快捷導(dǎo)航

Linux系統(tǒng)下防火墻配置的詳細(xì)指南

更新時(shí)間：2025年07月01日 10:29:30 作者：獨(dú)隅

防火墻是一種網(wǎng)絡(luò)安全設(shè)備,它能夠：監(jiān)控和過(guò)濾進(jìn)出網(wǎng)絡(luò)的流量阻止不安全的連接保護(hù)計(jì)算機(jī)和網(wǎng)絡(luò)免受未授權(quán)訪問(wèn)創(chuàng)建一個(gè)安全邊界簡(jiǎn)單來(lái)說(shuō),防火墻就像是電腦的"安全門衛(wèi)",決定誰(shuí)能進(jìn)、誰(shuí)能出,本文給大家介紹了Linux如何配置防火墻,需要的朋友可以參考下

以下是 Linux 系統(tǒng)下防火墻配置的詳細(xì)指南，涵蓋 iptables、ufw、firewalld 等主流工具的使用方法和實(shí)戰(zhàn)場(chǎng)景！

1. 防火墻工具對(duì)比

工具	適用場(chǎng)景	特點(diǎn)
iptables	傳統(tǒng) Linux 系統(tǒng)（如 CentOS/RHEL）	功能強(qiáng)大，規(guī)則靈活，但配置復(fù)雜
ufw	Ubuntu/Debian 等新發(fā)行版	圖形化界面，命令簡(jiǎn)潔，適合新手
firewalld	RHEL/CentOS 8+/Fedora	基于服務(wù)的動(dòng)態(tài)防火墻，支持 NAT 和端口轉(zhuǎn)發(fā)

2. iptables 基礎(chǔ)配置

2.1 查看規(guī)則

iptables -L -n -v  # 查看所有規(guī)則（-n 不解析域名，-v 顯示詳細(xì)信息）

2.2 清空規(guī)則

iptables -F  # 清空所有規(guī)則
iptables -t nat -F  # 清空 NAT 表

2.3 基礎(chǔ)規(guī)則示例

# 允許 SSH（端口 22）入站
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允許 HTTP/HTTPS（端口 80/443）入站
iptables -A INPUT -p tcp --dport 80,443 -j ACCEPT

# 拒絕其他所有入站流量（默認(rèn)策略）
iptables -P INPUT DROP

# 保存規(guī)則（根據(jù)系統(tǒng)選擇以下命令）
iptables-save | sudo tee /etc/sysconfig/iptables  # CentOS/RHEL
iptables-save > /etc/iptables/rules.v4          # Ubuntu/Debian

2.4 高級(jí)功能

# 設(shè)置 NAT 規(guī)則（端口轉(zhuǎn)發(fā)）
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination :80
iptables -t nat -A POSTROUTING -j MASQUERADE

# 限制 IP 訪問(wèn)頻率（每分鐘最多 10 次）
iptables -I INPUT -p tcp --dport 22 -m limit --limit 10/min -j ACCEPT

3. ufw（Uncomplicated Firewall）配置

3.1 啟用與禁用

sudo ufw enable  # 啟用防火墻
sudo ufw disable # 禁用防火墻

3.2 規(guī)則配置

# 開放端口（默認(rèn)策略為拒絕）
sudo ufw allow 22/tcp  # SSH
sudo ufw allow 80,443/tcp  # HTTP/HTTPS

# 拒絕特定 IP（如 192.168.1.100）
sudo ufw deny from 192.168.1.100 to any

# 刪除規(guī)則
sudo ufw delete allow 22/tcp

# 查看規(guī)則
sudo ufw status numbered  # 顯示帶序號(hào)的規(guī)則

3.3 高級(jí)配置

# 限制 SSH 最大連接數(shù)
sudo ufw limit 22/tcp  # 默認(rèn)：每分鐘 60 次，突發(fā) 10 次

# 設(shè)置默認(rèn)策略（優(yōu)先級(jí)最低）
sudo ufw default deny incoming  # 入站默認(rèn)拒絕
sudo ufw default allow outgoing   # 出站默認(rèn)允許

4. firewalld 配置

4.1 啟用與禁用

sudo systemctl start firewalld       # 啟動(dòng)服務(wù)
sudo systemctl enable firewalld      # 設(shè)置開機(jī)自啟
sudo systemctl stop firewalld        # 停止服務(wù)

4.2 查看與修改規(guī)則

# 查看所有活動(dòng)區(qū)域規(guī)則
sudo firewall-cmd --list-all

# 添加開放端口（永久生效）
sudo firewall-cmd --zone=public --add-port=80/tcp --permanent

# 臨時(shí)添加規(guī)則（重啟后失效）
sudo firewall-cmd --zone=public --add-port=80/tcp

# 刪除規(guī)則
sudo firewall-cmd --zone=public --remove-port=80/tcp --permanent

4.3 高級(jí)功能

# 設(shè)置服務(wù)（預(yù)定義規(guī)則集）
sudo firewall-cmd --zone=public --add-service=http --permanent

# 添加富規(guī)則（復(fù)雜匹配）
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'

# 啟用 NAT 和路由
sudo firewall-cmd --zone=public --add-masquerade --permanent

5. 防火墻策略設(shè)計(jì)原則

最小化開放端口：僅開放必要服務(wù)（如 SSH、HTTP）。
默認(rèn)拒絕策略：未明確允許的流量應(yīng)默認(rèn)拒絕。
分層防御：結(jié)合內(nèi)核防火墻（iptables）和 service-level 防火墻（firewalld）。
日志記錄：監(jiān)控可疑流量（如 --log 選項(xiàng)）。
定期審計(jì)：清理過(guò)期規(guī)則，更新策略。

6. 實(shí)戰(zhàn)場(chǎng)景

場(chǎng)景 1：Web 服務(wù)器防火墻配置

# 使用 ufw
sudo ufw allow 80,443/tcp
sudo ufw default deny incoming
sudo ufw enable

# 使用 firewalld
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent

場(chǎng)景 2：SSH 安全加固

# 限制 IP 白名單（如允許 192.168.1.0/24 網(wǎng)段）
sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP

# 使用 fail2ban 防止暴力破解
sudo apt install fail2ban
sudo systemctl start fail2ban