Linux防火墙配

                                            

Linux防火墙配置全指南：从入门到精通


在网络安全日益重要的今天，配置好Linux系统的防火墙是每个系统管理员必备的技能。本文将详细介绍iptables和firewalld这两种主流防火墙工具的配置方法，帮助您构建坚固的网络安全防线。



一、防火墙基础概念
Linux防火墙本质上是一个网络流量过滤器，它根据预定义的规则允许或阻止数据包通过系统。理解以下核心概念至关重要：

链(Chains)：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
表(Tables)：filter(默认)、nat、mangle
规则(Rules)：匹配条件和目标动作的组合




二、iptables防火墙配置
作为传统的防火墙工具，iptables提供了精细的流量控制能力。

1. 基本命令格式
iptables [-t 表名] 命令选项 [链名] [规则号] [匹配条件] [-j 目标动作]


2. 常用配置示例
# 查看当前规则
iptables -L -n -v

# 允许SSH连接(22端口)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 阻止特定IP
iptables -A INPUT -s 192.168.1.100 -j DROP

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 默认策略(拒绝所有输入)
iptables -P INPUT DROP


3. 保存规则
规则默认不会永久保存，需要额外操作：
# Debian/Ubuntu
iptables-save > /etc/iptables.rules

# CentOS/RHEL
service iptables save




三、firewalld防火墙配置
作为新一代防火墙管理工具，firewalld提供了更友好的动态管理方式。

1. 基本概念

区域(Zones)：预定义的信任级别(如public、home、internal等)
服务(Services)：预定义的应用服务(如http、ssh等)


2. 常用命令
# 查看当前状态
firewall-cmd --state

# 获取活动区域
firewall-cmd --get-active-zones

# 添加服务(永久生效)
firewall-cmd --permanent --add-service=http

# 开放端口
firewall-cmd --permanent --add-port=8080/tcp

# 重新加载配置
firewall-cmd --reload




四、高级配置技巧

1. 限速保护
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT


2. 端口转发
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080


3. 日志记录
iptables -A INPUT -j LOG --log-prefix "IPTABLES_DROPPED: "




五、安全最佳实践

采用最小权限原则，只开放必要的端口
定期审核防火墙规则
结合fail2ban等工具增强防护
测试规则变更前先备份现有配置
考虑使用专用防火墙设备增强保护




通过本文的详细讲解，您应该已经掌握了Linux防火墙配置的核心方法。无论是选择传统的iptables还是现代的firewalld，关键在于理解其工作原理并制定合理的规则策略。记住，良好的防火墙配置是网络安全的第一道防线，值得投入时间精心规划。