本文聚焦于Linux防火墙设置，详细解析了firewalld，Linux防火墙在系统安全中起着关键作用，而firewalld是其重要的组件，它能有效管控网络流量，保护系统免受外部非法访问和恶意攻击，通过深入剖析firewalld的设置，包括规则制定、端口开放与关闭等操作，可帮助用户全面掌握Linux防火墙的配置方法，从而根据自身需求构建安全可靠的网络环境，确保系统在复杂的网络环境下稳定运行，保障数据安全和系统功能的正常实现。
在Linux系统中,防火墙是保障系统安全的重要防线，合理设置Linux防火墙能够有效地阻止非法访问，保护系统免受网络攻击，确保系统稳定运行，下面将详细介绍Linux防火墙的设置方法。
常见的Linux防火墙
- iptables
- 简介：iptables是Linux系统中最常用的防火墙工具之一，它基于规则对数据包进行过滤和处理，可以根据源IP、目的IP、端口号等条件来决定是否允许数据包通过。
- 工作原理：iptables通过一系列的规则表（如filter、nat、mangle等）来管理数据包，每个规则表包含多个链（如INPUT、OUTPUT、FORWARD等），数据包在经过网络接口时会根据规则进行匹配和处理，INPUT链用于处理进入本机的数据包，通过设置规则可以拒绝某些IP地址的访问请求。
- firewalld
- 简介：firewalld是CentOS 7及以后版本引入的新一代防火墙管理工具，它采用区域（zone）的概念来管理网络连接，更加直观和易于配置。
- 工作原理：firewalld定义了不同的区域，如public、private、trusted等，每个区域可以设置不同的规则来控制进入和流出的数据包，public区域默认只允许有限的服务通过，如ssh等，而trusted区域则允许所有数据包通过。
iptables设置示例
- 安装iptables 在大多数Linux发行版中，iptables已经默认安装，如果没有安装，可以使用相应的包管理器进行安装，如在CentOS系统中使用命令“yum install iptables”。
- 基本规则设置
- 允许本地访问：
iptables -A INPUT -i lo -j ACCEPT
这条规则允许本地接口（lo）的数据包进入，即允许本地进程之间的通信。
- 允许SSH访问：
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
该规则允许TCP协议的22端口（SSH服务端口）的数据包进入。
- 拒绝其他所有访问：
iptables -P INPUT DROP
这将设置INPUT链的默认策略为DROP,即拒绝所有未匹配上述规则的数据包进入。
- 允许本地访问：
- 保存规则 为了使设置的规则在系统重启后仍然生效，可以使用命令“service iptables save”将规则保存到配置文件中。
firewalld设置示例
- 安装firewalld 在CentOS 7系统中，使用命令“yum install firewalld”安装firewalld。
- 基本规则设置
- 查看当前区域：
firewall-cmd --get-active-zones
- 设置默认区域：
firewall-cmd --set-default-zone=public
- 允许SSH访问：
firewall-cmd --zone=public --add-service=ssh --permanent
这条命令在public区域中允许SSH服务通过,并设置为永久生效。
- 重新加载配置：
firewall-cmd --reload
使设置的规则立即生效。
- 查看当前区域：
- 开放自定义端口
例如要开放8080端口：
firewall-cmd --zone=public --add-port=8080/tcp --permanent firewall-cmd --reload
防火墙策略调整
- 根据需求添加规则
如果需要允许某个新的服务或特定IP段的访问，根据使用的防火墙工具，按照相应的语法添加规则，要允许某个IP地址段192.168.1.0/24访问，可以在iptables中添加规则：
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
在firewalld中：
firewall-cmd --zone=public --add-source=192.168.1.0/24 --permanent firewall-cmd --reload
- 删除规则
当某个服务不再需要开放或者出现安全问题需要禁止某个IP时，要及时删除相应规则，在iptables中删除规则可以使用“iptables -D”命令，如删除允许某个IP访问的规则：
iptables -D INPUT -s 192.168.1.100 -j ACCEPT
在firewalld中：
firewall-cmd --zone=public --remove-source=192.168.1.100 --permanent firewall-cmd --reload
合理设置Linux防火墙是保障系统安全的关键步骤,无论是使用iptables还是firewalld，都需要根据实际需求灵活配置规则，确保系统在安全的网络环境中运行。