异常教程

linux 防火墙（手把手讲解）

更新时间:

💡一则或许对你有用的小广告

欢迎加入小哈的星球 ，你将获得：专属的项目实战 / 1v1 提问 / Java 学习路线 / 学习打卡 / 每月赠书 / 社群讨论

截止目前， 星球 内专栏累计输出 90w+ 字，讲解图 3441+ 张，还在持续爆肝中.. 后续还会上新更多项目，目标是将 Java 领域典型的项目都整一波，如秒杀系统, 在线商城, IM 即时通讯，权限管理，Spring Cloud Alibaba 微服务等等，已有 3100+ 小伙伴加入学习 ，欢迎点击围观

在 Linux 系统的网络安全架构中，linux 防火墙如同数字世界的“门卫”，负责过滤网络流量，阻止恶意攻击，同时允许合法通信通过。无论是个人服务器还是企业级系统，掌握防火墙配置方法都是开发者必备的技能。本文将从基础概念、主流工具对比到实战配置，逐步解析如何用 Linux 防火墙构建安全屏障，帮助开发者建立扎实的网络防护能力。

一、Linux 防火墙的核心概念

1.1 什么是防火墙？

防火墙是一种基于规则的网络流量过滤机制，通过定义“允许”或“拒绝”的策略，控制数据包的进出。想象一个公司的大门：门卫（防火墙）会根据预设规则，允许员工、访客进入，而拒绝可疑人员。Linux 防火墙的核心任务便是类似逻辑，但操作对象是网络数据包。

1.2 防火墙的三层过滤机制

Linux 防火墙通常基于以下三层规则进行过滤：

  1. 网络层过滤：根据 IP 地址、端口号等基础信息判断流量合法性。
  2. 传输层过滤：针对 TCP/UDP 协议的连接状态（如新建连接、已建立连接）。
  3. 应用层过滤：通过深度检测流量内容（如 HTTP 请求头、文件类型）。

1.3 状态检测技术

Linux 防火墙广泛使用“状态检测”机制。例如，当允许一个客户端发起的 HTTP 请求（端口 80）时，防火墙会自动允许该客户端的响应数据包通过，而无需额外规则。这一机制类似于门卫记住已进入的访客信息，避免重复验证。

二、主流 Linux 防火墙工具对比

2.1 iptables：老牌工具的现状

iptables 是 Linux 早期的防火墙工具，通过“表（Table）”和“链（Chain）”管理规则。例如：

  • FILTER 表：处理常规流量过滤。
  • NAT 表：实现网络地址转换（如内网设备访问外网）。

示例代码：允许 SSH 连接（端口 22）：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

缺点：配置复杂，规则优先级易冲突，已被 nftables 逐步替代。

2.2 nftables：新一代防火墙标准

nftables 是 iptables 的继任者，语法更简洁，支持多核 CPU 加速。其规则以“表（Table）→ 集合（Set）→ 规则（Rule）”的层级结构组织，例如：

nft add table ip filter  
nft add chain ip filter input { type filter hook input priority 0 \; }  
nft add rule ip filter input tcp dport 80 accept

优势：性能更高，支持动态更新规则，适合大规模网络环境。

2.3 firewalld：面向服务的简化工具

firewalld 是 CentOS/RHEL 等系统默认的防火墙管理工具，通过服务（如 http、ssh）或端口组简化配置。例如：

firewall-cmd --permanent --add-service=http  
firewall-cmd --permanent --add-port=3000/tcp

特点：图形化界面友好，规则变更实时生效（需 reload）。

三、防火墙配置实战

3.1 基础配置：允许 SSH 和 HTTP 流量

场景：为开发服务器开放常用端口

步骤 1：检查当前防火墙状态（以 firewalld 为例）：

firewall-cmd --state  
firewall-cmd --list-all

步骤 2：添加规则并保存：

firewall-cmd --permanent --add-service=ssh  
firewall-cmd --permanent --add-service=http  
firewall-cmd --permanent --add-service=https  
firewall-cmd --reload

3.2 高级配置：限制特定 IP 的访问

场景：仅允许内网 IP 访问数据库

假设内网 IP 段为 192.168.1.0/24，需仅允许该网段访问数据库端口 3306：

iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3306 -j ACCEPT  
iptables -A INPUT -p tcp --dport 3306 -j DROP

逻辑：先允许内网 IP，再拒绝其他所有来源的 3306 端口请求。

3.3 日志记录与调试

场景：排查流量被拦截的原因

通过添加日志规则，记录被拒绝的流量信息：

nft add rule ip filter input tcp dport 22 ct state new log prefix "SSH_DROP "

日志示例：

kernel: SSH_DROP IN=eth0 OUT= MAC=... SRC=192.168.1.100 DST=192.168.1.200 ...

通过日志分析来源 IP 和端口，优化规则。

四、防火墙的常见问题与最佳实践

4.1 防火墙配置失效的排查步骤

  1. 检查服务状态：确认防火墙服务已启用且运行（systemctl status firewalld）。
  2. 规则顺序：优先级高的规则可能覆盖后续规则（如先允许所有流量再拒绝特定端口）。
  3. 测试连接：使用 telnet 或 curl 验证端口是否开放。

4.2 安全配置建议

  • 最小权限原则：仅开放必需端口，例如关闭不必要的 RPC、NFS 服务。
  • 定期更新规则：移除过期规则，避免因历史配置导致安全漏洞。
  • 结合其他工具：与 Fail2Ban 联动，自动封禁多次失败登录的 IP。

五、总结与展望

Linux 防火墙是系统安全的基石，开发者需根据实际需求选择工具（如 firewalld 简化配置，nftables 处理复杂场景）。通过本文的规则示例和调试方法，读者可以快速搭建基础防护体系，并逐步深入高级功能。未来，随着云原生技术的发展，防火墙将与容器网络（如 Cilium）进一步融合，开发者需持续关注技术演进。

行动建议：

  1. 为本地开发环境配置最小化规则，实践端口开放与限制。
  2. 学习 nftables 语法，替代旧版 iptables 脚本。
  3. 参考 CIS 安全基准，优化生产环境防火墙策略。

掌握 linux 防火墙，不仅是技术能力的提升，更是对网络安全责任的践行。

最新发布

查看更多文章