Linux云服务器防火墙配置全攻略：从基础到高级防护

更新时间：2023年9月15日 | 阅读时长：约8分钟

为什么云服务器必须配置防火墙？

在数字化时代，云服务器安全防护已成为每个运维人员的必修课。据统计，未配置防火墙的Linux服务器在公网环境中的平均存活时间仅有4小时就会被攻击者发现并尝试入侵。防火墙作为网络安全的第一道防线，能够有效过滤恶意流量，阻止未授权访问，是保护服务器数据安全的基石。

⚠️ 重要提示：即使是内网服务器也建议配置防火墙，60%的数据泄露事件源于内部网络横向移动攻击

主流Linux防火墙解决方案对比

工具名称	适用系统	特点	学习曲线
iptables	所有Linux发行版	最基础、最灵活	陡峭
firewalld	RHEL/CentOS 7+	动态管理，zone概念	中等
UFW	Ubuntu/Debian	用户友好，简化配置	平缓

实战：三种防火墙配置方法

方法一：使用iptables配置基础规则

查看当前规则：sudo iptables -L -n -v
允许SSH连接：sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
设置默认策略：
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT
保存规则（根据系统不同）：
Ubuntu: sudo iptables-save > /etc/iptables.rules
CentOS: service iptables save

💡 专业技巧：使用iptables-persistent包可以自动加载保存的规则

方法二：firewalld高级配置

# 查看活动zone
sudo firewall-cmd --get-active-zones

# 将eth0接口加入public zone
sudo firewall-cmd --zone=public --add-interface=eth0 --permanent

# 开放HTTP/HTTPS端口
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent

# 限制SSH访问IP
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept' --permanent

# 重载配置
sudo firewall-cmd --reload

方法三：UFW极简配置（推荐新手）

UFW(Uncomplicated Firewall)是Ubuntu上的防火墙简化工具：

# 启用UFW
sudo ufw enable

# 允许SSH
sudo ufw allow ssh

# 限制特定IP访问SSH
sudo ufw allow from 192.168.1.100 to any port 22

# 拒绝所有其他入站
sudo ufw default deny incoming

# 查看状态
sudo ufw status numbered

高级防护策略

防暴力破解：使用fail2ban配合防火墙自动封禁恶意IP
DDOS防护：配置connlimit模块限制单个IP连接数
端口敲门：实现隐藏服务端口的安全访问机制
日志监控：将防火墙日志发送到SIEM系统分析

真实案例：配置抗DDOS规则

# 限制SYN洪水攻击
sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

# 限制单个IP的新连接
sudo iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 30 -j DROP

# 保护SSH不被扫描
sudo iptables -A INPUT -p tcp --dport 22 -m recent --name ssh --update --seconds 60 --hitcount 4 -j DROP

常见问题排查

Q：配置后无法远程连接怎么办？: A：通过云控制台使用VNC连接，检查规则是否错误，特别注意默认策略设置
Q：如何测试防火墙是否生效？: A：使用nmap从外部扫描：nmap -Pn -p 1-65535 你的服务器IP
Q：规则太多导致管理困难？: A：考虑使用防火墙管理工具如Firewall Builder，或将规则按功能分组到不同chain

最佳实践建议

配置Linux云服务器防火墙时，建议遵循最小权限原则：

先设置默认拒绝所有(DROP)策略
仅开放业务必需的端口
对管理端口(如SSH)实施IP白名单限制
定期审计和优化防火墙规则
重要变更前备份当前规则

记住：防火墙配置不是一劳永逸的工作，需要根据业务变化和威胁情报持续更新防护策略。