一、防火墙基础概念

Linux防火墙本质上是一个网络流量过滤器，它根据预定义的规则允许或阻止数据包通过系统。理解以下核心概念至关重要：

• 链(Chains)：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
• 表(Tables)：filter(默认)、nat、mangle
• 规则(Rules)：匹配条件和目标动作的组合

二、iptables防火墙配置

作为传统的防火墙工具，iptables提供了精细的流量控制能力。

1. 基本命令格式

iptables [-t 表名] 命令选项 [链名] [规则号] [匹配条件] [-j 目标动作]

2. 常用配置示例

# 查看当前规则
iptables -L -n -v

# 允许SSH连接(22端口)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 阻止特定IP
iptables -A INPUT -s 192.168.1.100 -j DROP

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 默认策略(拒绝所有输入)
iptables -P INPUT DROP

3. 保存规则

规则默认不会永久保存，需要额外操作：

# Debian/Ubuntu
iptables-save > /etc/iptables.rules

# CentOS/RHEL
service iptables save

三、firewalld防火墙配置

作为新一代防火墙管理工具，firewalld提供了更友好的动态管理方式。

1. 基本概念

• 区域(Zones)：预定义的信任级别(如public、home、internal等)
• 服务(Services)：预定义的应用服务(如http、ssh等)

2. 常用命令

# 查看当前状态
firewall-cmd --state

# 获取活动区域
firewall-cmd --get-active-zones

# 添加服务(永久生效)
firewall-cmd --permanent --add-service=http

# 开放端口
firewall-cmd --permanent --add-port=8080/tcp

# 重新加载配置
firewall-cmd --reload

四、高级配置技巧

1. 限速保护

iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

2. 端口转发

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

3. 日志记录

iptables -A INPUT -j LOG --log-prefix "IPTABLES_DROPPED: "

五、安全最佳实践

• 采用最小权限原则，只开放必要的端口
• 定期审核防火墙规则
• 结合fail2ban等工具增强防护
• 测试规则变更前先备份现有配置
• 考虑使用专用防火墙设备增强保护