Linux防火墙配置全攻略：从入门到精通

在当今网络安全威胁日益严峻的环境下，配置一个可靠的防火墙是每个Linux系统管理员必备的技能。本文将全面介绍Linux防火墙的配置方法，涵盖iptables和firewalld两种主流工具，帮助您构建坚不可摧的系统防线。

一、Linux防火墙基础知识

Linux系统自诞生以来就内置了强大的防火墙功能，主要通过netfilter框架实现。目前主要有两种配置方式：

iptables：传统的命令行工具，适用于所有Linux发行版
firewalld：Red Hat系发行版(如CentOS/RHEL)默认的动态防火墙管理器

无论选择哪种工具，基本工作原理都是通过定义规则来控制网络流量进出系统。

二、iptables防火墙配置详解

1. 基本命令结构

iptables [-t 表名] 命令选项 [链名] [规则条件] [-j 目标动作]

2. 常用操作示例

查看当前规则：

iptables -L -n -v

允许SSH连接(22端口)：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

禁止特定IP访问：

iptables -A INPUT -s 192.168.1.100 -j DROP

3. 规则保存与恢复

在Debian/Ubuntu上：

iptables-save > /etc/iptables.rules

在Red Hat/CentOS上：

service iptables save

三、firewalld防火墙配置详解

1. 基本概念

区域(zone)：定义信任级别的网络环境
服务(service)：预定义的端口/协议组合
端口(port)：直接指定开放的端口号

2. 常用操作

查看当前配置：

firewall-cmd --list-all

开放HTTP服务：

firewall-cmd --permanent --add-service=http

开放自定义端口：

firewall-cmd --permanent --add-port=8080/tcp

3. 配置重载

每次修改后需要重载才能使更改生效：

firewall-cmd --reload

四、高级防火墙配置技巧

1. 限制连接速率

防止DDOS攻击：

iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

2. 端口转发

将外部8080端口转发到内部80端口：

iptables -t nat -A PREROUTING -p tcp --dport 8080 -j REDIRECT --to-port 80

3. 日志记录

记录被拒绝的连接：

iptables -A INPUT -j LOG --log-prefix "IPTABLES-DROPPED: "

五、最佳实践建议

默认拒绝所有流量，只开放必要的端口
定期审查防火墙规则，删除不再需要的条目
结合fail2ban等工具增强防护能力
重要变更前备份现有规则
考虑使用图形化工具如ufw(Ubuntu)简化管理

通过本文的学习，您应该已经掌握了Linux防火墙配置的核心技能。记住，网络安全是一个持续的过程，需要定期维护和更新您的防火墙配置。

常见问题解答

Q：如何恢复误删的防火墙规则？
A：如果有备份，可以从备份恢复；否则需要手动重新配置。

Q：iptables和firewalld可以同时使用吗？
A：不建议同时使用，可能会产生规则冲突。

Q：如何测试防火墙规则是否生效？
A：可以使用nmap或telnet从外部测试端口状态。