文章目錄一、防火墻核心概述二、防火墻分類體系1. 按保護(hù)范圍劃分2. 按實現(xiàn)方式劃分3. 按網(wǎng)絡(luò)協(xié)議劃分網(wǎng)絡(luò)層防火墻包過濾防火墻應(yīng)用層防火墻代理服務(wù)器/WAF三、Linux 內(nèi)核網(wǎng)絡(luò)過濾子系統(tǒng)1. Netfilter 子系統(tǒng)2. Nftables 子系統(tǒng)四、靜態(tài)防火墻與動態(tài)防火墻1. 靜態(tài)防火墻2. 動態(tài)防火墻五、Firewalld 防火墻深度解析1. Firewalld 核心介紹2. Firewalld 區(qū)域Zone體系常用區(qū)域及功能說明數(shù)據(jù)包與區(qū)域匹配規(guī)則3. Firewalld 規(guī)則優(yōu)先級4. Firewalld 配置方式六、Firewalld 實戰(zhàn)配置指南1. 核心概念運(yùn)行時與永久配置2. 區(qū)域Zone管理3. 源地址Source管理4. 服務(wù)Service管理5. 端口Port管理6. 地址偽裝Masquerade管理7. 端口轉(zhuǎn)發(fā)Forward\-port管理8. ICMP 管控Ping 限制9. 富規(guī)則Rich Rule管理10. 直接規(guī)則Direct Rule管理11. panic 模式緊急防護(hù)七、總結(jié)一、防火墻核心概述防火墻FireWall是部署在網(wǎng)絡(luò)或主機(jī)邊緣的安全組件核心功能是基于預(yù)設(shè)規(guī)則對進(jìn)出網(wǎng)絡(luò)/主機(jī)的數(shù)據(jù)包進(jìn)行檢測與管控默認(rèn)遵循“關(guān)閉所有訪問、僅開放授權(quán)策略”的安全原則通常將外網(wǎng)可訪問的主機(jī)部署在 DMZ非軍事區(qū)中實現(xiàn)網(wǎng)絡(luò)隔離與安全防護(hù)。二、防火墻分類體系1. 按保護(hù)范圍劃分主機(jī)防火墻僅服務(wù)于單臺主機(jī)管控該主機(jī)的所有網(wǎng)絡(luò)流量網(wǎng)絡(luò)防火墻覆蓋防火墻一側(cè)的局域網(wǎng)實現(xiàn)整個網(wǎng)段的流量管控2. 按實現(xiàn)方式劃分硬件防火墻基于專用硬件實現(xiàn)防護(hù)功能如華為、華三、天融信等商用設(shè)備軟件防火墻運(yùn)行于通用硬件平臺的應(yīng)用軟件如 iptables、firewalld3. 按網(wǎng)絡(luò)協(xié)議劃分網(wǎng)絡(luò)層防火墻包過濾防火墻工作在 OSI 模型第四層通過訪問控制列表ACL過濾數(shù)據(jù)包依據(jù)源地址、目的地址、端口號、協(xié)議狀態(tài)等維度判斷是否允許數(shù)據(jù)包通過。優(yōu)點對用戶透明處理速度快維護(hù)成本低缺點無法檢測應(yīng)用層數(shù)據(jù)如病毒、惡意腳本等應(yīng)用層防火墻代理服務(wù)器/WAF工作在 OSI 模型第七層可作為代理網(wǎng)關(guān)實現(xiàn)深度防護(hù)核心防護(hù)能力包括異常檢測識別不符合 HTTP 標(biāo)準(zhǔn)的請求攔截非法訪問輸入驗證防范網(wǎng)頁篡改、信息泄露、木馬植入等攻擊漏洞補(bǔ)丁快速屏蔽已知 Web 安全漏洞降低攻擊風(fēng)險狀態(tài)管理追蹤用戶訪問行為識別暴力破解等異常操作其他防護(hù)隱藏表單域、抗入侵規(guī)避、響應(yīng)監(jiān)視等優(yōu)點提供應(yīng)用層深度防護(hù)針對性強(qiáng)缺點處理速度相對較慢資源消耗較高三、Linux 內(nèi)核網(wǎng)絡(luò)過濾子系統(tǒng)1. Netfilter 子系統(tǒng)Netfilter 是 Linux 內(nèi)核內(nèi)置的強(qiáng)大網(wǎng)絡(luò)過濾子系統(tǒng)工作在內(nèi)核態(tài)可對進(jìn)出系統(tǒng)的數(shù)據(jù)包進(jìn)行檢查、修改、丟棄或路由調(diào)度。用戶通過以下工具配置規(guī)則管控數(shù)據(jù)包流向iptables過濾 IPv4 協(xié)議數(shù)據(jù)包是 Linux 網(wǎng)絡(luò)管控的核心工具ip6tables過濾 IPv6 協(xié)議數(shù)據(jù)包功能與 iptables 一致arptables過濾 ARP 協(xié)議數(shù)據(jù)包防范 ARP 欺騙與惡意攻擊ebtables過濾數(shù)據(jù)鏈路層數(shù)據(jù)包多用于橋模式場景如 VLAN 管控[rootcentos7 ~]# ls -1 /sbin/*tables-rwxr-xr-x1root root5987211月62016/sbin/arptables -rwxr-xr-x.1root root70164月112018/sbin/ebtables lrwxrwxrwx.1root root138月115:45 /sbin/ip6tables -xtables-multi lrwxrwxrwx.1root root138月115:45 /sbin/iptables -xtables-multi2. Nftables 子系統(tǒng)Nftables 是 Netfilter 的增強(qiáng)版保留原有架構(gòu)的同時優(yōu)化了性能與易用性核心優(yōu)勢包括數(shù)據(jù)包處理速度更快規(guī)則集更新效率更高通過單一 nft 工具管理所有協(xié)議消除多工具混用的沖突問題四、靜態(tài)防火墻與動態(tài)防火墻1. 靜態(tài)防火墻規(guī)則修改后需重新加載全部規(guī)則即使僅調(diào)整一條規(guī)則也會導(dǎo)致網(wǎng)絡(luò)連接中斷如 iptables。執(zhí)行service iptables reload會將規(guī)則保存至配置文件并重啟服務(wù)影響業(yè)務(wù)連續(xù)性。2. 動態(tài)防火墻僅更新修改的規(guī)則無需重載全部規(guī)則不影響現(xiàn)有網(wǎng)絡(luò)連接如 firewalld。該模式兼顧了規(guī)則靈活性與業(yè)務(wù)穩(wěn)定性更適配生產(chǎn)環(huán)境。五、Firewalld 防火墻深度解析1. Firewalld 核心介紹Firewalld 是 Red Hat 公司開發(fā)的防火墻軟件默認(rèn)后端為 Nftables在 CentOS 7 及以上版本中取代 iptables 成為默認(rèn)防火墻。其核心特點是支持動態(tài)加載規(guī)則同時提供命令行與圖形界面配置工具底層仍依賴 Netfilter 實現(xiàn)數(shù)據(jù)包管控僅優(yōu)化了規(guī)則管理方式。注意iptables 與 firewalld 不可同時混用建議關(guān)閉其中一個避免規(guī)則沖突。2. Firewalld 區(qū)域Zone體系Firewalld 將網(wǎng)絡(luò)流量劃分為多個區(qū)域每個區(qū)域?qū)?yīng)一套獨立的過濾規(guī)則簡化了復(fù)雜場景的管控難度。默認(rèn)區(qū)域為 publiclo 回環(huán)接口默認(rèn)映射至 trusted 區(qū)域。常用區(qū)域及功能說明trusted信任區(qū)域允許所有傳入流量無任何限制public公共區(qū)域僅允許 SSH、dhcpv6-client 等預(yù)定義服務(wù)的流量其余拒絕默認(rèn)區(qū)域external外部區(qū)域僅允許 SSH 流量默認(rèn)開啟 IPv4 地址偽裝適用于路由器場景home家庭區(qū)域允許 SSH、mdn3、samba-client 等服務(wù)流量其余拒絕internal內(nèi)部區(qū)域默認(rèn)與 home 區(qū)域規(guī)則一致work工作區(qū)域允許 SSH、dhcpv6-client 等服務(wù)流量其余拒絕dmz隔離區(qū)域僅允許 SSH 流量其余拒絕用于部署外網(wǎng)可訪問的服務(wù)block限制區(qū)域拒絕所有傳入流量返回 ICMP 錯誤響應(yīng)drop丟棄區(qū)域丟棄所有傳入流量不返回任何響應(yīng)數(shù)據(jù)包與區(qū)域匹配規(guī)則優(yōu)先匹配源地址對應(yīng)的區(qū)域規(guī)則未匹配源地址時匹配傳入網(wǎng)絡(luò)接口對應(yīng)的區(qū)域規(guī)則均未匹配時使用默認(rèn)區(qū)域public規(guī)則3. Firewalld 規(guī)則優(yōu)先級同一區(qū)域內(nèi)規(guī)則優(yōu)先級一致匹配順序為端口轉(zhuǎn)發(fā)/偽裝規(guī)則 → 允許規(guī)則 → 拒絕規(guī)則富規(guī)則優(yōu)先級高于區(qū)域內(nèi)其他規(guī)則所有規(guī)則均不匹配時默認(rèn)拒絕數(shù)據(jù)包trusted 區(qū)域除外。4. Firewalld 配置方式直接編輯配置文件路徑為 /etc/firewalld/自定義配置、/usr/lib/firewalld/默認(rèn)配置不建議修改命令行工具firewall-cmd核心配置工具圖形工具firewall-config可視化配置適合新手提示我們不建議大家通過修改 /etc/firewalld/ 目錄配置防火墻。六、Firewalld 實戰(zhàn)配置指南1. 核心概念運(yùn)行時與永久配置runtime運(yùn)行時默認(rèn)狀態(tài)配置立即生效重啟后失效permanent永久需添加 --permanent 選項配置寫入文件需 reload 后生效建議配置時同時執(zhí)行兩條命令永久配置臨時生效避免重啟后規(guī)則丟失。2. 區(qū)域Zone管理# 查看所有區(qū)域[rootcentos7 ~]# firewall-cmd --get-zonesblock dmz drop external home internal public trusted work# 查看激活的區(qū)域綁定接口/源地址[rootcentos7 ~]# firewall-cmd --get-active-zonespublic interfaces: ens32# 查看默認(rèn)區(qū)域[rootcentos7 ~]# firewall-cmd --get-default-zonepublic# 設(shè)置默認(rèn)區(qū)域永久生效[rootcentos7 ~]# firewall-cmd --set-default-zonetrusted[rootcentos7 ~]# firewall-cmd --set-default-zonepublic # 恢復(fù)默認(rèn)# 查看區(qū)域規(guī)則[rootcentos7 ~]# firewall-cmd --list-all # 默認(rèn)區(qū)域[rootcentos7 ~]# firewall-cmd --list-all --zonehome # 指定區(qū)域3. 源地址Source管理# 將指定網(wǎng)段綁定到 home 區(qū)域[rootcentos7 ~]# firewall-cmd --add-source10.1.1.0/24 --zonehome# 查看區(qū)域內(nèi)源地址列表[rootcentos7 ~]# firewall-cmd --list-sources --zonehome# 查看源地址所屬區(qū)域[rootcentos7 ~]# firewall-cmd --get-zone-of-source10.1.1.0/24# 變更源地址所屬區(qū)域[rootcentos7 ~]# firewall-cmd --change-source10.1.1.0/24 --zonepublic# 刪除區(qū)域內(nèi)源地址[rootcentos7 ~]# firewall-cmd --remove-source10.1.1.0/24 --zonepublic4. 服務(wù)Service管理# 安裝 Nginx 服務(wù)示例[rootcentos7 ~]# yum install -y nginx systemctl start nginx# 查看預(yù)定義服務(wù)列表[rootcentos7 ~]# firewall-cmd --get-services# 放行 HTTP 服務(wù)臨時生效[rootcentos7 ~]# firewall-cmd --add-servicehttp# 查看放行服務(wù)列表[rootcentos7 ~]# firewall-cmd --list-services# 驗證服務(wù)是否放行[rootcentos7 ~]# firewall-cmd --query-servicehttp# 永久放行 HTTP 服務(wù)[rootcentos7 ~]# firewall-cmd --add-servicehttp --permanent# 刪除放行服務(wù)[rootcentos7 ~]# firewall-cmd --remove-servicehttp --permanentfirewall-cmd 命令行還可以定義新的服務(wù)。常用選項如下--permanent--new-serviceservice Add a new permanent and empty service.--permanent--delete-serviceservice Delete an existing permanent service.--permanent--serviceservice --set-descriptiondescription Set new description toservice--permanent--serviceservice --get-description Print descriptionforservice--permanent--serviceservice --set-shortdescription Set short description toservice--permanent--serviceservice --get-short Print short descriptionforservice--permanent--serviceservice --add-portportid[-portid]/protocol Add a new port to the permanent service.--permanent--serviceservice --remove-portportid[-portid]/protocol Remove a port from the permanent service.--permanent--serviceservice --get-ports List ports added to the permanent service.--permanent--serviceservice --add-protocolprotocol Add a new protocol to the permanent service.--permanent--serviceservice --remove-protocolprotocol Remove a protocol from the permanent service.--permanent--serviceservice --get-protocols List protocols added to the permanent service.--permanent--serviceservice --add-source-portportid[-portid]/protocol Add a newsourceport to the permanent service.--permanent--serviceservice --remove-source-portportid[-portid]/protocol Remove asourceport from the permanent service.--permanent--serviceservice --get-source-ports Listsourceports added to the permanent service.5. 端口Port管理# 放行指定端口TCP 協(xié)議[rootcentos7 ~]# firewall-cmd --add-port5900/tcp# 查看放行端口列表[rootcentos7 ~]# firewall-cmd --list-ports# 驗證端口是否放行[rootcentos7 ~]# firewall-cmd --query-port5900/tcp# 永久放行端口[rootcentos7 ~]# firewall-cmd --add-port5900/tcp --permanent# 刪除放行端口[rootcentos7 ~]# firewall-cmd --remove-port5900/tcp --permanent6. 地址偽裝Masquerade管理用于實現(xiàn)內(nèi)網(wǎng)主機(jī)通過防火墻訪問公網(wǎng)需先開啟 masquerade 功能。# 查看是否開啟地址偽裝[rootcentos7 ~]# firewall-cmd --query-masquerade# 開啟地址偽裝臨時生效[rootcentos7 ~]# firewall-cmd --add-masquerade# 永久開啟地址偽裝[rootcentos7 ~]# firewall-cmd --add-masquerade --permanent# 關(guān)閉地址偽裝[rootcentos7 ~]# firewall-cmd --remove-masquerade --permanent7. 端口轉(zhuǎn)發(fā)Forward-port管理需先開啟對應(yīng)區(qū)域的 masquerade 功能語法--add-forward-portport源端口:proto協(xié)議:toport目標(biāo)端口:toaddr目標(biāo)地址。# 開啟地址偽裝[rootcentos7 ~]# firewall-cmd --add-masquerade --permanent# 本機(jī)8000端口轉(zhuǎn)發(fā)至本機(jī)80端口[rootcentos7 ~]# firewall-cmd --add-forward-portport8000:prototcp:toport80 --permanent# 本機(jī)1022端口轉(zhuǎn)發(fā)至10.1.1.11的22端口[rootcentos7 ~]# firewall-cmd --add-forward-portport1022:prototcp:toport22:toaddr10.1.1.11 --permanent# 查看端口轉(zhuǎn)發(fā)規(guī)則[rootcentos7 ~]# firewall-cmd --list-forward-ports# 刪除端口轉(zhuǎn)發(fā)規(guī)則[rootcentos7 ~]# firewall-cmd --remove-forward-portport8000:prototcp:toport80 --permanent8. ICMP 管控Ping 限制# 禁止所有主機(jī) ping 本機(jī)臨時生效[rootcentos7 ~]# firewall-cmd --add-icmp-block echo-request# 永久禁止 ping[rootcentos7 ~]# firewall-cmd --add-icmp-block echo-request --permanent# 查看 ICMP 禁止列表[rootcentos7 ~]# firewall-cmd --list-icmp-blocks# 恢復(fù) ping 功能[rootcentos7 ~]# firewall-cmd --remove-icmp-block echo-request --permanent# 啟用 ICMP 反向管控僅放行指定主機(jī) ping[rootcentos7 ~]# firewall-cmd --add-icmp-block-inversion --permanent9. 富規(guī)則Rich Rule管理富規(guī)則可實現(xiàn)精細(xì)化管控如限制 IP 訪問、速率限制、日志審計等優(yōu)先級高于區(qū)域規(guī)則。# 示例1禁止所有主機(jī) ping 本機(jī)[rootcentos7 ~]# firewall-cmd --add-rich-rulerule protocol valueicmp drop --permanent# 示例2僅允許10.1.8.10 ping 本機(jī)[rootcentos7 ~]# firewall-cmd --add-rich-rulerule familyipv4 source address10.1.8.10 icmp-type nameecho-request accept --permanent# 示例3限制10.1.8.0/24網(wǎng)段訪問 HTTP 服務(wù)每秒最多3次記錄日志[rootcentos7 ~]# firewall-cmd --add-rich-rule rule familyipv4 source address10.1.8.0/24 service namehttp log prefixhttp-error levelerror limit value3/s accept --permanent# 查看富規(guī)則列表[rootcentos7 ~]# firewall-cmd --list-rich-rules# 刪除富規(guī)則[rootcentos7 ~]# firewall-cmd --remove-rich-rulerule protocol valueicmp drop --permanent10. 直接規(guī)則Direct Rule管理直接規(guī)則優(yōu)先級最高語法類似 iptables用于補(bǔ)充 firewalld 規(guī)則適用于復(fù)雜場景。# 示例將192.168.0.0/24列入黑名單限制并發(fā)連接[rootcentos7 ~]# firewall-cmd --direct --permanent --add-chain ipv4 raw blacklist[rootcentos7 ~]# firewall-cmd --direct --permanent --add-rule ipv4 raw PREROUTING 0 -s 192.168.0.0/24 -j blacklist[rootcentos7 ~]# firewall-cmd --direct --permanent --add-rule ipv4 raw blacklist 0 -m limit --limit 1/min -j LOG --log-prefix blacklisted [rootcentos7 ~]# firewall-cmd --direct --permanent --add-rule ipv4 raw blacklist 1 -j DROP[rootcentos7 ~]# firewall-cmd --reload# 清理直接規(guī)則[rootcentos7 ~]# firewall-cmd --permanent --direct --remove-rules ipv4 raw blacklist[rootcentos7 ~]# firewall-cmd --direct --remove-chain ipv4 raw blacklist[rootcentos7 ~]# firewall-cmd --reload11. panic 模式緊急防護(hù)遭遇黑客攻擊時可啟用 panic 模式丟棄所有進(jìn)出流量快速切斷網(wǎng)絡(luò)連接。# 啟用 panic 模式[rootcentos7 ~]# firewall-cmd --panic-on# 查看 panic 模式狀態(tài)[rootcentos7 ~]# firewall-cmd --query-panic# 關(guān)閉 panic 模式[rootcentos7 ~]# firewall-cmd --panic-off七、總結(jié)防火墻是 Linux 網(wǎng)絡(luò)安全的核心防線Firewalld 憑借動態(tài)規(guī)則加載、區(qū)域化管控、精細(xì)化配置等優(yōu)勢成為 CentOS/RHEL 系列發(fā)行版的首選防火墻工具。本文從防火墻基礎(chǔ)原理出發(fā)全面覆蓋 Firewalld 的區(qū)域管理、規(guī)則配置、高級功能及實戰(zhàn)場景涵蓋企業(yè)級部署的核心要點。核心運(yùn)維建議遵循“最小權(quán)限”原則配置規(guī)則優(yōu)先使用富規(guī)則實現(xiàn)精細(xì)化管控重要規(guī)則務(wù)必添加 --permanent 實現(xiàn)持久化避免重啟后失效調(diào)試規(guī)則時可使用 --timeout 臨時生效降低業(yè)務(wù)風(fēng)險定期檢查防火墻規(guī)則及時清理無效配置保障網(wǎng)絡(luò)安全與性能。