：

iptables-save>/etc/iptables.rules

---

3. firewalld 使用与管理

firewalld 是基于区域（zone）的动态防火墙，支持热更新，不会中断现有连接。

---

3.1 常用命令

查看状态

systemctl status firewalld

启动/停止

systemctl start firewalld systemctlenablefirewalld

---

3.2 区域（Zone）概念

常见区域：

区域	说明
public	默认区域，允许最少服务
internal	内网环境
trusted	信任所有流量（慎用）
drop	丢弃所有流量

查看当前区域：

firewall-cmd --get-active-zones

---

3.3 开放端口

开放 80 端口

firewall-cmd --zone=public --add-port=80/tcp --permanent firewall-cmd --reload

开放多个端口

firewall-cmd --add-port=3000-3010/tcp --permanent

---

3.4 开放服务（推荐方式）

firewalld 内置服务定义（如 ssh、http、https）。

开放 HTTP 服务

firewall-cmd --add-service=http --permanent firewall-cmd --reload

查看所有服务：

firewall-cmd --get-services

---

3.5 移除端口或服务

firewall-cmd --remove-port=80/tcp --permanent firewall-cmd --remove-service=http --permanent firewall-cmd --reload

---

3.6 允许特定 IP 访问

仅允许某 IP 访问 SSH

firewall-cmd --add-rich-rule='rule family="ipv4" source address="1.2.3.4" port port="22" protocol="tcp" accept'--permanent

---

4. iptables 与 firewalld 的组合使用建议

• firewalld 是 iptables 的上层管理工具
• 不建议同时启用两者，否则规则冲突难以排查
• 若使用 firewalld，应关闭 iptables 服务

---

5. 企业级防火墙最佳实践

5.1 最小暴露面原则

• 只开放业务必须端口
• 禁用所有默认服务
• 定期审计端口暴露情况

---

5.2 使用白名单策略

• SSH 仅允许固定 IP 登录
• 管理后台仅允许内网访问

---

5.3 分环境管理

环境	策略
生产	严格白名单
测试	适度放开
开发	内网访问即可

---

5.4 日志与审计

• 定期查看防火墙日志
• 监控异常访问（如暴力破解）
• 配合 fail2ban 等工具自动封禁恶意 IP

---

6. 总结

掌握 iptables 与 firewalld，是系统安全加固的基础能力：

• iptables：适合精细化控制
• firewalld：适合动态管理与日常运维
• 最小暴露面 + 白名单 + 审计是企业级最佳实践

通过合理配置防火墙，可以显著降低攻击面，提升系统整体安全性。