服务器防火墙设置的核心在于明确业务需求，缩小暴露面，并遵循最小权限原则。 无论你管理的是单台服务器还是集群，防火墙策略直接决定了系统的安全边界，配置不当可能让攻击者长驱直入，而设置过严又会影响正常业务，下面从实操角度拆解整个流程，覆盖主流操作系统、常见误区和选型考量。
服务器防火墙怎么设置？分步实操指南
设置前先摸清家底：记录服务器上运行的所有服务及其端口，确认网络拓扑中哪些IP需要对外开放，建议先做一份端口清单，然后按“默认拒绝，按需放行”的思路配置。
准备工作：备份与检测
- 使用命令行备份当前防火墙规则,防止误操作导致失联，Linux下可用
iptables-save > /backup/iptables.rules，Windows下通过PowerShell导出netsh advfirewall export。 - 在测试环境验证规则,或准备带外管理通道（如IPMI、iDRAC）以备规则锁死时恢复。
- 确认服务器时间同步,防火墙日志时间戳混乱会干扰排错。
Linux服务器防火墙配置（以iptables和firewalld为例）
多数情况下，Linux服务器默认使用iptables或firewalld，配置前先停用冲突的防火墙工具。
-
iptables（适用于CentOS 6/早期系统）
设置默认策略：iptables -P INPUT DROP
放行SSH：iptables -A INPUT -p tcp --dport 22 -j ACCEPT
保存规则：service iptables save
注意：远程操作时先放行SSH再执行默认DROP，否则立即断连。 -
firewalld（适用于CentOS 7+/RHEL 8+）
查看默认区域：firewall-cmd --get-default-zone
放行HTTP/HTTPS：firewall-cmd --permanent --add-service=http --add-service=https
重载生效：firewall-cmd --reload
建议将默认区域改为drop，然后按需添加服务，如firewall-cmd --set-default-zone=drop。
业内专家指出，使用firewalld时优先通过--add-service而非--add-port，因为服务名称背后绑定了端口和协议，减少手动记忆出错概率。
Windows服务器防火墙配置
Windows Server自带的防火墙在“高级安全Windows Defender防火墙”中管理，操作路径：控制面板 → 管理工具 → 高级安全Windows Defender防火墙。
- 入站规则：默认阻止，创建规则时指定程序、端口或预定义服务。
- 出站规则：同样可以限制，但多数场景保留默认允许，仅对敏感服务器限制出站。
- 配置示例：允许远程桌面（3389）仅限特定IP，右键“入站规则”→“新建规则”→“端口”→“TCP 3389”→“允许连接”→勾选“仅允许来自以下IP地址”并输入白名单。
行业共识认为，Windows防火墙的“配置文件”功能（域/专用/公用）应合理利用，服务器网卡一般设为“专用”或“域”，避免公用配置的宽松规则生效。
服务器防火墙策略配置要点
规则不是越多越好,而是越精确越好，以下策略能覆盖相当一部分安全风险。
最小权限原则
- 只开放业务需要的端口,如Web服务器只开放80/443，数据库服务器只对应用服务器IP开放3306或1433。
- 管理端口（SSH、RDP）更换为高位端口，并用源IP白名单限制。
- 关闭ICMP回应（ping），避免被探测。
入站与出站分开控制
- 入站：严格限制，仅允许外部访问特定端口。
- 出站：多数攻击依赖回连，出站规则应默认阻止，仅允许DNS、NTP、更新服务器等必要外联。据统计，相当一部分勒索软件通过出站连接下载载荷，限制出站能阻断传播。
日志与监控
- 开启防火墙日志,记录被拒绝的包，Linux下
iptables -A INPUT -j LOG --log-prefix "DROP: "，Windows下在“高级安全”中启用日志记录。 - 日志文件定期轮转,避免写满磁盘；对接SIEM或告警系统，发现异常扫描及时响应。
服务器防火墙哪款好？主流方案对比
选择取决于服务器规模、运维能力和预算，没有绝对的最好，只有适合场景的方案。
| 方案 | 优势 | 不足 | 适用场景 |
|---|---|---|---|
| iptables | 轻量、灵活、性能高 | 配置复杂、语法难记 | 对性能要求高的Linux生产环境 |
| firewalld | 动态管理、支持区域 | 规则较多时性能略逊iptables | 大多数Linux发行版推荐 |
| ufw | 简单易用、适合新手 | 功能有限 | 个人或小团队管理的Ubuntu服务器 |
| Windows Defender防火墙 | 图形化、集成度高 | 大规模管理需配合GPO | Windows Server环境 |
| 云防火墙（安全组） | 无需维护、弹性扩展 | 无法控制主机内部流量 | 云服务器（AWS安全组、简米云安全组） |
| 硬件防火墙（如Fortinet） | 高性能、额外安全功能 | 成本高、需专业运维 | 大型企业核心数据中心 |
如何根据场景选择
- 中小企业单一服务器：使用操作系统内置防火墙（Linux用firewalld或ufw，Windows用自带防火墙）配合云平台安全组，成本低且够用。
- 多服务器集群：建议统一用云安全组做网络层隔离，主机内防火墙作为第二道防线。服务器防火墙价格方面，云安全组通常免费，仅按实例数量计费，而硬件防火墙起步价数千元。
- 需要IPS/IDS功能：硬件防火墙或云WAF更合适，操作系统的防火墙不擅长深度包检测。
服务器防火墙设置常见误区
- 只设入站，不设出站：出站规则缺失导致失陷后数据外泄或C2通信畅通。
- 规则顺序错误：iptables按顺序匹配，放行规则应放在拒绝规则之前；Windows防火墙允许规则优先级高于拒绝，但多条规则需注意冲突。
- 测试环境与生产环境混用：在开发机上调试后直接复制到生产，可能遗漏端口或包含宽松规则。
- 忘记永久保存：Linux下iptables规则重启后丢失，必须执行
service iptables save
iptables-persistent。
服务器防火墙设置与云安全组的关系
很多用户问“服务器防火墙怎么设置才安全？”，其实在云环境中，安全组是第一道门，服务器内部防火墙是第二道，两者配合能实现纵深防御，安全组控制子网级别流量，服务器防火墙控制主机级别流量，建议安全组只放行业务端口，并且源IP限制在负载均衡或CDN节点；主机防火墙再做一层精确控制，比如只允许运维人员IP访问管理端口。
服务器防火墙设置不是一次性工作,业务变更、版本升级、漏洞暴露都会要求调整规则，定期审查防火墙策略，清理过期规则，结合异常流量日志迭代优化，才能让安全边界持续有效。最小权限、默认拒绝、持续监控，这九个字能覆盖绝大多数场景的需求。
Q&A：服务器防火墙设置相关问题
服务器防火墙设置后网站打不开，怎么排查？
先确认防火墙是否阻止了HTTP/HTTPS端口，Linux下检查iptables -L -n是否放行80/443，Windows下检查入站规则是否有“万维网服务”或端口放行，临时关闭防火墙（不推荐）测试，如能访问则说明规则问题，同时检查云安全组是否放行对应端口，以及服务器监听地址是否为0.0.0.0。
服务器防火墙和云安全组有什么区别？
云安全组运行在虚拟化层,在流量进入服务器之前过滤；服务器防火墙运行在操作系统内部，过滤抵达主机后的流量，安全组无法控制同一VPC内两台服务器之间的内部流量（除非绑定不同安全组），而主机防火墙可以，最佳实践是两者都用：安全组做粗粒度控制，主机防火墙做细粒度补充。
服务器防火墙日志怎样查看攻击行为？
Linux下查看/var/log/messages或iptables日志，使用grep DROP /var/log/kern.log，Windows下在“事件查看器”→“Windows日志”→“安全”中筛选事件ID 5152（阻止连接），关注同一源IP的频繁被拒记录，通常代表扫描或攻击尝试，将日志导入ELK或Splunk等工具，设置阈值告警，能更快发现异常。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8%e9%98%b2%e7%81%ab%e5%a2%99%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae%ef%bc%8c%e6%9c%89%e5%93%aa%e4%ba%9b%e6%b3%a8%e6%84%8f%e4%ba%8b%e9%a1%b9%e5%91%a2%ef%bc%9f/
