Linux防火墙配置主要通过firewalld或iptables实现。CentOS 7及以上默认使用firewalld，Debian系多用iptables。firewalld支持区域管理，配置动态生效，常用命令包括启动服务（systemctl start firewalld）、查看状态（firewall-cmd --state）、开放端口（--add-port=80/tcp）、重载规则（--reload）和查看规则（--list-all）。iptables为传统工具，直接操作内核Netfilter，需手动添加规则链，如允许回环、已建立连接、指定端口（如22、80），并设置默认策略DROP，最后保存规则（service iptables save或netfilter-persistent save）。桌面环境推荐firewalld，精细控制场景选用iptables，生产环境建议结合fail2ban提升安全，远程配置时应设恢复机制防误锁。掌握两者基本用法可有效构建系统网络防线。
Linux系统中配置防火防火墙规则，主要是通过iptables或firewalld工具实现。不同发行版默认使用的工具有所区别，比如CentOS 7及以上版本默认使用firewalld，而一些旧版本或Debian系系统仍常用iptables。下面介绍两种主流方式的实用配置方法。
使用firewalld配置防火墙规则
firewalld是动态管理防火墙的服务，支持区域（zone）概念，便于按网络环境分类管理规则。
1. 启动并启用firewalld服务：
sudo systemctl start firewalldsudo systemctl enable firewalld
2. 查看当前状态和默认区域：
sudo firewall-cmd --statesudo firewall-cmd --get-default-zone
3. 开放指定端口：
sudo firewall-cmd --permanent --add-port=80/tcpsudo firewall-cmd --permanent --add-service=http
–permanent参数表示永久生效，否则重启后失效。
4. 重新加载配置使更改生效：
sudo firewall-cmd --reload5. 查看已添加的规则：
sudo firewall-cmd --list-all适用于Web服务器、数据库等常见服务的快速放行，推荐在桌面或服务器环境中使用。
使用iptables配置防火墙规则
iptables是Linux传统的包过滤工具，功能强大且直接操作内核Netfilter模块。
1. 查看当前规则：
2. 允许本地回环接口通信：
sudo iptables -A INPUT -i lo -j ACCEPT3. 允许已建立的连接通过：
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT4. 开放特定端口（如SSH、HTTP）：
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPTsudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
5. 拒绝其他所有入站连接：
sudo iptables -P INPUT DROP注意：设置默认DROP策略前确保已放行必要端口，避免断开SSH连接。
6. 保存规则（以CentOS为例）：
sudo service iptables saveDebian/Ubuntu需安装iptables-persistent：
sudo apt-get install iptables-persistentsudo netfilter-persistent save
常见应用场景建议
实际使用中可根据需求灵活选择工具：
- 桌面或快速部署场景优先用firewalld，命令简洁，支持热更新。
- 需要精细控制数据包处理流程时，使用iptables更合适。
- 生产环境建议结合fail2ban等工具增强安全性。
- 配置远程访问规则时，务必先测试或设置定时恢复机制，防止误锁。
基本上就这些。掌握firewalld和iptables的基本用法，能有效提升系统的网络防护能力。根据系统环境选择合适的方式，合理规划出入站规则，是保障安全的第一道防线。
