防火墙是Linux系统中保障网络安全的核心组件，通过合理配置可以有效抵御外部攻击、控制网络流量并保护敏感数据，本文将深入解析Linux防火墙的配置命令，涵盖iptables与firewalld两大主流工具,帮助您构建坚固的网络安全防线。
Linux防火墙基础：iptables与firewalld
Linux防火墙主要基于Netfilter框架实现，用户可通过iptables或firewalld进行管理，iptables是传统命令行工具，直接操作规则链；firewalld则是动态管理器，支持运行时更新且配置更直观,两者各有优势：
- iptables：适合精细控制、脚本化部署及老旧系统。
- firewalld：推荐用于现代发行版（如RHEL/CentOS 8+、Fedora）,支持区域概念与动态规则。
iptables核心配置命令详解
iptables规则围绕“表-链-规则”结构展开,常用命令如下：
规则查看与清除
# 查看所有规则（详细） iptables -L -n -v # 清除所有规则（慎用） iptables -F # 删除用户自定义链 iptables -X # 重置计数器 iptables -Z
基础规则配置示例
# 允许本地回环通信 iptables -A INPUT -i lo -j ACCEPT # 允许已建立连接的数据包 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 允许SSH访问（22端口） iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 默认拒绝所有输入流量 iptables -P INPUT DROP
高级规则策略
# 限制ICMP请求（防Ping攻击） iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT # 端口转发（将80端口转发到8080） iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080 # IP黑名单 iptables -A INPUT -s 192.168.1.100 -j DROP
firewalld配置命令详解
firewalld通过区域（zone）管理流量,常用操作：
区域与服务管理
# 查看默认区域 firewall-cmd --get-default-zone # 永久开放HTTP服务 firewall-cmd --permanent --add-service=http # 临时开放端口 firewall-cmd --add-port=8080/tcp # 重载配置 firewall-cmd --reload
高级功能示例
# 设置IP白名单 firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" accept' # 端口转发 firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=8080 # 阻止特定MAC地址 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source mac="00:11:22:33:44:55" reject'
专业配置策略与安全建议
- 最小权限原则：仅开放必要端口,默认策略设为DROP。
- 日志监控：记录丢弃数据包以便分析攻击。
iptables -A INPUT -j LOG --log-prefix "IPTABLES_DROP: "
- 防暴力破解：结合fail2ban动态封锁恶意IP。
- IPv6防护：同步配置ip6tables,避免协议漏洞。
- 定期备份规则：
iptables-save > /etc/iptables-backup.rules firewall-cmd --runtime-to-permanent
故障排查与优化技巧
- 使用
tcpdump或Wireshark分析被拦截流量。 - 通过
conntrack检查连接状态。 - 针对高并发场景调整连接跟踪表大小：
sysctl -w net.netfilter.nf_conntrack_max=1000000
构建动态安全防御体系
Linux防火墙配置绝非一劳永逸，随着网络威胁的演变，管理员需结合入侵检测系统（如Suricata）、定期安全审计及自动化脚本（如Ansible规则部署），形成多层防御，建议在测试环境验证规则后，再应用于生产系统，并持续关注CVE漏洞更新,及时调整策略。
您在实际配置中遇到过哪些防火墙管理难题？欢迎分享您的案例或疑问,我们将共同探讨解决方案！
原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/2235.html
