Linux系統(tǒng)防火墻設(shè)置詳情一、Linux系統(tǒng)防火墻概述

Linux系統(tǒng)防火墻是保障系統(tǒng)安全的重要組件，它通過過濾網(wǎng)絡(luò)流量、監(jiān)控和限制進出網(wǎng)絡(luò)的數(shù)據(jù)包，防止未經(jīng)授權(quán)的訪問和惡意攻擊。常見的Linux防火墻工具包括iptables、firewalld和nftables等。本文將詳細介紹如何在Linux系統(tǒng)中設(shè)置防火墻，包括基本配置、規(guī)則添加、服務(wù)管理以及安全最佳實踐。

二、Linux防火墻工具介紹

（一）iptables

iptables是Linux系統(tǒng)中傳統(tǒng)的防火墻工具，基于Netfilter內(nèi)核框架工作。其主要功能包括：

1.數(shù)據(jù)包過濾：根據(jù)源/目的IP地址、端口號、協(xié)議類型等條件過濾數(shù)據(jù)包。

2.NAT轉(zhuǎn)換：實現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換，隱藏內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)。

3.防火墻日志：記錄符合特定條件的數(shù)據(jù)包。

（二）firewalld

firewalld是較新的動態(tài)防火墻管理工具，提供更友好的用戶界面。其主要特點：

1.動態(tài)管理：可在不重啟服務(wù)的情況下修改規(guī)則。

2.區(qū)域劃分：預(yù)設(shè)多種安全區(qū)域（public、private等）。

3.服務(wù)管理：簡化常見服務(wù)的端口開放配置。

（三）nftables

nftables是iptables的現(xiàn)代化替代方案，提供更高效的規(guī)則處理能力。主要優(yōu)勢：

1.高性能：使用單一數(shù)據(jù)結(jié)構(gòu)處理所有規(guī)則。

2.靈活性：支持更復(fù)雜的規(guī)則匹配和動作。

3.易用性：語法更簡潔，操作更直觀。

三、防火墻基本配置步驟

（一）檢查現(xiàn)有防火墻狀態(tài)

1.iptables：使用`iptables-L-v-n`查看規(guī)則

2.firewalld：使用`firewall-cmd--list-all`查看區(qū)域和規(guī)則

3.nftables：使用`nftlistruleset`查看規(guī)則

（二）選擇合適的防火墻工具

根據(jù)系統(tǒng)需求選擇：

-傳統(tǒng)應(yīng)用環(huán)境：iptables

-動態(tài)服務(wù)管理：firewalld

-性能要求高：nftables

（三）基礎(chǔ)配置流程

1.禁用默認(rèn)轉(zhuǎn)發(fā)（除非需要路由功能）

-iptables：`iptables-PFORWARDDENY`

-firewalld：禁用轉(zhuǎn)發(fā)區(qū)域

-nftables：設(shè)置默認(rèn)拒絕策略

2.允許本地回環(huán)接口

-iptables：`iptables-AINPUT-ilo-jACCEPT`

-firewalld：允許loopback服務(wù)

-nftables：創(chuàng)建loopback規(guī)則

3.設(shè)置默認(rèn)安全策略

-INPUT：允許本地連接，拒絕其他

-OUTPUT：允許所有出站

-FORWARD：拒絕轉(zhuǎn)發(fā)（除非特別配置）

四、iptables詳細配置指南

（一）基礎(chǔ)規(guī)則操作

1.查看規(guī)則表

```bash

iptables-L-v-n--line-numbers

```

2.添加規(guī)則示例

-允許SSH連接：`iptables-AINPUT-ptcp--dport22-jACCEPT`

-拒絕特定IP：`iptables-AOUTPUT-d00-jDROP`

3.規(guī)則優(yōu)先級管理

-規(guī)則編號決定優(yōu)先級（編號越小越先匹配）

-使用-i選項指定接口

（二）常見應(yīng)用場景

1.服務(wù)器安全配置

-僅允許SSH：關(guān)閉所有入站，僅開放22端口

-雙重認(rèn)證配置：允許從特定IP的SSH連接

2.負(fù)載均衡設(shè)置

-NAT轉(zhuǎn)發(fā)：`iptables-tnat-APREROUTING-ptcp--dport80-jDNAT--to-destination:8080`

3.日志記錄配置

-記錄非法連接：`iptables-AINPUT-mlimit--limit5/m-jLOG`

（三）規(guī)則持久化方法

1.iptables保存方案

```bash

iptables-save>/etc/iptables/rules.v4

```

-重啟后使用：`iptables-restore</etc/iptables/rules.v4`

2.systemd服務(wù)（firewalld）

```bash

firewall-cmd--runtime-to-持久化

```

五、firewalld配置詳解

（一）區(qū)域管理

1.查看可用區(qū)域

```bash

firewall-cmd--get-active-zones

```

2.修改區(qū)域策略

```bash

firewall-cmd--set-zone=public--permanent

```

3.自定義區(qū)域創(chuàng)建

```bash

firewall-cmd--new-zone=myzone--permanent

```

（二）服務(wù)管理

1.查看可用服務(wù)

```bash

firewall-cmd--get-services

```

2.添加自定義服務(wù)

```bash

firewall-cmd--permanent--new-service=myapp--add-port=8080/tcp

```

3.開放服務(wù)端口

```bash

firewall-cmd--permanent--add-service=myapp

```

（三）端口和接口配置

1.添加自定義端口

```bash

firewall-cmd--permanent--add-port=3000/tcp

```

2.接口管理

```bash

firewall-cmd--permanent--zone=public--add-interface=eth1

```

六、nftables高級配置

（一）基礎(chǔ)規(guī)則語法

1.創(chuàng)建規(guī)則集示例

```bash

nftaddtableinetmyfirewall{

chaininput{

typefilterhookinputpriorityfilter;policyaccept;

iif"lo"accept

ctstateestablished,relatedaccept

ipsaddraccept

tcpdport22accept

drop

}

}

```

2.規(guī)則類型說明

-filter：數(shù)據(jù)包過濾

-nat：網(wǎng)絡(luò)地址轉(zhuǎn)換

-counter：計數(shù)器（無動作效果）

（二）高級特性

1.連接跟蹤應(yīng)用

```bash

ctstateestablished,relatedaccept

```

2.用戶自定義字段

```bash

setipsrcipmyclients{00;01}

```

3.動態(tài)規(guī)則更新

```bash

nftaddruleinetmyfirewallinputipsaddr@myclientsaccept

```

（三）遷移注意事項

1.從iptables遷移

```bash

nftconvert-fiptables/etc/iptables/rules.v4

```

2.兼容性處理

-舊iptables模塊可能需要更新內(nèi)核

-某些特性在nftables中不可用

七、防火墻安全最佳實踐

（一）最小權(quán)限原則

1.僅開放必要端口

-生產(chǎn)環(huán)境關(guān)閉所有非必要端口

-使用ufw限制端口（Ubuntu）

2.限制IP來源

-僅允許特定IP或網(wǎng)段的SSH訪問

-使用網(wǎng)絡(luò)分段隔離敏感服務(wù)

（二）定期審計

1.規(guī)則審查周期

-每月審查防火墻規(guī)則

-記錄變更歷史

2.日志分析工具

-fail2ban：自動封禁暴力破解IP

-logwatch：定期生成安全報告

（三）高可用方案

1.雙機熱備

-配置主備防火墻

-使用keepalived實現(xiàn)切換

2.負(fù)載均衡

-在多防火墻間分配流量

-配置HAProxy配合iptables

八、常見問題排查

（一）連接失敗診斷

1.端口檢查工具

```bash

telnetyour_server80

nc-zvyour_server22

```

2.防火墻狀態(tài)確認(rèn)

```bash

sudonetstat-tuln

```

（二）配置錯誤修復(fù)

1.iptables回滾

```bash

iptables-restore</root/backup.rules

```

2.firewalld重置

```bash

firewall-cmd--reset

```

（三）性能優(yōu)化建議

1.規(guī)則優(yōu)化

-將常見規(guī)則置頂

-避免使用過于復(fù)雜的匹配條件

2.資源監(jiān)控

```bash

top-c|grepiptables

```

九、附錄：配置示例

（一）iptables基礎(chǔ)配置示例

清空現(xiàn)有規(guī)則

iptables-F

iptables-X

iptables-tnat-F

iptables-tnat-X

設(shè)置默認(rèn)策略

iptables-PINPUTDROP

iptables-PFORWARDDROP

iptables-POUTPUTACCEPT

允許本地回環(huán)

iptables-AINPUT-ilo-jACCEPT

iptables-AOUTPUT-olo-jACCEPT

允許已建立連接

iptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT

允許SSH

iptables-AINPUT-ptcp--dport22-mstate--stateNEW-mrecent--set

iptables-AINPUT-ptcp--dport22-mstate--stateNEW-mrecent--update--seconds60--hitcount4-jDROP

iptables-AINPUT-ptcp--dport22-jACCEPT

允許HTTP/HTTPS

iptables-AINPUT-ptcp--dport80-jACCEPT

iptables-AINPUT-ptcp--dport443-jACCEPT

保存規(guī)則

iptables-save>/etc/iptables/rules.v4

（二）firewalld配置示例

禁用所有區(qū)域

firewall-cmd--permanent--zone=public--remove-all-services

firewall-cmd--permanent--zone=public--remove-all-masquerades

自定義區(qū)域

firewall-cmd--permanent--new-zone=myzone

firewall-cmd--permanent--zone=myzone--set-target=REJECT

添加服務(wù)

firewall-cmd--permanent--zone=myzone--add-service=http

firewall-cmd--permanent--zone=myzone--add-port=8080/tcp

啟用區(qū)域

firewall-cmd--reload

（三）nftables配置示例

創(chuàng)建規(guī)則集

nftdeletetableinetmyfirewall2>/dev/null

nftcreatetableinetmyfirewall{

chaininput{

typefilterhookinputpriorityfilter;policyaccept;

iif"lo"accept

ctstateestablished,relatedaccept

ipsaddr00accept

tcpdport22accept

tcpdport80accept

tcpdport443accept

drop

}

}

添加日志記錄

nftinsertruleinetmyfirewallinputipsaddr!/24counterlogprefix"DROP:"

九、附錄：配置示例（續(xù)）

（一）iptables基礎(chǔ)配置示例（續(xù)）

1.高級規(guī)則示例

(1)DNS解析處理

```bash

允許本地DNS查詢

iptables-AOUTPUT-pudp--dport53-jACCEPT

iptables-AINPUT-pudp--dport53-jACCEPT

允許遞歸DNS服務(wù)器

iptables-AOUTPUT-pudp--dport53-d-jACCEPT

iptables-AOUTPUT-pudp--dport53-d-jACCEPT

```

(2)VPN服務(wù)配置

```bash

IPsec端口

iptables-AINPUT-pudp--dport500-jACCEPT

iptables-AINPUT-pudp--dport4500-jACCEPT

L2TP/IPsec端口

iptables-AINPUT-ptcp--dport1701-jACCEPT

OpenVPN端口（示例443）

iptables-AINPUT-ptcp--dport443-jACCEPT

```

(3)限制連接頻率

```bash

限制每分鐘最多允許60個新SSH連接

iptables-AINPUT-ptcp--dport22-mlimit--limit60/min-jACCEPT

iptables-AINPUT-ptcp--dport22-jDROP

限制HTTP請求頻率

iptables-AINPUT-ptcp--dport80-mlimit--limit1000/m-jACCEPT

iptables-AINPUT-ptcp--dport80-jDROP

```

2.NAT配置示例

(1)網(wǎng)絡(luò)地址轉(zhuǎn)換

```bash

清空NAT表

iptables-tnat-F

iptables-tnat-X

配置源NAT

iptables-tnat-APOSTROUTING-oeth0-jMASQUERADE

配置端口轉(zhuǎn)發(fā)

iptables-tnat-APREROUTING-ptcp--dport8080-jDNAT--to-destination00:80

iptables-AFORWARD-ptcp--dport8080-d00-jACCEPT

```

3.規(guī)則優(yōu)化技巧

(1)優(yōu)化規(guī)則順序

```bash

優(yōu)先級示例：允許規(guī)則在前，拒絕規(guī)則在后

iptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT

iptables-AINPUT-ilo-jACCEPT

iptables-AINPUT-ptcp--dport22-mrecent--set

iptables-AINPUT-ptcp--dport22-mrecent--update--seconds60--hitcount4-jDROP

iptables-AINPUT-ptcp--dport22-jACCEPT

iptables-AINPUT-jDROP

```

（二）firewalld配置示例（續(xù)）

1.高級區(qū)域配置

(1)自定義區(qū)域創(chuàng)建

```bash

創(chuàng)建DMZ區(qū)域

firewall-cmd--permanent--new-zone=dmz

firewall-cmd--permanent--zone=dmz--set-target=REJECT

firewall-cmd--permanent--zone=dmz--add-forward-port=port=80:proto=tcp:toport=8080:toaddr=

firewall-cmd--permanent--zone=dmz--add-forward-port=port=443:proto=tcp:toport=8443:toaddr=

firewall-cmd--permanent--zone=dmz--add-service=http

firewall-cmd--permanent--zone=dmz--add-service=https

firewall-cmd--reload

```

(2)防火墻日志配置

```bash

啟用詳細日志

firewall-cmd--permanent--set-log-level=debug

指定日志文件路徑

firewall-cmd--permanent--set-log-prefix=myfirewall-

firewall-cmd--reload

```

2.服務(wù)管理進階

(1)限制服務(wù)連接數(shù)

```bash

限制FTP連接（需要安裝fail2ban）

systemctlenablefail2ban

cp/etc/fail2ban/jail.conf/etc/fail2ban/jail.local

nano/etc/fail2ban/jail.local

添加以下配置

[sshd]

enabled=true

port=22

filter=sshd

logpath=/var/log/auth.log

maxretry=3

findtime=10m

bantime=1h

```

(2)自定義服務(wù)創(chuàng)建

```bash

創(chuàng)建自定義服務(wù)

firewall-cmd--permanent--new-service=mycustom

firewall-cmd--permanent--service=mycustom--set-short="MyCustomService"

firewall-cmd--permanent--service=mycustom--set-description="Thisisacustomservice"

firewall-cmd--permanent--service=mycustom--add-port=6000/tcp

firewall-cmd--permanent--service=mycustom--add-port=6000/udp

firewall-cmd--reload

```

（三）nftables配置示例（續(xù)）

1.高級規(guī)則集示例

(1)多鏈路網(wǎng)絡(luò)配置

```bash

創(chuàng)建主網(wǎng)絡(luò)表

nftdeletetableinetmynetwork2>/dev/null

nftcreatetableinetmynetwork{

chaininput{typefilterhookinputpriorityfilter;policyaccept;}

chainforward{typefilterhookforwardpriorityfilter;policydrop;}

chainoutput{typefilterhookoutputpriorityfilter;policyaccept;}

}

配置主接口規(guī)則

nftaddruleinetmynetworkinputiif"eth0"accept

nftaddruleinetmynetworkinputiif"eth1"accept

nftaddruleinetmynetworkinputctstateestablished,relatedaccept

nftaddruleinetmynetworkinputipsaddr/24accept

```

2.日志記錄擴展

(1)詳細日志配置

```bash

創(chuàng)建日志表

nftaddtableinetfirewall_logs{

chaindropped{

typefilterhookinputpriorityfilter;policylog;

counter

}

chainaccepted{

typefilterhookinputpriorityfilter;policylog;

counter

}

}

主規(guī)則集日志擴展

nftinsertruleinetmyfirewallinputipsaddr!/24counterlogprefix"DROP:"logflagsipv4loglevelwarning

nftinsertruleinetmyfirewallinputctstateestablished,relatedcounterlogprefix"ALLOW:"logflagsipv4logleveldebug

```

3.高級安全特性

(1)用戶認(rèn)證關(guān)聯(lián)

```bash

創(chuàng)建認(rèn)證用戶表

nftaddtableipusers{

setauthenticated{

typeipv4set

keyipaddrstring

}

}

規(guī)則關(guān)聯(lián)認(rèn)證用戶

nftaddruleinetmyfirewallinputipsaddr@authenticatedaccept

nftaddruleinetmyfirewallinputipsaddr!@authenticatedcounterlogprefix"UNAUTH:"

```

十、防火墻維護最佳實踐

（一）定期維護流程

1.檢查周期建議

(1)每日檢查：使用自動化腳本監(jiān)控規(guī)則變更

(2)每周檢查：審查日志和封禁IP

(3)每月檢查：全面審計規(guī)則和配置

2.標(biāo)準(zhǔn)檢查清單

-檢查所有開放端口的有效性

-驗證服務(wù)狀態(tài)是否匹配配置

-查看防火墻日志異常

-檢查封禁IP列表

-備份當(dāng)前規(guī)則配置

（二）變更管理規(guī)范

1.變更流程

(1)提交變更請求

(2)審核變更方案

(3)在測試環(huán)境驗證

(4)通知相關(guān)團隊

(5)記錄變更詳情

2.變更前準(zhǔn)備

-創(chuàng)建完整規(guī)則備份

-準(zhǔn)備回滾方案

-測試網(wǎng)絡(luò)連通性

-確認(rèn)服務(wù)依賴關(guān)系

（三）應(yīng)急響應(yīng)預(yù)案

1.常見問題處理

-無法訪問服務(wù)：檢查端口和規(guī)則

-防火墻崩潰：重啟服務(wù)或系統(tǒng)

-規(guī)則錯誤：立即回滾到備份

2.應(yīng)急操作步驟

(1)確認(rèn)問題范圍

(2)暫時開放關(guān)鍵端口（記錄操作）

(3)分析日志定位問題

(4)逐步恢復(fù)規(guī)則

(5)通知受影響用戶

十一、防火墻與其他安全工具的協(xié)同

（一）入侵檢測系統(tǒng)(IDS)

1.集成方法

-snort：通過iptables日志觸發(fā)動作

-suricata：直接調(diào)用iptables規(guī)則

2.配置示例

```bash

snort日志轉(zhuǎn)發(fā)到iptables

snort-Alog-c/etc/snort/snort.conf

iptables規(guī)則攔截IDS告警

iptables-AINPUT-mstring--string"IDSAlert"-jDROP

```

（二）Web應(yīng)用防火墻(WAF)

1.常見集成方式

-ModSecurity（Apache）

-CloudflareAPI（反向代理）

-AWSWAF（云環(huán)境）

2.配置注意事項

-避免重復(fù)規(guī)則沖突

-設(shè)置合理的攔截級別

-定期更新規(guī)則庫

（三）VPN解決方案

1.防火墻與VPN協(xié)同

-在VPN網(wǎng)關(guān)上配置防火墻

-限制VPN用戶訪問范圍

-記錄VPN流量日志

2.安全配置示例

```bash

OpenVPN防火墻配置

server

client-to-client

network

push"route"

keepalive10120

client-config-dir/etc/openvpn/ccd

usernobody

groupnobody

persist-key

persist-tun

status/var/log/openvpn/status.log

log/var/log/openvpn/openvpn.log

verb3

mktun

ifconfig-push

```

十二、性能優(yōu)化與監(jiān)控

（一）性能調(diào)優(yōu)參數(shù)

1.iptables優(yōu)化

-調(diào)整連接跟蹤緩存

```bash

echo4096>/proc/sys/net/ipv4/ip_conntrack_max

echo128>/proc/sys/net/nf_conntrack_max

```

-使用連接跟蹤模塊

```bash

modprobenf_conntrack_ipv4

```

2.firewalld優(yōu)化

-調(diào)整并行處理線程

```bash

firewall-cmd--set-cmds-per-thread=10

```

3.nftables優(yōu)化

-批量處理規(guī)則

```bash

nftflushruleset

nftaddtableinetmyfirewall{chaininput{typefilterhookinputpriorityfilter;policyaccept;};}

```

（二）監(jiān)控工具配置

1.常用監(jiān)控工具

-ntopng：實時流量監(jiān)控

-wireshark：數(shù)據(jù)包分析

-atop：系統(tǒng)性能監(jiān)控

2.配置示例

(1)ntopng基本配置

```bash

安裝ntopng

aptupdate

aptinstallntopng

systemctlenablentopng

systemctlstartntopng

訪問Web界面：http://localhost:3000

```

(2)防火墻日志收集

```bash

配置logrotate

nano/etc/logrotate.d/firewall

/var/log/firewalld.log{

daily

missingok

rotate7

compress

delaycompress

notifempty

create640rootadm

postrotate

/usr/libexec/logrotate/apply-daily-cron-rotate

endscript

}

```

（三）高可用方案

1.主備架構(gòu)

-配置防火墻集群

-使用keepalived實現(xiàn)負(fù)載均衡

```bash

keepalived配置示例

vrrp_instanceVI0{

stateMASTER

interfaceeth0

virtual_ipaddress00

virtual_server00{

port80

protocolhttp

weight1

魏節(jié)點1{

ip01

port80

weight1

}

}

}

```

2.冗余配置建議

-在不同物理位置部署防火墻

-配置DNS輪詢

-設(shè)置健康檢查腳本

十三、常見故障排除

（一）連接問題診斷

1.連接失敗檢查步驟

(1)驗證目標(biāo)端口開放

```bash

telnetyour_server80

nc-zvyour_server22

```

(2)檢查防火墻規(guī)則順序

```bash

iptables-L-v-n--line-numbers

```

(3)驗證網(wǎng)絡(luò)路徑

```bash

tracerouteyour_server

```

(4)檢查防火墻日志

```bash

tail-f/var/log/firewalld.log

```

（二）配置錯誤修復(fù)

1.常見錯誤類型

-規(guī)則沖突

-端口配置錯誤

-區(qū)域策略錯誤

-NAT配置問題

2.快速修復(fù)方法

(1)規(guī)則沖突修復(fù)

```bash

查找沖突規(guī)則

iptables-CINPUT-ptcp--dport80-jACCEPT

重新配置

iptables-DINPUT-ptcp--dport80-jACCEPT

iptables-AINPUT-ptcp--dport80-jACCEPT

```

(2)端口配置修復(fù)

```bash

檢查開放端口

firewall-cmd--list-ports

重新開放端口

firewall-cmd--permanent--add-port=22/tcp

firewall-cmd--reload

```

（三）性能瓶頸處理

1.性能監(jiān)控指標(biāo)

-規(guī)則處理延遲

-內(nèi)存使用率

-CPU占用率

-并發(fā)連接數(shù)

2.優(yōu)化建議

-批量處理規(guī)則

-使用連接跟蹤緩存

-限制并發(fā)連接數(shù)

-升級硬件資源

十四、附錄：實用命令參考

（一）iptables常用命令

1.基本操作

```bash

查看規(guī)則

iptables-L-v-n

查看規(guī)則表

iptables-tnat-L-v-n

添加規(guī)則

iptables-AINPUT-ptcp--dport80-jACCEPT

刪除規(guī)則

iptables-DINPUT-ptcp--dport80-jACCEPT

清空規(guī)則

iptables-F

```

2.高級功能

```bash

表格管理

iptables-tnat-NPREROUTING

iptables-tnat-X

狀態(tài)跟蹤

iptables-mstate--stateESTABLISHED,RELATED

連接跟蹤

iptables-mconntrack--ctstateRELATED,ESTABLISHED

```

（二）firewalld常用命令

1.基本操作

```bash

查看區(qū)域

firewall-cmd--get-active-zones

查看開放服務(wù)

firewall-cmd--list-services

添加服務(wù)

firewall-cmd--permanent--add-service=http

重載配置

firewall-cmd--reload

```

2.高級操作

```bash

查看規(guī)則詳情

firewall-cmd--list-all

添加端口

firewall-cmd--permanent--add-port=8080/tcp

設(shè)置區(qū)域策略

firewall-cmd--permanent--set-zone=public--set-target=REJECT

```

（三）nftables常用命令

1.基本操作

```bash

查看規(guī)則集

nftlistruleset

創(chuàng)建規(guī)則集

nftcreatetableinetmyfirewall{

chaininput{typefilterhookinputpriorityfilter;policyaccept;}

}

添加規(guī)則

nftaddruleinetmyfirewallinputipsaddr00accept

```

2.高級功能

```bash

規(guī)則轉(zhuǎn)換

nftconvert-fiptables/etc/iptables/rules.v4

批量導(dǎo)入

nft-ffile/etc/nftables.conf

查看統(tǒng)計

nftcounterget

```

一、Linux系統(tǒng)防火墻概述

Linux系統(tǒng)防火墻是保障系統(tǒng)安全的重要組件，它通過過濾網(wǎng)絡(luò)流量、監(jiān)控和限制進出網(wǎng)絡(luò)的數(shù)據(jù)包，防止未經(jīng)授權(quán)的訪問和惡意攻擊。常見的Linux防火墻工具包括iptables、firewalld和nftables等。本文將詳細介紹如何在Linux系統(tǒng)中設(shè)置防火墻，包括基本配置、規(guī)則添加、服務(wù)管理以及安全最佳實踐。

二、Linux防火墻工具介紹

（一）iptables

iptables是Linux系統(tǒng)中傳統(tǒng)的防火墻工具，基于Netfilter內(nèi)核框架工作。其主要功能包括：

1.數(shù)據(jù)包過濾：根據(jù)源/目的IP地址、端口號、協(xié)議類型等條件過濾數(shù)據(jù)包。

2.NAT轉(zhuǎn)換：實現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換，隱藏內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)。

3.防火墻日志：記錄符合特定條件的數(shù)據(jù)包。

（二）firewalld

firewalld是較新的動態(tài)防火墻管理工具，提供更友好的用戶界面。其主要特點：

1.動態(tài)管理：可在不重啟服務(wù)的情況下修改規(guī)則。

2.區(qū)域劃分：預(yù)設(shè)多種安全區(qū)域（public、private等）。

3.服務(wù)管理：簡化常見服務(wù)的端口開放配置。

（三）nftables

nftables是iptables的現(xiàn)代化替代方案，提供更高效的規(guī)則處理能力。主要優(yōu)勢：

1.高性能：使用單一數(shù)據(jù)結(jié)構(gòu)處理所有規(guī)則。

2.靈活性：支持更復(fù)雜的規(guī)則匹配和動作。

3.易用性：語法更簡潔，操作更直觀。

三、防火墻基本配置步驟

（一）檢查現(xiàn)有防火墻狀態(tài)

1.iptables：使用`iptables-L-v-n`查看規(guī)則

2.firewalld：使用`firewall-cmd--list-all`查看區(qū)域和規(guī)則

3.nftables：使用`nftlistruleset`查看規(guī)則

（二）選擇合適的防火墻工具

根據(jù)系統(tǒng)需求選擇：

-傳統(tǒng)應(yīng)用環(huán)境：iptables

-動態(tài)服務(wù)管理：firewalld

-性能要求高：nftables

（三）基礎(chǔ)配置流程

1.禁用默認(rèn)轉(zhuǎn)發(fā)（除非需要路由功能）

-iptables：`iptables-PFORWARDDENY`

-firewalld：禁用轉(zhuǎn)發(fā)區(qū)域

-nftables：設(shè)置默認(rèn)拒絕策略

2.允許本地回環(huán)接口

-iptables：`iptables-AINPUT-ilo-jACCEPT`

-firewalld：允許loopback服務(wù)

-nftables：創(chuàng)建loopback規(guī)則

3.設(shè)置默認(rèn)安全策略

-INPUT：允許本地連接，拒絕其他

-OUTPUT：允許所有出站

-FORWARD：拒絕轉(zhuǎn)發(fā)（除非特別配置）

四、iptables詳細配置指南

（一）基礎(chǔ)規(guī)則操作

1.查看規(guī)則表

```bash

iptables-L-v-n--line-numbers

```

2.添加規(guī)則示例

-允許SSH連接：`iptables-AINPUT-ptcp--dport22-jACCEPT`

-拒絕特定IP：`iptables-AOUTPUT-d00-jDROP`

3.規(guī)則優(yōu)先級管理

-規(guī)則編號決定優(yōu)先級（編號越小越先匹配）

-使用-i選項指定接口

（二）常見應(yīng)用場景

1.服務(wù)器安全配置

-僅允許SSH：關(guān)閉所有入站，僅開放22端口

-雙重認(rèn)證配置：允許從特定IP的SSH連接

2.負(fù)載均衡設(shè)置

-NAT轉(zhuǎn)發(fā)：`iptables-tnat-APREROUTING-ptcp--dport80-jDNAT--to-destination:8080`

3.日志記錄配置

-記錄非法連接：`iptables-AINPUT-mlimit--limit5/m-jLOG`

（三）規(guī)則持久化方法

1.iptables保存方案

```bash

iptables-save>/etc/iptables/rules.v4

```

-重啟后使用：`iptables-restore</etc/iptables/rules.v4`

2.systemd服務(wù)（firewalld）

```bash

firewall-cmd--runtime-to-持久化

```

五、firewalld配置詳解

（一）區(qū)域管理

1.查看可用區(qū)域

```bash

firewall-cmd--get-active-zones

```

2.修改區(qū)域策略

```bash

firewall-cmd--set-zone=public--permanent

```

3.自定義區(qū)域創(chuàng)建

```bash

firewall-cmd--new-zone=myzone--permanent

```

（二）服務(wù)管理

1.查看可用服務(wù)

```bash

firewall-cmd--get-services

```

2.添加自定義服務(wù)

```bash

firewall-cmd--permanent--new-service=myapp--add-port=8080/tcp

```

3.開放服務(wù)端口

```bash

firewall-cmd--permanent--add-service=myapp

```

（三）端口和接口配置

1.添加自定義端口

```bash

firewall-cmd--permanent--add-port=3000/tcp

```

2.接口管理

```bash

firewall-cmd--permanent--zone=public--add-interface=eth1

```

六、nftables高級配置

（一）基礎(chǔ)規(guī)則語法

1.創(chuàng)建規(guī)則集示例

```bash

nftaddtableinetmyfirewall{

chaininput{

typefilterhookinputpriorityfilter;policyaccept;

iif"lo"accept

ctstateestablished,relatedaccept

ipsaddraccept

tcpdport22accept

drop

}

}

```

2.規(guī)則類型說明

-filter：數(shù)據(jù)包過濾

-nat：網(wǎng)絡(luò)地址轉(zhuǎn)換

-counter：計數(shù)器（無動作效果）

（二）高級特性

1.連接跟蹤應(yīng)用

```bash

ctstateestablished,relatedaccept

```

2.用戶自定義字段

```bash

setipsrcipmyclients{00;01}

```

3.動態(tài)規(guī)則更新

```bash

nftaddruleinetmyfirewallinputipsaddr@myclientsaccept

```

（三）遷移注意事項

1.從iptables遷移

```bash

nftconvert-fiptables/etc/iptables/rules.v4

```

2.兼容性處理

-舊iptables模塊可能需要更新內(nèi)核

-某些特性在nftables中不可用

七、防火墻安全最佳實踐

（一）最小權(quán)限原則

1.僅開放必要端口

-生產(chǎn)環(huán)境關(guān)閉所有非必要端口

-使用ufw限制端口（Ubuntu）

2.限制IP來源

-僅允許特定IP或網(wǎng)段的SSH訪問

-使用網(wǎng)絡(luò)分段隔離敏感服務(wù)

（二）定期審計

1.規(guī)則審查周期

-每月審查防火墻規(guī)則

-記錄變更歷史

2.日志分析工具

-fail2ban：自動封禁暴力破解IP

-logwatch：定期生成安全報告

（三）高可用方案

1.雙機熱備

-配置主備防火墻

-使用keepalived實現(xiàn)切換

2.負(fù)載均衡

-在多防火墻間分配流量

-配置HAProxy配合iptables

八、常見問題排查

（一）連接失敗診斷

1.端口檢查工具

```bash

telnetyour_server80

nc-zvyour_server22

```

2.防火墻狀態(tài)確認(rèn)

```bash

sudonetstat-tuln

```

（二）配置錯誤修復(fù)

1.iptables回滾

```bash

iptables-restore</root/backup.rules

```

2.firewalld重置

```bash

firewall-cmd--reset

```

（三）性能優(yōu)化建議

1.規(guī)則優(yōu)化

-將常見規(guī)則置頂

-避免使用過于復(fù)雜的匹配條件

2.資源監(jiān)控

```bash

top-c|grepiptables

```

九、附錄：配置示例

（一）iptables基礎(chǔ)配置示例

清空現(xiàn)有規(guī)則

iptables-F

iptables-X

iptables-tnat-F

iptables-tnat-X

設(shè)置默認(rèn)策略

iptables-PINPUTDROP

iptables-PFORWARDDROP

iptables-POUTPUTACCEPT

允許本地回環(huán)

iptables-AINPUT-ilo-jACCEPT

iptables-AOUTPUT-olo-jACCEPT

允許已建立連接

iptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT

允許SSH

iptables-AINPUT-ptcp--dport22-mstate--stateNEW-mrecent--set

iptables-AINPUT-ptcp--dport22-mstate--stateNEW-mrecent--update--seconds60--hitcount4-jDROP

iptables-AINPUT-ptcp--dport22-jACCEPT

允許HTTP/HTTPS

iptables-AINPUT-ptcp--dport80-jACCEPT

iptables-AINPUT-ptcp--dport443-jACCEPT

保存規(guī)則

iptables-save>/etc/iptables/rules.v4

（二）firewalld配置示例

禁用所有區(qū)域

firewall-cmd--permanent--zone=public--remove-all-services

firewall-cmd--permanent--zone=public--remove-all-masquerades

自定義區(qū)域

firewall-cmd--permanent--new-zone=myzone

firewall-cmd--permanent--zone=myzone--set-target=REJECT

添加服務(wù)

firewall-cmd--permanent--zone=myzone--add-service=http

firewall-cmd--permanent--zone=myzone--add-port=8080/tcp

啟用區(qū)域

firewall-cmd--reload

（三）nftables配置示例

創(chuàng)建規(guī)則集

nftdeletetableinetmyfirewall2>/dev/null

nftcreatetableinetmyfirewall{

chaininput{

typefilterhookinputpriorityfilter;policyaccept;

iif"lo"accept

ctstateestablished,relatedaccept

ipsaddr00accept

tcpdport22accept

tcpdport80accept

tcpdport443accept

drop

}

}

添加日志記錄

nftinsertruleinetmyfirewallinputipsaddr!/24counterlogprefix"DROP:"

九、附錄：配置示例（續(xù)）

（一）iptables基礎(chǔ)配置示例（續(xù)）

1.高級規(guī)則示例

(1)DNS解析處理

```bash

允許本地DNS查詢

iptables-AOUTPUT-pudp--dport53-jACCEPT

iptables-AINPUT-pudp--dport53-jACCEPT

允許遞歸DNS服務(wù)器

iptables-AOUTPUT-pudp--dport53-d-jACCEPT

iptables-AOUTPUT-pudp--dport53-d-jACCEPT

```

(2)VPN服務(wù)配置

```bash

IPsec端口

iptables-AINPUT-pudp--dport500-jACCEPT

iptables-AINPUT-pudp--dport4500-jACCEPT

L2TP/IPsec端口

iptables-AINPUT-ptcp--dport1701-jACCEPT

OpenVPN端口（示例443）

iptables-AINPUT-ptcp--dport443-jACCEPT

```

(3)限制連接頻率

```bash

限制每分鐘最多允許60個新SSH連接

iptables-AINPUT-ptcp--dport22-mlimit--limit60/min-jACCEPT

iptables-AINPUT-ptcp--dport22-jDROP

限制HTTP請求頻率

iptables-AINPUT-ptcp--dport80-mlimit--limit1000/m-jACCEPT

iptables-AINPUT-ptcp--dport80-jDROP

```

2.NAT配置示例

(1)網(wǎng)絡(luò)地址轉(zhuǎn)換

```bash

清空NAT表

iptables-tnat-F

iptables-tnat-X

配置源NAT

iptables-tnat-APOSTROUTING-oeth0-jMASQUERADE

配置端口轉(zhuǎn)發(fā)

iptables-tnat-APREROUTING-ptcp--dport8080-jDNAT--to-destination00:80

iptables-AFORWARD-ptcp--dport8080-d00-jACCEPT

```

3.規(guī)則優(yōu)化技巧

(1)優(yōu)化規(guī)則順序

```bash

優(yōu)先級示例：允許規(guī)則在前，拒絕規(guī)則在后

iptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT

iptables-AINPUT-ilo-jACCEPT

iptables-AINPUT-ptcp--dport22-mrecent--set

iptables-AINPUT-ptcp--dport22-mrecent--update--seconds60--hitcount4-jDROP

iptables-AINPUT-ptcp--dport22-jACCEPT

iptables-AINPUT-jDROP

```

（二）firewalld配置示例（續(xù)）

1.高級區(qū)域配置

(1)自定義區(qū)域創(chuàng)建

```bash

創(chuàng)建DMZ區(qū)域

firewall-cmd--permanent--new-zone=dmz

firewall-cmd--permanent--zone=dmz--set-target=REJECT

firewall-cmd--permanent--zone=dmz--add-forward-port=port=80:proto=tcp:toport=8080:toaddr=

firewall-cmd--permanent--zone=dmz--add-forward-port=port=443:proto=tcp:toport=8443:toaddr=

firewall-cmd--permanent--zone=dmz--add-service=http

firewall-cmd--permanent--zone=dmz--add-service=https

firewall-cmd--reload

```

(2)防火墻日志配置

```bash

啟用詳細日志

firewall-cmd--permanent--set-log-level=debug

指定日志文件路徑

firewall-cmd--permanent--set-log-prefix=myfirewall-

firewall-cmd--reload

```

2.服務(wù)管理進階

(1)限制服務(wù)連接數(shù)

```bash

限制FTP連接（需要安裝fail2ban）

systemctlenablefail2ban

cp/etc/fail2ban/jail.conf/etc/fail2ban/jail.local

nano/etc/fail2ban/jail.local

添加以下配置

[sshd]

enabled=true

port=22

filter=sshd

logpath=/var/log/auth.log

maxretry=3

findtime=10m

bantime=1h

```

(2)自定義服務(wù)創(chuàng)建

```bash

創(chuàng)建自定義服務(wù)

firewall-cmd--permanent--new-service=mycustom

firewall-cmd--permanent--service=mycustom--set-short="MyCustomService"

firewall-cmd--permanent--service=mycustom--set-description="Thisisacustomservice"

firewall-cmd--permanent--service=mycustom--add-port=6000/tcp

firewall-cmd--permanent--service=mycustom--add-port=6000/udp

firewall-cmd--reload

```

（三）nftables配置示例（續(xù)）

1.高級規(guī)則集示例

(1)多鏈路網(wǎng)絡(luò)配置

```bash

創(chuàng)建主網(wǎng)絡(luò)表

nftdeletetableinetmynetwork2>/dev/null

nftcreatetableinetmynetwork{

chaininput{typefilterhookinputpriorityfilter;policyaccept;}

chainforward{typefilterhookforwardpriorityfilter;policydrop;}

chainoutput{typefilterhookoutputpriorityfilter;policyaccept;}

}

配置主接口規(guī)則

nftaddruleinetmynetworkinputiif"eth0"accept

nftaddruleinetmynetworkinputiif"eth1"accept

nftaddruleinetmynetworkinputctstateestablished,relatedaccept

nftaddruleinetmynetworkinputipsaddr/24accept

```

2.日志記錄擴展

(1)詳細日志配置

```bash

創(chuàng)建日志表

nftaddtableinetfirewall_logs{

chaindropped{

typefilterhookinputpriorityfilter;policylog;

counter

}

chainaccepted{

typefilterhookinputpriorityfilter;policylog;

counter

}

}

主規(guī)則集日志擴展

nftinsertruleinetmyfirewallinputipsaddr!/24counterlogprefix"DROP:"logflagsipv4loglevelwarning

nftinsertruleinetmyfirewallinputctstateestablished,relatedcounterlogprefix"ALLOW:"logflagsipv4logleveldebug

```

3.高級安全特性

(1)用戶認(rèn)證關(guān)聯(lián)

```bash

創(chuàng)建認(rèn)證用戶表

nftaddtableipusers{

setauthenticated{

typeipv4set

keyipaddrstring

}

}

規(guī)則關(guān)聯(lián)認(rèn)證用戶

nftaddruleinetmyfirewallinputipsaddr@authenticatedaccept

nftaddruleinetmyfirewallinputipsaddr!@authenticatedcounterlogprefix"UNAUTH:"

```

十、防火墻維護最佳實踐

（一）定期維護流程

1.檢查周期建議

(1)每日檢查：使用自動化腳本監(jiān)控規(guī)則變更

(2)每周檢查：審查日志和封禁IP

(3)每月檢查：全面審計規(guī)則和配置

2.標(biāo)準(zhǔn)檢查清單

-檢查所有開放端口的有效性

-驗證服務(wù)狀態(tài)是否匹配配置

-查看防火墻日志異常

-檢查封禁IP列表

-備份當(dāng)前規(guī)則配置

（二）變更管理規(guī)范

1.變更流程

(1)提交變更請求

(2)審核變更方案

(3)在測試環(huán)境驗證

(4)通知相關(guān)團隊

(5)記錄變更詳情

2.變更前準(zhǔn)備

-創(chuàng)建完整規(guī)則備份

-準(zhǔn)備回滾方案

-測試網(wǎng)絡(luò)連通性

-確認(rèn)服務(wù)依賴關(guān)系

（三）應(yīng)急響應(yīng)預(yù)案

1.常見問題處理

-無法訪問服務(wù)：檢查端口和規(guī)則

-防火墻崩潰：重啟服務(wù)或系統(tǒng)

-規(guī)則錯誤：立即回滾到備份

2.應(yīng)急操作步驟

(1)確認(rèn)問題范圍

(2)暫時開放關(guān)鍵端口（記錄操作）

(3)分析日志定位問題

(4)逐步恢復(fù)規(guī)則

(5)通知受影響用戶

十一、防火墻與其他安全工具的協(xié)同

（一）入侵檢測系統(tǒng)(IDS)

1.集成方法

-snort：通過iptables日志觸發(fā)動作

-suricata：直接調(diào)用iptables規(guī)則

2.配置示例

```bash

snort日志轉(zhuǎn)發(fā)到iptables

snort-Alog-c/etc/snort/snort.conf

iptables規(guī)則攔截IDS告警

iptables-AINPUT-mstring--string"IDSAlert"-jDROP

```

（二）Web應(yīng)用防火墻(WAF)

1.常見集成方式

-ModSecurity（Apache）

-CloudflareAPI（反向代理）

-AWSWAF（云環(huán)境）

2.配置注意事項

-避免重復(fù)規(guī)則沖突

-設(shè)置合理的攔截級別

-定期更新規(guī)則庫

（三）VPN解決方案

1.防火墻與VPN協(xié)同

-在VPN網(wǎng)關(guān)上配置防火墻

-限制VPN用戶訪問范圍

-記錄VPN流量日志

2.安全配置示例

```bash

OpenVPN防火墻配置

server

client-to-client

network

push"route"

keepalive10120

client-config-dir/etc/openvpn/ccd

usernobody

groupnobody

persist-key

persist-tun

status/var/log/openvpn/status.log

log/var/log/openvpn/openvpn.log

verb3

mktun

ifconfig-push

```

十二、性能優(yōu)化與監(jiān)控

（一）性能調(diào)優(yōu)參數(shù)

1.iptables優(yōu)化

-調(diào)整連接跟蹤緩存

```bash

echo4096>/proc/sys/net/ipv4/ip_conntrack_max

echo128>/proc/sys/net/nf_conntrack_max

```

-使用連接跟蹤模塊

```bash

modprobenf_conntrack_ipv4

```

2.firewalld優(yōu)化

-調(diào)整并行處理線程

```bash

firewall-cmd--set-cmds-per-thread=10

```

3.nftables優(yōu)化

-批量處理規(guī)則

```bash

nftflushruleset

nftaddtableinetmyfirewall{chaininput{typefilterhookinputpriorityfilter;policyaccept;};}

```

（二）監(jiān)控工具配置

1.常用監(jiān)控工具

-ntopng：實時流量監(jiān)控

-wireshark：數(shù)據(jù)包分析

-atop：系統(tǒng)性能監(jiān)控

2.配置示例

(1)ntopng基本配置

```bash

安裝ntopng

aptupdate

aptinstallntopng

systemctlenablentopng

systemctlstartntopng

訪問Web界面：http://localhost:3000

```

(2)防火墻日志收集

```bash

配置logrotate

nano/etc/logrotate.d/firewall

/var/log/firewalld.log{

daily

missingok

rotate7

compress

delaycompress

notifempty

create640rootadm

postrotate

/usr/libexec/logrotate/apply-daily-cron-rotate

endscript

}

```

（三）高可用方案

1.主備架構(gòu)

-配置防火墻集群

-使用keepalived實現(xiàn)負(fù)載均衡

```bash

keepalived配置示例

vrrp_instanceVI0{

stateMASTER

interfaceeth0

virtual_ipaddress00

virtual_server00{

port80

protocolhttp

weight1

魏節(jié)點1{

ip01

port80

weight1

}

}

}

```

2.冗余配置建議

-在不同物理位置部署防火墻

-配置DNS輪詢

-設(shè)置健康檢查腳本

十三、常見故障排除

（一）連接問題診斷

1.連接失敗檢查步驟

(1)驗證目標(biāo)端口開放

```bash

telnetyour_server80

nc-zvyour_server22

```

(2)檢查防火墻規(guī)則順序

```bash

iptables-L-v-n--line-numbers

```

(3)驗證網(wǎng)絡(luò)路徑

```bash

tracerouteyour_server

```

(4)檢查防火墻日志

```bash

tail-f/var/log/firewalld.log

```

（二）配置錯誤修復(fù)

1.常見錯誤類型

-規(guī)則沖突

-端口配置錯誤

-區(qū)域策略錯誤

-NAT配置問題

2.快速修復(fù)方法

(1)規(guī)則沖突修復(fù)

```bash

查找沖突規(guī)則

iptables-CINPUT-ptcp--dport80-jACCEPT

重新配置

iptables-DINPUT-ptcp--dport80-jACCEPT

iptables-AINPUT-ptcp--dport80-jACCEPT

```

(2)端口配置修復(fù)

```bash

檢查開放端口

firewall-cmd--list-ports

重新開放端口

firewall-cmd--permanent--add-port=22/tcp

firewall-cmd--reload

```

（三）性能瓶頸處理

1.性能監(jiān)控指標(biāo)

-規(guī)則處理延遲

-內(nèi)存使用率

-CPU占用率

-并發(fā)連接數(shù)

2.優(yōu)化建議

-批量處理規(guī)則

-使用連接跟蹤緩存

-限制并發(fā)連接數(shù)

-升級硬件資源

十四、附錄：實用命令參考

（一）iptables常用命令

1.基本操作

```bash

查看規(guī)則

iptables-L-v-n

查看規(guī)則表

iptables-tnat-L-v-n

添加規(guī)則

iptables-AINPUT-ptcp--dport80-jACCEPT

刪除規(guī)則

iptables-DINPUT-ptcp--dport80-jACCEPT

清空規(guī)則

iptables-F

```

2.高級功能

```bash

表格管理

iptables-tnat-NPREROUTING

iptables-tnat-X

狀態(tài)跟蹤

iptables-mstate--stateESTABLISHED,RELATED

連接跟蹤

iptables-mconntrack--ctstateRELATED,ESTABLISHED

```

（二）firewalld常用命令

1.基本操作

```bash

查看區(qū)域

firewall-cmd--get-active-zones

查看開放服務(wù)

firewall-cmd--list-services

添加服務(wù)

firewall-cmd--permanent--add-service=http

重載配置

firewall-cmd--reload

```

2.高級操作

```bash

查看規(guī)則詳情

firewall-cmd--list-all

添加端口

firewall-cmd--permanent--add-port=8080/tcp

設(shè)置區(qū)域策略

firewall-cmd--permanent--set-zone=public--set-target=REJECT

```

（三）nftables常用命令

1.基本操作

```bash

查看規(guī)則集

nftlistruleset

創(chuàng)建規(guī)則集

nftcreatetableinetmyfirewall{

chaininput{typefilterhookinputpriorityfilter;policyaccept;}

}

添加規(guī)則

nftaddruleinetmyfirewallinputipsaddr00accept

```

2.高級功能

```b