Linux防火墙配置完全指南：从基础规则到高级防护

为什么你的Linux系统需要防火墙？

在当今网络环境中，Linux防火墙已成为系统安全的必需品。许多用户认为Linux天生比Windows安全，但事实是未受保护的Linux服务器平均存活时间不到4小时就会被攻击者发现。防火墙就像是你系统的门卫，控制着哪些数据可以进出，避免恶意流量长驱直入。

Linux防火墙基础：iptables入门

1. 检查当前规则

在开始配置前，先查看现有规则：

• sudo iptables -L -v 列出所有规则
• sudo iptables -S 显示规则详情
• sudo iptables -t nat -L 查看NAT表

2. 基本规则设置

设置默认策略（新手慎用DROP）：

• sudo iptables -P INPUT DROP
• sudo iptables -P FORWARD DROP
• sudo iptables -P OUTPUT ACCEPT

3. 常用防护规则

防止端口扫描的有效方法：

• sudo iptables -N ANTISCAN
• sudo iptables -A ANTISCAN -m recent --name ATTACKER --set -j DROP
• sudo iptables -A ANTISCAN -m recent --name ATTACKER --update --seconds 60 --hitcount 5 -j DROP

firewalld：更现代的解决方案

1. 区域管理

firewalld通过区域(zone)管理网络接口：

• sudo firewall-cmd --get-default-zone
• sudo firewall-cmd --list-all-zones
• sudo firewall-cmd --zone=public --change-interface=eth0

2. 服务与端口管理

你可能会问：如何开放特定服务？

• 临时开放HTTP：sudo firewall-cmd --add-service=http
• 永久开放SSH：sudo firewall-cmd --add-service=ssh --permanent
• 自定义端口：sudo firewall-cmd --add-port=8080/tcp

3. 高级特性

firewalld提供了一些独特功能：

• 富规则(Rich Rules)：复杂条件匹配
• 直接接口(Direct Interface)：兼容iptables规则
• 定时规则：特定时段启用规则

常见问题与专家建议

Q：iptables和firewalld哪个更好？

Q：如何防止SSH暴力破解？

除了防火墙，还可以：

• 更改默认端口
• 使用fail2ban工具
• 启用密钥认证

最后提醒：测试是防火墙配置的关键环节。在应用新规则前，务必在测试环境验证，避免把自己锁在系统外。Linux防火墙的配置需要不断实践和学习，随着网络威胁的演变，你的防护策略也应该与时俱进。