Linux系統(tǒng)下防火墻配置的詳細(xì)指南
更新時間：2025年07月01日 10:29:30 作者：獨(dú)隅
防火墻是一種網(wǎng)絡(luò)安全設(shè)備,它能夠：監(jiān)控和過濾進(jìn)出網(wǎng)絡(luò)的流量阻止不安全的連接保護(hù)計(jì)算機(jī)和網(wǎng)絡(luò)免受未授權(quán)訪問創(chuàng)建一個安全邊界簡單來說,防火墻就像是電腦的"安全門衛(wèi)",決定誰能進(jìn)、誰能出,本文給大家介紹了Linux如何配置防火墻,需要的朋友可以參考下
以下是 Linux 系統(tǒng)下防火墻配置的詳細(xì)指南，涵蓋 iptables、ufw、firewalld 等主流工具的使用方法和實(shí)戰(zhàn)場景！
1. 防火墻工具對比
| 工具 | 適用場景 | 特點(diǎn) |
|---|---|---|
| iptables | 傳統(tǒng) Linux 系統(tǒng)（如 CentOS/RHEL） | 功能強(qiáng)大，規(guī)則靈活，但配置復(fù)雜 |
| ufw | Ubuntu/Debian 等新發(fā)行版 | 圖形化界面，命令簡潔，適合新手 |
| firewalld | RHEL/CentOS 8+/Fedora | 基于服務(wù)的動態(tài)防火墻，支持 NAT 和端口轉(zhuǎn)發(fā) |
2. iptables 基礎(chǔ)配置
2.1 查看規(guī)則
iptables -L -n -v # 查看所有規(guī)則（-n 不解析域名，-v 顯示詳細(xì)信息）
2.2 清空規(guī)則
iptables -F # 清空所有規(guī)則 iptables -t nat -F # 清空 NAT 表
2.3 基礎(chǔ)規(guī)則示例
# 允許 SSH（端口 22）入站 iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 允許 HTTP/HTTPS（端口 80/443）入站 iptables -A INPUT -p tcp --dport 80,443 -j ACCEPT # 拒絕其他所有入站流量（默認(rèn)策略） iptables -P INPUT DROP # 保存規(guī)則（根據(jù)系統(tǒng)選擇以下命令） iptables-save | sudo tee /etc/sysconfig/iptables # CentOS/RHEL iptables-save > /etc/iptables/rules.v4 # Ubuntu/Debian
2.4 高級功能
# 設(shè)置 NAT 規(guī)則（端口轉(zhuǎn)發(fā)） iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination :80 iptables -t nat -A POSTROUTING -j MASQUERADE # 限制 IP 訪問頻率（每分鐘最多 10 次） iptables -I INPUT -p tcp --dport 22 -m limit --limit 10/min -j ACCEPT
3. ufw（Uncomplicated Firewall）配置
3.1 啟用與禁用
sudo ufw enable # 啟用防火墻 sudo ufw disable # 禁用防火墻
3.2 規(guī)則配置
# 開放端口（默認(rèn)策略為拒絕） sudo ufw allow 22/tcp # SSH sudo ufw allow 80,443/tcp # HTTP/HTTPS # 拒絕特定 IP（如 192.168.1.100） sudo ufw deny from 192.168.1.100 to any # 刪除規(guī)則 sudo ufw delete allow 22/tcp # 查看規(guī)則 sudo ufw status numbered # 顯示帶序號的規(guī)則
3.3 高級配置
# 限制 SSH 最大連接數(shù) sudo ufw limit 22/tcp # 默認(rèn)：每分鐘 60 次，突發(fā) 10 次 # 設(shè)置默認(rèn)策略（優(yōu)先級最低） sudo ufw default deny incoming # 入站默認(rèn)拒絕 sudo ufw default allow outgoing # 出站默認(rèn)允許
4. firewalld 配置
4.1 啟用與禁用
sudo systemctl start firewalld # 啟動服務(wù) sudo systemctl enable firewalld # 設(shè)置開機(jī)自啟 sudo systemctl stop firewalld # 停止服務(wù)
4.2 查看與修改規(guī)則
# 查看所有活動區(qū)域規(guī)則 sudo firewall-cmd --list-all # 添加開放端口（永久生效） sudo firewall-cmd --zone=public --add-port=80/tcp --permanent # 臨時添加規(guī)則（重啟后失效） sudo firewall-cmd --zone=public --add-port=80/tcp # 刪除規(guī)則 sudo firewall-cmd --zone=public --remove-port=80/tcp --permanent
4.3 高級功能
# 設(shè)置服務(wù)（預(yù)定義規(guī)則集） sudo firewall-cmd --zone=public --add-service=http --permanent # 添加富規(guī)則（復(fù)雜匹配） sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept' # 啟用 NAT 和路由 sudo firewall-cmd --zone=public --add-masquerade --permanent
5. 防火墻策略設(shè)計(jì)原則
- 最小化開放端口：僅開放必要服務(wù)（如 SSH、HTTP）。
- 默認(rèn)拒絕策略：未明確允許的流量應(yīng)默認(rèn)拒絕。
- 分層防御：結(jié)合內(nèi)核防火墻（iptables）和 service-level 防火墻（firewalld）。
- 日志記錄：監(jiān)控可疑流量（如
--log選項(xiàng)）。 - 定期審計(jì)：清理過期規(guī)則，更新策略。
6. 實(shí)戰(zhàn)場景
場景 1：Web 服務(wù)器防火墻配置
# 使用 ufw sudo ufw allow 80,443/tcp sudo ufw default deny incoming sudo ufw enable # 使用 firewalld sudo firewall-cmd --zone=public --add-service=http --permanent sudo firewall-cmd --zone=public --add-service=https --permanent
場景 2：SSH 安全加固
# 限制 IP 白名單（如允許 192.168.1.0/24 網(wǎng)段） sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 22 -j DROP # 使用 fail2ban 防止暴力破解 sudo apt install fail2ban sudo systemctl start fail2ban
7. 常見問題
規(guī)則未生效：
- 確保保存了規(guī)則（如
iptables-save或firewall-cmd --permanent）。 - 檢查是否有其他防火墻工具沖突（如同時運(yùn)行
iptables和ufw）。
端口轉(zhuǎn)發(fā)失?。?/strong>
- 確認(rèn) NAT 規(guī)則正確（
iptables -t nat）。 - 檢查系統(tǒng)轉(zhuǎn)發(fā)功能是否啟用：
sudo sysctl -w net.ipv4.ip_forward=1
服務(wù)無法訪問：
- 確認(rèn)防火墻區(qū)域（如
public）包含目標(biāo)端口。 - 檢查 SELinux/AppArmor 是否攔截流量（需額外配置）。
附錄：工具選擇建議
- 新手：優(yōu)先使用
ufw，命令簡單直觀。 - 生產(chǎn)環(huán)境：使用
firewalld管理動態(tài)服務(wù)規(guī)則。 - 級需求：結(jié)合
iptables處理復(fù)雜 NAT 和流量限制。
通過合理配置防火墻，可以有效保護(hù)服務(wù)器安全，同時保持服務(wù)的可用性！
到此這篇關(guān)于Linux系統(tǒng)下防火墻配置的詳細(xì)指南的文章就介紹到這了,更多相關(guān)Linux防火墻配置內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
Linux內(nèi)核啟動分為固件初始化、內(nèi)核解壓、架構(gòu)特定入口（如x86的startup_32/64、ARM的stext）和核心初始化階段（如sched_init、mem_init）,用戶空間過渡階段通過rest_init創(chuàng)建內(nèi)核線程,完成文件系統(tǒng)掛載和控制權(quán)移交2025-10-10
安裝Debian12后Linux啟動SMTP服務(wù)的詳細(xì)指南
這篇文章主要為大家詳細(xì)了在 Win10 上 WSL 安裝 Debian 12 后,Linux 如何啟動 SMTP 服務(wù),文中的示例代碼簡潔易懂,有需要的可以了解下2025-06-06
詳解CentOS 6.5如何安裝Realtek無線網(wǎng)卡驅(qū)動
相信大家都應(yīng)該知道CentOS6.5不像CentOS7和Unbuntu那樣自動安裝好了無線網(wǎng)卡驅(qū)動，如果想要在CentOS 6.5上實(shí)現(xiàn)無線上網(wǎng)，我們就需要折騰一下，這篇文章給大家介紹了詳細(xì)的步驟，感興趣的朋友們下面來一起看看吧。2016-10-10
CentOS 6.1 環(huán)境中部署nginx、php（包括fastcgi）、虛擬主機(jī)配置
CentOS 6.1 環(huán)境中部署nginx、php（包括fastcgi）、虛擬主機(jī)配置,需要的朋友可以參考下2012-08-08
這篇文章主要介紹了?Linux中的systemd與SysVinit使用方式,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2025-05-05
Ubuntu20.04安裝Python3的虛擬環(huán)境教程詳解
這篇文章主要介紹了Ubuntu20.04安裝Python3的虛擬環(huán)境，本文給大家介紹的非常詳細(xì)，對大家的學(xué)習(xí)或工作具有一定的參考借鑒價值，需要的朋友可以參考下2020-06-06
這篇文章主要介紹了Centos中如何設(shè)置IP地址問題,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-09-09
文章介紹了Linux系統(tǒng)中的邏輯卷管理（LVM）技術(shù),包括LVM的基本概念、卷類型（線性卷、條帶卷）、操作（創(chuàng)建物理卷、卷組、邏輯卷,掛載等）和擴(kuò)容等方法,以及常用命令總結(jié),Lvm提供靈活的的存儲管理方式,適用于需要動態(tài)擴(kuò)展存儲空間的場景2026-04-04
Linux中對lvm邏輯卷分區(qū)大小的調(diào)整教程（針對xfs與ext4不同文件系統(tǒng)）
這篇文章主要給大家介紹了關(guān)于Linux中對lvm邏輯卷分區(qū)大小的調(diào)整教程（針對xfs與ext4不同文件系統(tǒng)）的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，需要的朋友可以參考借鑒，下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2018-10-10
確保Linux VPS及服務(wù)器更加安全之Xshell設(shè)置密鑰登錄
這篇文章主要介紹了Xshell設(shè)置密鑰登錄確保Linux VPS及服務(wù)器更加安全,需要的朋友可以參考下2016-10-10