Linux防火墙配置细则.docxVIP

Linux防火墙配置细则

一、Linux防火墙概述

Linux系统内置了强大的防火墙功能，主要通过iptables或firewalld等工具实现。防火墙能够根据预设规则过滤网络流量，有效提升系统安全性。本文将详细介绍Linux防火墙的配置方法和操作步骤。

二、准备工作

（一）确认防火墙状态

1.检查iptables服务状态

-命令：`systemctlstatusiptables`

-若显示active(running)则表示服务已启动

2.检查firewalld服务状态

-命令：`systemctlstatusfirewalld`

-同样需确认服务运行状态

（二）选择合适的防火墙工具

1.iptables

-适用于传统系统，功能强大但配置复杂

-常用命令：`iptables-A`（添加规则）、`iptables-D`（删除规则）

2.firewalld

-现代系统默认选项，提供图形化管理接口

-常用命令：`firewall-cmd`（配置防火墙）

三、iptables配置详解

（一）基础规则设置

1.清空现有规则

```bash

iptables-F清空自定义规则

iptables-X清空自定义链

```

2.设置默认策略

-入站规则：`iptables-PINPUTDROP`

-出站规则：`iptables-POUTPUTDROP`

-转发规则：`iptables-PFORWARDDROP`

（二）常见规则配置

1.允许本地回环接口

```bash

iptables-AINPUT-ilo-jACCEPT

```

2.允许已建立连接的流量

```bash

iptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT

```

3.允许SSH远程管理（默认22端口）

```bash

iptables-AINPUT-ptcp--dport22-jACCEPT

```

4.允许HTTP/HTTPS服务

```bash

iptables-AINPUT-ptcp--dport80-jACCEPT

iptables-AINPUT-ptcp--dport443-jACCEPT

```

（三）端口转发配置

1.添加端口转发规则

```bash

示例：将外部8080端口转发到内部80端口

iptables-tnat-APREROUTING-ptcp--dport8080-jDNAT--to-destination:80

iptables-AFORWARD-ptcp--dport80-jACCEPT

```

2.配置源/目的NAT

```bash

源NAT示例

iptables-tnat-APOSTROUTING-oeth0-jMASQUERADE

```

四、firewalld配置详解

（一）基本服务管理

1.开启/关闭服务

```bash

开启特定服务

firewall-cmd--add-service=http--permanent

关闭特定服务

firewall-cmd--remove-service=http--permanent

```

2.查看当前开放端口

```bash

firewall-cmd--list-ports

```

（二）自定义规则配置

1.添加端口规则

```bash

添加TCP端口8080

firewall-cmd--add-port=8080/tcp--permanent

添加UDP端口53

firewall-cmd--add-port=53/udp--permanent

```

2.重载规则

```bash

firewall-cmd--reload

```

（三）区域管理

1.查看可用区域

```bash

firewall-cmd--get-active-zones

```

2.设置区域策略

```bash

设置特定区域默认策略

firewall-cmd--set-zone=public--permanent

```

五、防火墙规则维护

（一）规则备份与恢复

1.备份当前规则

```bash

iptables备份

iptables-save/root/iptables.bak

firewalld备份

firewall-cmd--runtime-to-file

```

2.恢复备份规则

```bash

iptables恢复

iptables-restore/r