Linux防火墙配置：iptables与firewalld使用指南（附案例）

在Linux系统的网络配置与管理中，防火墙配置是保障网络安全的重要环节。防火墙就像是网络的门卫，它可以根据我们设定的规则来决定哪些网络流量可以进入或离开系统，哪些则需要被阻挡。今天我们就来详细学习如何使用iptables和firewalld这两种工具来配置Linux防火墙，还会通过实际案例让大家更好地掌握相关技能。

实操模块：使用iptables配置防火墙规则

了解iptables

iptables是Linux系统中一款经典的防火墙管理工具，它通过内核中的Netfilter模块来实现数据包的过滤和转发。简单来说，iptables就像是一个交通指挥员，它可以根据我们制定的规则，对进出网络的数据包进行检查和处理。

案例一：允许特定IP地址访问SSH服务

假设我们的服务器只允许特定的IP地址（例如192.168.1.100）访问SSH服务（端口号为22），可以按照以下步骤进行配置：

1. 清空现有的规则
   在开始配置新规则之前，我们先清空现有的规则，避免旧规则对新规则产生干扰。

iptables -F

这个命令就像是把交通指挥员手中的旧指挥方案清空，准备制定新的方案。

2. 设置默认策略
   将INPUT链的默认策略设置为DROP，这意味着所有未匹配规则的数据包都会被丢弃。

iptables -P INPUT DROP

这就好比告诉交通指挥员，没有特殊通行证的车辆都不能进入。

3. 允许本地回环接口通信
   本地回环接口（lo）用于系统内部的通信，我们需要允许它的流量通过。

iptables -A INPUT -i lo -j ACCEPT

这相当于给本地的车辆发放了特殊通行证，允许它们自由通行。

4. 允许特定IP地址访问SSH服务

iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT

这个命令表示允许IP地址为192.168.1.100的主机通过TCP协议访问服务器的22号端口（SSH服务）。就像是给特定的车辆发放了进入特定区域的通行证。

5. 允许已建立的和相关的连接
   为了保证已经建立的连接和相关的连接能够正常通信，我们需要允许它们的流量通过。

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

这就好比给已经在道路上行驶的车辆和与它们相关的车辆发放了继续通行的许可证。

保存和加载规则

配置好规则后，我们需要将规则保存下来，以便在系统重启后仍然生效。不同的Linux发行版保存规则的方法可能不同，以CentOS为例，可以使用以下命令保存规则：

service iptables save

如果需要加载之前保存的规则，可以使用以下命令：

service iptables restart

实操模块：使用firewalld配置防火墙规则

了解firewalld

firewalld是Red Hat和CentOS 7及以上版本默认的防火墙管理工具，它提供了更高级的防火墙管理功能，支持动态规则更新，无需重启防火墙服务。可以把firewalld想象成一个智能的交通管理系统，它可以在不影响交通的情况下动态调整指挥方案。

案例二：开放HTTP服务

假设我们的服务器需要开放HTTP服务（端口号为80），可以按照以下步骤进行配置：

1. 查看防火墙状态
   使用以下命令查看firewalld的运行状态：

systemctl status firewalld

如果防火墙没有运行，可以使用以下命令启动它：

systemctl start firewalld

2. 开放HTTP服务
   使用以下命令开放HTTP服务：

firewall-cmd --permanent --add-service=http

--permanent参数表示将规则永久保存，--add-service=http表示添加HTTP服务的规则。这就好比给HTTP服务的车辆发放了进入网络的通行证。

3. 重新加载防火墙规则
   开放服务后，需要重新加载防火墙规则，使规则生效。

firewall-cmd --reload

这就像是通知智能交通管理系统更新指挥方案。

查看和删除规则

如果需要查看当前的防火墙规则，可以使用以下命令：

firewall-cmd --list-all

如果需要删除之前添加的规则，可以使用以下命令：

firewall-cmd --permanent --remove-service=http
firewall-cmd --reload

核心技术点总结

iptables和firewalld的使用

• iptables：适合对防火墙规则有深入了解的用户，它可以精确地控制每一条规则，但配置相对复杂，需要手动管理规则的保存和加载。
• firewalld：适合初学者和需要动态管理防火墙规则的场景，它提供了更友好的配置界面和动态更新规则的功能。

防火墙规则的设置

无论是使用iptables还是firewalld，设置防火墙规则的核心思想都是根据网络安全需求，允许或拒绝特定的网络流量。在设置规则时，需要考虑以下几点：

• 明确需求：确定需要开放或关闭哪些服务和端口。
• 设置默认策略：合理设置默认策略，避免安全漏洞。
• 允许必要的连接：允许已建立的和相关的连接通过，保证网络通信的正常进行。

解决常见问题

防火墙规则设置错误

如果在设置防火墙规则时出现错误，可能会导致网络访问受限。可以通过以下方法解决：

• 检查规则：仔细检查规则的语法和逻辑，确保规则正确。
• 清空规则：如果不确定规则是否正确，可以先清空现有的规则，然后重新配置。
• 查看日志：查看防火墙的日志文件，了解规则匹配情况，找出问题所在。

网络访问受限

如果发现某些网络服务无法正常访问，可能是防火墙规则限制了访问。可以通过以下方法解决：

• 开放相应的服务或端口：根据需要开放相应的服务或端口，确保网络流量可以正常通过。
• 检查规则优先级：确保规则的优先级设置正确，避免高优先级的规则阻挡了正常的网络流量。

总结与展望

通过学习使用iptables和firewalld配置Linux防火墙，我们可以有效地保障Linux系统的网络安全。iptables提供了强大的规则控制能力，而firewalld则提供了更便捷的动态管理功能。掌握了这些内容后，下一节我们将深入学习Linux网络服务的管理，进一步完善对本章Linux网络配置与管理主题的认知。希望大家在实际操作中不断练习，熟练掌握这些技能，为Linux系统的网络安全保驾护航。