Linux防火墙规则如何写？_Linuxiptables和firewalld配置实例

推荐使用firewalld的原因有三：1.firewalld支持动态修改规则，无需中断现有连接；2.它通过区域（zones）管理不同网络接口和信任级别，简化规则逻辑；3.自动处理规则持久化，减少人为操作失误。相比iptables线性操作易出错且每次修改需刷新整个规则集，firewalld更适合现代linux环境，尤其适用于服务器和桌面系统。

在Linux系统中，编写防火墙规则核心在于明确哪些网络流量被允许，哪些被拒绝。这通常涉及到两种主流工具：

iptables

firewalld

解决方案

编写Linux防火墙规则，无论是基于

iptables

firewalld

使用

iptables

iptables

1. 设置默认策略（Deny All原则）： 这是最重要的一步，确保未明确允许的流量都被拒绝。

   

   # 允许已建立的连接和相关流量
   iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
   iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
   # 默认拒绝所有传入和转发流量
   iptables -P INPUT DROP
   iptables -P FORWARD DROP
   # 默认允许所有传出流量（可根据需求修改）
   iptables -P OUTPUT ACCEPT

   注意： 在实际操作中，先设置默认DROP策略可能会导致远程连接中断，务必先确保允许SSH等管理端口，或在本地控制台操作。

2. 允许特定服务/端口：

   • 允许SSH（端口22）传入：

     iptables -A INPUT -p tcp --dport 22 -j ACCEPT

   • 允许HTTP（端口80）和HTTPS（端口443）传入：

     iptables -A INPUT -p tcp --dport 80 -j ACCEPT
     iptables -A INPUT -p tcp --dport 443 -j ACCEPT

   • 允许Loopback接口（本机通信）：

     iptables -A INPUT -i lo -j ACCEPT
     iptables -A OUTPUT -o lo -j ACCEPT

   • 阻止特定IP地址访问：

     iptables -A INPUT -s 192.168.1.100 -j DROP

3. 保存规则：

   iptables

   的规则默认是临时的，重启后会丢失。需要使用特定工具保存。
   • Debian/Ubuntu:

     sudo netfilter-persistent save

     或

     sudo iptables-save > /etc/iptables/rules.v4

   • CentOS/RHEL:

     sudo service iptables save

     或

     sudo iptables-save > /etc/sysconfig/iptables

使用

firewalld

firewalld

1. 查看当前状态和区域：

   firewall-cmd --state
   firewall-cmd --get-active-zones
   firewall-cmd --zone=public --list-all

2. 允许服务或端口：

   firewalld

   推荐使用服务名而非端口号，因为它包含了协议和端口的定义。
   • 允许SSH服务（在public区域）：

     firewall-cmd --zone=public --add-service=ssh --permanent
     firewall-cmd --reload

   • 允许HTTP和HTTPS服务：

     firewall-cmd --zone=public --add-service=http --permanent
     firewall-cmd --zone=public --add-service=https --permanent
     firewall-cmd --reload

   • 允许特定端口（例如TCP 8080）：

     firewall-cmd --zone=public --add-port=8080/tcp --permanent
     firewall-cmd --reload

3. 阻止特定IP或IP范围：

   firewalld

   也可以通过Rich Rules或Source-based zones来做更复杂的控制。
   

   讯飞智作-虚拟主播

   讯飞智作是一款集AI配音、虚拟人视频生成、PPT生成视频、虚拟人定制等多功能的AI音视频生产平台。已广泛应用于媒体、教育、短视频等领域。

   下载
   • 使用Rich Rule阻止特定IP：

     firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" reject' --permanent
     firewall-cmd --reload

4. 移除规则： 将

   add-

   替换为

   remove-

   。

   firewall-cmd --zone=public --remove-service=ssh --permanent
   firewall-cmd --reload

为什么在现代Linux系统中更推荐使用firewalld？

从我个人的经验来看，

firewalld

iptables

iptables

firewalld

public

internal

trusted

firewalld

iptables

firewalld

iptables

firewalld

编写防火墙规则时，如何避免常见的配置陷阱？

编写防火墙规则，尤其是初次接触时，很容易踩到一些坑。最常见的，也是最让人抓狂的，就是把自己锁在服务器外面。想象一下，你远程SSH到一台服务器，敲下

iptables -P INPUT DROP

另一个常见的陷阱是规则顺序的误解。

iptables

DROP

ACCEPT

对于

firewalld

--permanent

--permanent

--permanent

--reload

最后，过度依赖默认配置也是一个隐患。虽然

firewalld

public

如何有效测试和验证防火墙规则的有效性？

测试和验证防火墙规则是部署过程中不可或缺的一步，这能帮你避免上线后的“惊喜”。我通常会采用以下几个策略：

首先，分步测试。不要一次性应用所有规则，尤其是当规则集比较复杂的时候。可以先应用最核心的默认拒绝策略和必要的服务开放规则，然后逐步添加其他规则，每添加一部分就进行测试。

其次，使用不同的客户端和网络环境进行测试。例如，如果你的服务器对外提供Web服务，尝试从你的办公网络、家庭网络甚至手机热点去访问，模拟不同的外部访问路径。如果服务有内部和外部访问之分，确保内部客户端可以访问，外部客户端受限。

第三，利用网络诊断工具。

• ping

  ：测试基本的网络连通性。如果连

  ping

  都不通，那肯定有问题。

• telnet

  或

  nc

  (netcat)：这是测试特定端口是否开放的利器。例如，

  telnet your_server_ip 22

  可以测试SSH端口是否开放。如果连接成功，说明防火墙允许了；如果连接超时或拒绝，则可能被防火墙阻止。

• nmap

  ：一个强大的网络扫描工具，可以用来发现服务器开放的端口。从外部网络对你的服务器进行

  nmap

  扫描，可以直观地看到哪些端口是开放的，这与你期望的规则是否一致。例如，

  nmap -sT your_server_ip

  可以进行TCP连接扫描。

• ss

  或

  netstat

  ：在服务器本地查看哪些服务正在监听哪些端口，以及当前的网络连接状态。这可以帮助你确认服务本身是否正常启动，以及防火墙规则是否正确地允许了这些服务的入站连接。

第四，检查防火墙日志。许多防火墙系统可以配置日志记录被拒绝或被接受的连接。通过查看这些日志，你可以发现哪些流量被阻止了，以及阻止的原因，这对于调试非常有用。

最后，做好回滚计划。在生产环境中，任何防火墙规则的修改都应该有快速回滚的方案。这意味着在应用新规则之前，你可能需要备份旧规则，或者知道如何快速地清空所有规则（例如

iptables -F