1. 项目概述为什么我们需要管理Linux防火墙在Linux服务器运维和日常开发中防火墙是守护系统安全的第一道也是最重要的一道防线。它就像你家小区的门禁系统决定了哪些“访客”网络数据包可以进入哪些需要被拒之门外以及内部住户本地服务可以访问哪些外部资源。很多新手甚至是有一定经验的开发者在部署完应用后常常会遇到“本地能访问外网连不上”的诡异问题十有八九就是防火墙规则在“作祟”。Linux世界里有两大主流的防火墙管理工具iptables和firewalld。iptables是Linux内核Netfilter框架的用户态命令行工具历史悠久、功能强大且直接是理解防火墙底层逻辑的基石。而firewalld则是RHEL/CentOS/Fedora等发行版在iptables之上封装的一个动态防火墙管理器它引入了“区域”和“服务”的概念配置更直观尤其适合管理复杂网络环境下的多区域策略。我见过太多团队因为不熟悉防火墙配置要么图省事直接systemctl stop firewalld或iptables -F让服务器“裸奔”要么配置了错误的规则把自己关在门外不得不去机房或者通过控制台救急。这份指南的目的就是带你彻底搞懂这两套工具从原理到实操让你不仅能配得对更能懂得为什么这么配在遇到网络连通性问题时能快速定位并解决。2. iptables核心机制与四表五链解析要玩转iptables死记命令是没用的必须理解其核心工作机制四表五链。这是所有规则的运行框架。2.1 五链数据包的必经之路你可以把网络数据包想象成一辆辆要进入或离开你服务器这座“城堡”的马车。iptables在城堡的关键通道上设立了五个检查站这就是“链”。每个链都是规则的有序集合数据包会依次经过这些规则的检查。INPUT链处理发往本机的数据包。比如有人通过SSH连接你的服务器这个连接请求的数据包就会经过INPUT链。这是保护本机服务最重要的链。OUTPUT链处理从本机发出的数据包。比如你的服务器要访问外部的yum仓库更新软件发出的请求数据包会经过OUTPUT链。FORWARD链处理经过本机转发的数据包。当你的服务器充当路由器或网关时数据包不是发给它自己而是要从一个网卡进来另一个网卡出去这时就由FORWARD链处理。PREROUTING链在数据包进入防火墙后、进行路由判断决定是发给本机还是转发之前立即进行处理。常用于修改目的地址DNAT比如端口映射。POSTROUTING链在数据包离开防火墙、即将发送到网络接口之前进行处理。常用于修改源地址SNAT比如让内网机器通过网关共享上网。实操心得理解链的流向是关键。一个来自外部的Web请求其路径是网卡接收 -PREROUTING链- 路由判断发现目标是本机-INPUT链- 本地Web服务。而服务器返回的响应路径是本地进程发出 -OUTPUT链-POSTROUTING链- 网卡发送。2.2 四表规则的功能分类“表”定义了规则的功能类别。不同的链能使用的表是有限的。四张表按优先级从高到低依次是raw - mangle - nat - filter。filter表最常用的表负责过滤数据包决定是放行ACCEPT还是拒绝DROP/REJECT。它内置在INPUT、FORWARD、OUTPUT链中。nat表用于网络地址转换。SNAT源地址转换一般在POSTROUTING链做DNAT目的地址转换一般在PREROUTING链做。OUTPUT链也支持nat用于本机发出的数据包做DNAT较少用。mangle表用于修改数据包的内容比如TTL、TOS字段或者给数据包打标记MARK供后续规则或路由策略使用。功能强大但使用相对专业。raw表用于决定数据包是否被连接跟踪机制处理。连接跟踪是NAT和状态防火墙的基础但有时我们需要对某些流量如高性能游戏服务器关闭此功能以提升性能就会用到raw表。它们之间的关系可以用下表概括表名内置链主要功能filterINPUT, FORWARD, OUTPUT包过滤决定放行或拒绝natPREROUTING, OUTPUT, POSTROUTING网络地址转换SNAT/DNATmanglePREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING修改数据包内容或标记rawPREROUTING, OUTPUT连接跟踪豁免2.3 规则匹配与处理动作规则由匹配条件和处理动作target组成。数据包会按顺序遍历链中的规则一旦匹配成功就执行对应的动作并停止后续规则的遍历除非遇到特殊动作如LOG。常见动作ACCEPT接受数据包。DROP丢弃数据包无任何响应。对方会感觉像石沉大海这是推荐的安全做法。REJECT拒绝数据包并返回一个错误响应如connection refused。更“友好”但会暴露防火墙存在。LOG将数据包信息记录到系统日志如/var/log/messages然后继续匹配下一条规则。用于调试。SNAT/DNAT/MASQUERADEnat表中的专用动作用于地址转换。注意事项规则的顺序至关重要iptables是从上到下逐条匹配的。例如如果你第一条规则是-A INPUT -j DROP拒绝所有那么后面任何允许的规则都不会生效。因此通常的实践是先放行必要的、具体的规则最后设置一条拒绝所有的默认规则。3. iptables命令实战与经典配置案例理解了原理我们上手操作。iptables命令格式为iptables [-t 表名] 命令选项 链名 匹配条件 -j 目标动作。省略-t时默认操作filter表。3.1 基础命令与规则管理查看规则# 查看filter表所有链的规则默认表 iptables -L -n --line-numbers # -L 列出规则-n 以数字形式显示IP和端口避免DNS解析更快--line-numbers 显示规则编号对后续插入/删除至关重要 # 查看nat表规则 iptables -t nat -L -n --line-numbers # 以更详细的格式查看显示流量计数和规则选项 iptables -L -n -v清空规则与计数器# 清空指定表所有链的规则慎用可能导致远程连接中断 iptables -F # 或指定表 iptables -t nat -F # 清空所有链的流量计数器规则还在 iptables -Z # 删除用户自定义链 iptables -X # 将指定链的默认策略设置为ACCEPT或DROP注意默认策略不参与规则遍历是最后兜底的 iptables -P INPUT ACCEPT踩过的坑千万不要在远程SSH连接的情况下先执行iptables -F再执行iptables -P INPUT DROP。这会导致你立刻断开连接并无法再连入。正确的做法是先添加允许SSH的规则再设置默认拒绝策略。添加与删除规则# 在INPUT链末尾添加一条规则允许来自192.168.1.0/24网段的SSH连接 iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT # 在INPUT链开头插入一条规则优先级最高 iptables -I INPUT 1 -p tcp --dport 80 -j ACCEPT # 根据规则编号删除规则需要先用--line-numbers查看编号 iptables -D INPUT 3 # 根据匹配条件删除规则需完全匹配添加时的条件 iptables -D INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT3.2 一个Web服务器的经典防火墙配置假设我们有一台CentOS 7服务器需要开放SSH、HTTP、HTTPS服务并对ICMPping做限速最后默认拒绝所有其他入站流量。# 1. 设置默认策略为DROP先设INPUTOUTPUT和FORWARD可以先保持ACCEPT iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # 2. 允许本地回环接口(lo)的通信许多本地服务依赖它 iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # 3. 允许已建立的连接和相关的连接通过状态检测至关重要 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 这条规则允许所有由本机主动发起的连接所返回的响应数据包以及相关的数据包如FTP的数据连接。 # 4. 开放SSH端口22建议限制源IP以提高安全性 iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -m state --state NEW -j ACCEPT # 如果允许任意IP去掉 -s 参数即可。 # 5. 开放Web服务端口 iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT # 6. 限制ICMP (ping) 速率防止洪水攻击 iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT iptables -A INPUT -p icmp --icmp-type echo-request -j DROP # 解释第一条规则限制每秒只接受1个ping请求突发允许5个。超过限制的ping请求匹配第二条规则被丢弃。 # 7. 保存规则否则重启失效 # CentOS 6及以前 service iptables save # CentOS 7/8需要安装iptables-services并启用服务 yum install iptables-services -y systemctl enable iptables systemctl start iptables iptables-save /etc/sysconfig/iptables # 或直接使用 service iptables save3.3 NAT与端口转发实战场景内网有一台IP为192.168.1.100的Web服务器运行在80端口。网关服务器防火墙主机的公网IP是203.0.113.10我们需要将公网IP的8080端口映射到内网服务器的80端口。# 1. 首先确保开启了内核IP转发 echo net.ipv4.ip_forward 1 /etc/sysctl.conf sysctl -p # 2. 在nat表的PREROUTING链做DNAT目的地址转换 iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80 # 3. 在filter表的FORWARD链允许转发的流量 iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT iptables -A FORWARD -s 192.168.1.100 -p tcp --sport 80 -j ACCEPT # 更简单的做法是如果信任内网可以直接允许所有已建立和相关的转发连接类似于INPUT链的状态规则 iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -s 192.168.1.100 -p tcp --sport 80 -j ACCEPT iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT # 4. 可选在nat表的POSTROUTING链做SNAT使内网服务器返回的包源地址被替换为网关地址确保回包正确。 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE # MASQUERADE是SNAT的一种特例适用于动态获取公网IP如PPPoE拨号的网关。4. firewalld更上层的动态防火墙管理firewalld的出现是为了解决iptables规则管理不够灵活的问题。在iptables中每次修改规则都需要重新加载整个规则集这在频繁变更的生产环境中可能导致短暂的连接中断。firewalld则通过将规则划分为运行时Runtime和永久Permanent配置并引入了“区域”和“服务”的抽象实现了动态、无损的规则更新。4.1 核心概念区域、服务与端口区域预定义的规则集根据网络环境的信任级别来划分。例如public公共区域不信任的网络。默认区域。trusted信任区域允许所有流量。internal内部网络区域通常比public更信任。work/home工作和家庭网络区域。 每个网络接口可以被绑定到一个区域。服务预定义的一组端口和协议。例如ssh服务对应tcp/22端口http服务对应tcp/80端口。使用服务名而非直接操作端口语义更清晰。运行时与永久配置运行时配置立即生效但重启firewalld或服务器后会丢失。永久配置写入配置文件不会立即生效但重启后会加载。通常配合--permanent参数使用。最佳实践修改规则时建议先添加永久配置然后重载防火墙或使用--reload来应用永久配置到运行时环境。这样可以避免规则丢失并确保变更在重启后依然有效。4.2 firewalld常用命令与配置基础状态管理# 查看firewalld状态 systemctl status firewalld # 启动、停止、重启firewalld systemctl start firewalld systemctl stop firewalld # 停止会清空所有运行时规则如果接口有永久配置重启后会加载 systemctl restart firewalld # 启用开机自启 systemctl enable firewalld区域管理# 查看所有可用区域 firewall-cmd --get-zones # 查看默认区域 firewall-cmd --get-default-zone # 查看指定接口如eth0所属区域 firewall-cmd --get-zone-of-interfaceeth0 # 修改接口所属区域运行时 firewall-cmd --zonepublic --change-interfaceeth0 # 修改接口所属区域永久 firewall-cmd --zoneinternal --change-interfaceeth0 --permanent firewall-cmd --reload # 设置默认区域 firewall-cmd --set-default-zoneinternal --permanent firewall-cmd --reload服务与端口管理# 查看当前区域所有允许的服务 firewall-cmd --list-services # 查看所有区域永久配置的服务 firewall-cmd --list-services --permanent # 添加一个服务到当前区域运行时 firewall-cmd --add-servicehttp # 添加一个服务到当前区域永久 firewall-cmd --add-servicehttp --permanent firewall-cmd --reload # 移除一个服务 firewall-cmd --remove-servicehttp --permanent firewall-cmd --reload # 直接添加一个端口/协议当服务未预定义时 firewall-cmd --add-port8080/tcp --permanent firewall-cmd --reload # 添加一个端口范围 firewall-cmd --add-port60000-61000/udp --permanent firewall-cmd --reload富规则firewalld的“富规则”提供了更精细的控制能力类似于直接编写iptables规则可以指定源IP、目的IP、端口、速率限制等。# 拒绝来自特定IP 192.168.1.200的所有流量 firewall-cmd --zonepublic --add-rich-rulerule familyipv4 source address192.168.1.200 reject --permanent # 允许来自192.168.2.0/24网段访问TCP 3306端口MySQL firewall-cmd --zonepublic --add-rich-rulerule familyipv4 source address192.168.2.0/24 port protocoltcp port3306 accept --permanent # 限制SSH连接速率 firewall-cmd --zonepublic --add-rich-rulerule familyipv4 service namessh limit value3/m accept --permanent # 解释每分钟最多接受3个新的SSH连接。 firewall-cmd --reload4.3 图形化工具firewall-config对于不习惯命令行的用户或者需要更直观地管理复杂规则可以使用firewall-config图形化工具。在桌面环境中安装firewall-config包即可使用。它清晰地展示了运行时与永久配置的区别、区域、服务、端口以及富规则通过勾选和填写表单即可完成配置非常适合初学者理解和操作。5. iptables与firewalld的共存与选择5.1 二者关系与冲突本质上firewalld是iptables的一个前端控制器和规则生成器。当firewalld运行时它动态管理iptables的规则。你可以通过iptables -L -n查看到firewalld生成的规则链通常以FW_或IN_等前缀开头。关键冲突点iptables-services和firewalld是两个互斥的服务。因为它们都试图管理内核的Netfilter规则。在RHEL/CentOS 7上默认并推荐使用firewalld。如果你执意要使用传统的iptables静态规则需要执行systemctl stop firewalld systemctl disable firewalld yum install iptables-services -y systemctl start iptables systemctl enable iptables然后通过iptables命令配置规则并用service iptables save保存。5.2 如何选择选择 iptables 的情况需要精细到每条链、每个表的绝对控制进行底层网络调试或实现复杂网络逻辑。运行在旧的、不支持firewalld的系统上如CentOS 6。你的运维脚本或知识体系完全基于iptables且环境简单变更不频繁。追求极致的性能和最小的规则开销firewalld的抽象层有轻微开销。选择 firewalld 的情况运行在RHEL/CentOS/Fedora等默认支持的系统上。网络环境复杂需要为不同接口如公网、内网、DMZ应用不同的安全策略区域概念完美匹配。防火墙规则需要频繁动态更新且不希望中断现有连接。希望配置更具可读性和可维护性使用服务名而非端口号。不排斥使用图形化工具进行管理。我个人在管理现代Linux服务器时更倾向于使用firewalld。它的“区域”模型非常贴合云服务器或拥有多网卡服务器的实际场景动态更新特性也减少了运维风险。只有在处理一些firewalld富规则无法表达的极端复杂规则或者排查深层次网络问题时才会临时切换到iptables层面去查看和调试。6. 防火墙配置的常见陷阱与排查指南即使理解了原理和命令在实际操作中依然会踩坑。下面是我总结的几个高频问题和排查思路。6.1 问题一配置了规则但服务仍然无法访问排查步骤确认服务本身是否监听正确首先在服务器本地测试。ss -tlnp | grep :80或netstat -tlnp | grep :80查看80端口是否被正确监听且监听地址是0.0.0.0所有接口而不是127.0.0.1仅本地。确认防火墙服务是否运行systemctl status firewalld或systemctl status iptables。仔细检查规则对于iptablesiptables -L -n --line-numbers检查规则顺序确保允许规则在拒绝规则之前。特别注意INPUT链和FORWARD链如果涉及转发。对于firewalldfirewall-cmd --list-all查看当前区域完整配置。确认服务或端口已添加且接口在正确的区域。检查默认策略iptables -L -n看链的默认策略policy是ACCEPT还是DROP。如果是DROP确保有明确的ACCEPT规则。检查是否有其他安全机制如SELinux可能会阻止网络访问。可以临时将其设置为宽容模式测试setenforce 0。如果问题解决则需要调整SELinux策略而非防火墙。6.2 问题二配置了端口转发但外网无法访问内网服务排查步骤确认网关主机的IP转发已开启sysctl net.ipv4.ip_forward确认值为1。检查DNAT规则iptables -t nat -L -n --line-numbers确认PREROUTING链中有正确的DNAT规则。检查FORWARD链规则iptables -L FORWARD -n --line-numbers。这是最容易被遗忘的一步NAT只负责改地址数据包能否被转发取决于filter表的FORWARD链是否允许。确保有允许相关流量转发的规则。检查SNAT/MASQUERADE规则内网服务器回包的源地址是私网IP外网无法路由回来。需要在POSTROUTING链做SNAT。确认规则存在iptables -t nat -L POSTROUTING -n。关闭网关主机的RPF反向路径过滤在某些严格的主机上内核可能会丢弃它认为“来路不明”的包。可以尝试sysctl -w net.ipv4.conf.all.rp_filter0和sysctl -w net.ipv4.conf.接口名.rp_filter0。6.3 问题三firewalld规则不生效或重启后丢失排查步骤区分运行时与永久配置用firewall-cmd --list-all查看的是运行时配置。用firewall-cmd --list-all --permanent查看的是永久配置。如果你只添加了--permanent规则但没有重载或重启firewalld运行时配置是不会变的。正确的操作顺序添加规则时建议firewall-cmd --add-servicexxx --permanent然后firewall-cmd --reload。或者直接firewall-cmd --add-servicexxx --permanent firewall-cmd --reload。检查接口区域绑定规则是绑定到区域的而接口必须属于该区域规则才会对该接口的流量生效。使用firewall-cmd --get-active-zones查看活动区域及其绑定的接口。检查服务定义firewall-cmd --info-servicehttp查看http服务的定义确认其包含了你期望的端口。6.4 一个实用的调试技巧使用LOG目标当你完全搞不清数据包被哪条规则处理时可以在iptables中插入LOG规则将数据包信息打印到系统日志。# 在怀疑被丢弃的链如INPUT的最前面插入LOG规则 iptables -I INPUT 1 -p tcp --dport 80 -j LOG --log-prefix [IPTABLES HTTP INPUT]: # 然后尝试从外部访问80端口去/var/log/messages或journalctl -f查看日志。 # 日志会显示数据包的详细信息帮助你判断它匹配了哪些条件。 # 调试完毕后记得删除这条日志规则iptables -D INPUT 1防火墙管理是Linux系统工程师的必修课。从直接操控底层的iptables命令到使用更抽象的firewalld工具其核心思想始终是对网络流量的精确控制。理解“四表五链”和“状态检测”是基础掌握“先放行后拒绝”和“区分运行时与永久配置”是原则而丰富的排查经验则是从一次次“断网”事故中积累起来的宝贵财富。我的建议是在测试环境中大胆练习模拟各种场景从简单的单机防护到复杂的网关转发亲手触发问题并解决它这才是掌握防火墙最快的方式。
Linux防火墙实战指南：iptables四表五链与firewalld动态管理
发布时间：2026/7/4 2:15:15
1. 项目概述为什么我们需要管理Linux防火墙在Linux服务器运维和日常开发中防火墙是守护系统安全的第一道也是最重要的一道防线。它就像你家小区的门禁系统决定了哪些“访客”网络数据包可以进入哪些需要被拒之门外以及内部住户本地服务可以访问哪些外部资源。很多新手甚至是有一定经验的开发者在部署完应用后常常会遇到“本地能访问外网连不上”的诡异问题十有八九就是防火墙规则在“作祟”。Linux世界里有两大主流的防火墙管理工具iptables和firewalld。iptables是Linux内核Netfilter框架的用户态命令行工具历史悠久、功能强大且直接是理解防火墙底层逻辑的基石。而firewalld则是RHEL/CentOS/Fedora等发行版在iptables之上封装的一个动态防火墙管理器它引入了“区域”和“服务”的概念配置更直观尤其适合管理复杂网络环境下的多区域策略。我见过太多团队因为不熟悉防火墙配置要么图省事直接systemctl stop firewalld或iptables -F让服务器“裸奔”要么配置了错误的规则把自己关在门外不得不去机房或者通过控制台救急。这份指南的目的就是带你彻底搞懂这两套工具从原理到实操让你不仅能配得对更能懂得为什么这么配在遇到网络连通性问题时能快速定位并解决。2. iptables核心机制与四表五链解析要玩转iptables死记命令是没用的必须理解其核心工作机制四表五链。这是所有规则的运行框架。2.1 五链数据包的必经之路你可以把网络数据包想象成一辆辆要进入或离开你服务器这座“城堡”的马车。iptables在城堡的关键通道上设立了五个检查站这就是“链”。每个链都是规则的有序集合数据包会依次经过这些规则的检查。INPUT链处理发往本机的数据包。比如有人通过SSH连接你的服务器这个连接请求的数据包就会经过INPUT链。这是保护本机服务最重要的链。OUTPUT链处理从本机发出的数据包。比如你的服务器要访问外部的yum仓库更新软件发出的请求数据包会经过OUTPUT链。FORWARD链处理经过本机转发的数据包。当你的服务器充当路由器或网关时数据包不是发给它自己而是要从一个网卡进来另一个网卡出去这时就由FORWARD链处理。PREROUTING链在数据包进入防火墙后、进行路由判断决定是发给本机还是转发之前立即进行处理。常用于修改目的地址DNAT比如端口映射。POSTROUTING链在数据包离开防火墙、即将发送到网络接口之前进行处理。常用于修改源地址SNAT比如让内网机器通过网关共享上网。实操心得理解链的流向是关键。一个来自外部的Web请求其路径是网卡接收 -PREROUTING链- 路由判断发现目标是本机-INPUT链- 本地Web服务。而服务器返回的响应路径是本地进程发出 -OUTPUT链-POSTROUTING链- 网卡发送。2.2 四表规则的功能分类“表”定义了规则的功能类别。不同的链能使用的表是有限的。四张表按优先级从高到低依次是raw - mangle - nat - filter。filter表最常用的表负责过滤数据包决定是放行ACCEPT还是拒绝DROP/REJECT。它内置在INPUT、FORWARD、OUTPUT链中。nat表用于网络地址转换。SNAT源地址转换一般在POSTROUTING链做DNAT目的地址转换一般在PREROUTING链做。OUTPUT链也支持nat用于本机发出的数据包做DNAT较少用。mangle表用于修改数据包的内容比如TTL、TOS字段或者给数据包打标记MARK供后续规则或路由策略使用。功能强大但使用相对专业。raw表用于决定数据包是否被连接跟踪机制处理。连接跟踪是NAT和状态防火墙的基础但有时我们需要对某些流量如高性能游戏服务器关闭此功能以提升性能就会用到raw表。它们之间的关系可以用下表概括表名内置链主要功能filterINPUT, FORWARD, OUTPUT包过滤决定放行或拒绝natPREROUTING, OUTPUT, POSTROUTING网络地址转换SNAT/DNATmanglePREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING修改数据包内容或标记rawPREROUTING, OUTPUT连接跟踪豁免2.3 规则匹配与处理动作规则由匹配条件和处理动作target组成。数据包会按顺序遍历链中的规则一旦匹配成功就执行对应的动作并停止后续规则的遍历除非遇到特殊动作如LOG。常见动作ACCEPT接受数据包。DROP丢弃数据包无任何响应。对方会感觉像石沉大海这是推荐的安全做法。REJECT拒绝数据包并返回一个错误响应如connection refused。更“友好”但会暴露防火墙存在。LOG将数据包信息记录到系统日志如/var/log/messages然后继续匹配下一条规则。用于调试。SNAT/DNAT/MASQUERADEnat表中的专用动作用于地址转换。注意事项规则的顺序至关重要iptables是从上到下逐条匹配的。例如如果你第一条规则是-A INPUT -j DROP拒绝所有那么后面任何允许的规则都不会生效。因此通常的实践是先放行必要的、具体的规则最后设置一条拒绝所有的默认规则。3. iptables命令实战与经典配置案例理解了原理我们上手操作。iptables命令格式为iptables [-t 表名] 命令选项 链名 匹配条件 -j 目标动作。省略-t时默认操作filter表。3.1 基础命令与规则管理查看规则# 查看filter表所有链的规则默认表 iptables -L -n --line-numbers # -L 列出规则-n 以数字形式显示IP和端口避免DNS解析更快--line-numbers 显示规则编号对后续插入/删除至关重要 # 查看nat表规则 iptables -t nat -L -n --line-numbers # 以更详细的格式查看显示流量计数和规则选项 iptables -L -n -v清空规则与计数器# 清空指定表所有链的规则慎用可能导致远程连接中断 iptables -F # 或指定表 iptables -t nat -F # 清空所有链的流量计数器规则还在 iptables -Z # 删除用户自定义链 iptables -X # 将指定链的默认策略设置为ACCEPT或DROP注意默认策略不参与规则遍历是最后兜底的 iptables -P INPUT ACCEPT踩过的坑千万不要在远程SSH连接的情况下先执行iptables -F再执行iptables -P INPUT DROP。这会导致你立刻断开连接并无法再连入。正确的做法是先添加允许SSH的规则再设置默认拒绝策略。添加与删除规则# 在INPUT链末尾添加一条规则允许来自192.168.1.0/24网段的SSH连接 iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT # 在INPUT链开头插入一条规则优先级最高 iptables -I INPUT 1 -p tcp --dport 80 -j ACCEPT # 根据规则编号删除规则需要先用--line-numbers查看编号 iptables -D INPUT 3 # 根据匹配条件删除规则需完全匹配添加时的条件 iptables -D INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT3.2 一个Web服务器的经典防火墙配置假设我们有一台CentOS 7服务器需要开放SSH、HTTP、HTTPS服务并对ICMPping做限速最后默认拒绝所有其他入站流量。# 1. 设置默认策略为DROP先设INPUTOUTPUT和FORWARD可以先保持ACCEPT iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # 2. 允许本地回环接口(lo)的通信许多本地服务依赖它 iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # 3. 允许已建立的连接和相关的连接通过状态检测至关重要 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 这条规则允许所有由本机主动发起的连接所返回的响应数据包以及相关的数据包如FTP的数据连接。 # 4. 开放SSH端口22建议限制源IP以提高安全性 iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -m state --state NEW -j ACCEPT # 如果允许任意IP去掉 -s 参数即可。 # 5. 开放Web服务端口 iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT # 6. 限制ICMP (ping) 速率防止洪水攻击 iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT iptables -A INPUT -p icmp --icmp-type echo-request -j DROP # 解释第一条规则限制每秒只接受1个ping请求突发允许5个。超过限制的ping请求匹配第二条规则被丢弃。 # 7. 保存规则否则重启失效 # CentOS 6及以前 service iptables save # CentOS 7/8需要安装iptables-services并启用服务 yum install iptables-services -y systemctl enable iptables systemctl start iptables iptables-save /etc/sysconfig/iptables # 或直接使用 service iptables save3.3 NAT与端口转发实战场景内网有一台IP为192.168.1.100的Web服务器运行在80端口。网关服务器防火墙主机的公网IP是203.0.113.10我们需要将公网IP的8080端口映射到内网服务器的80端口。# 1. 首先确保开启了内核IP转发 echo net.ipv4.ip_forward 1 /etc/sysctl.conf sysctl -p # 2. 在nat表的PREROUTING链做DNAT目的地址转换 iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80 # 3. 在filter表的FORWARD链允许转发的流量 iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT iptables -A FORWARD -s 192.168.1.100 -p tcp --sport 80 -j ACCEPT # 更简单的做法是如果信任内网可以直接允许所有已建立和相关的转发连接类似于INPUT链的状态规则 iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -s 192.168.1.100 -p tcp --sport 80 -j ACCEPT iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT # 4. 可选在nat表的POSTROUTING链做SNAT使内网服务器返回的包源地址被替换为网关地址确保回包正确。 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE # MASQUERADE是SNAT的一种特例适用于动态获取公网IP如PPPoE拨号的网关。4. firewalld更上层的动态防火墙管理firewalld的出现是为了解决iptables规则管理不够灵活的问题。在iptables中每次修改规则都需要重新加载整个规则集这在频繁变更的生产环境中可能导致短暂的连接中断。firewalld则通过将规则划分为运行时Runtime和永久Permanent配置并引入了“区域”和“服务”的抽象实现了动态、无损的规则更新。4.1 核心概念区域、服务与端口区域预定义的规则集根据网络环境的信任级别来划分。例如public公共区域不信任的网络。默认区域。trusted信任区域允许所有流量。internal内部网络区域通常比public更信任。work/home工作和家庭网络区域。 每个网络接口可以被绑定到一个区域。服务预定义的一组端口和协议。例如ssh服务对应tcp/22端口http服务对应tcp/80端口。使用服务名而非直接操作端口语义更清晰。运行时与永久配置运行时配置立即生效但重启firewalld或服务器后会丢失。永久配置写入配置文件不会立即生效但重启后会加载。通常配合--permanent参数使用。最佳实践修改规则时建议先添加永久配置然后重载防火墙或使用--reload来应用永久配置到运行时环境。这样可以避免规则丢失并确保变更在重启后依然有效。4.2 firewalld常用命令与配置基础状态管理# 查看firewalld状态 systemctl status firewalld # 启动、停止、重启firewalld systemctl start firewalld systemctl stop firewalld # 停止会清空所有运行时规则如果接口有永久配置重启后会加载 systemctl restart firewalld # 启用开机自启 systemctl enable firewalld区域管理# 查看所有可用区域 firewall-cmd --get-zones # 查看默认区域 firewall-cmd --get-default-zone # 查看指定接口如eth0所属区域 firewall-cmd --get-zone-of-interfaceeth0 # 修改接口所属区域运行时 firewall-cmd --zonepublic --change-interfaceeth0 # 修改接口所属区域永久 firewall-cmd --zoneinternal --change-interfaceeth0 --permanent firewall-cmd --reload # 设置默认区域 firewall-cmd --set-default-zoneinternal --permanent firewall-cmd --reload服务与端口管理# 查看当前区域所有允许的服务 firewall-cmd --list-services # 查看所有区域永久配置的服务 firewall-cmd --list-services --permanent # 添加一个服务到当前区域运行时 firewall-cmd --add-servicehttp # 添加一个服务到当前区域永久 firewall-cmd --add-servicehttp --permanent firewall-cmd --reload # 移除一个服务 firewall-cmd --remove-servicehttp --permanent firewall-cmd --reload # 直接添加一个端口/协议当服务未预定义时 firewall-cmd --add-port8080/tcp --permanent firewall-cmd --reload # 添加一个端口范围 firewall-cmd --add-port60000-61000/udp --permanent firewall-cmd --reload富规则firewalld的“富规则”提供了更精细的控制能力类似于直接编写iptables规则可以指定源IP、目的IP、端口、速率限制等。# 拒绝来自特定IP 192.168.1.200的所有流量 firewall-cmd --zonepublic --add-rich-rulerule familyipv4 source address192.168.1.200 reject --permanent # 允许来自192.168.2.0/24网段访问TCP 3306端口MySQL firewall-cmd --zonepublic --add-rich-rulerule familyipv4 source address192.168.2.0/24 port protocoltcp port3306 accept --permanent # 限制SSH连接速率 firewall-cmd --zonepublic --add-rich-rulerule familyipv4 service namessh limit value3/m accept --permanent # 解释每分钟最多接受3个新的SSH连接。 firewall-cmd --reload4.3 图形化工具firewall-config对于不习惯命令行的用户或者需要更直观地管理复杂规则可以使用firewall-config图形化工具。在桌面环境中安装firewall-config包即可使用。它清晰地展示了运行时与永久配置的区别、区域、服务、端口以及富规则通过勾选和填写表单即可完成配置非常适合初学者理解和操作。5. iptables与firewalld的共存与选择5.1 二者关系与冲突本质上firewalld是iptables的一个前端控制器和规则生成器。当firewalld运行时它动态管理iptables的规则。你可以通过iptables -L -n查看到firewalld生成的规则链通常以FW_或IN_等前缀开头。关键冲突点iptables-services和firewalld是两个互斥的服务。因为它们都试图管理内核的Netfilter规则。在RHEL/CentOS 7上默认并推荐使用firewalld。如果你执意要使用传统的iptables静态规则需要执行systemctl stop firewalld systemctl disable firewalld yum install iptables-services -y systemctl start iptables systemctl enable iptables然后通过iptables命令配置规则并用service iptables save保存。5.2 如何选择选择 iptables 的情况需要精细到每条链、每个表的绝对控制进行底层网络调试或实现复杂网络逻辑。运行在旧的、不支持firewalld的系统上如CentOS 6。你的运维脚本或知识体系完全基于iptables且环境简单变更不频繁。追求极致的性能和最小的规则开销firewalld的抽象层有轻微开销。选择 firewalld 的情况运行在RHEL/CentOS/Fedora等默认支持的系统上。网络环境复杂需要为不同接口如公网、内网、DMZ应用不同的安全策略区域概念完美匹配。防火墙规则需要频繁动态更新且不希望中断现有连接。希望配置更具可读性和可维护性使用服务名而非端口号。不排斥使用图形化工具进行管理。我个人在管理现代Linux服务器时更倾向于使用firewalld。它的“区域”模型非常贴合云服务器或拥有多网卡服务器的实际场景动态更新特性也减少了运维风险。只有在处理一些firewalld富规则无法表达的极端复杂规则或者排查深层次网络问题时才会临时切换到iptables层面去查看和调试。6. 防火墙配置的常见陷阱与排查指南即使理解了原理和命令在实际操作中依然会踩坑。下面是我总结的几个高频问题和排查思路。6.1 问题一配置了规则但服务仍然无法访问排查步骤确认服务本身是否监听正确首先在服务器本地测试。ss -tlnp | grep :80或netstat -tlnp | grep :80查看80端口是否被正确监听且监听地址是0.0.0.0所有接口而不是127.0.0.1仅本地。确认防火墙服务是否运行systemctl status firewalld或systemctl status iptables。仔细检查规则对于iptablesiptables -L -n --line-numbers检查规则顺序确保允许规则在拒绝规则之前。特别注意INPUT链和FORWARD链如果涉及转发。对于firewalldfirewall-cmd --list-all查看当前区域完整配置。确认服务或端口已添加且接口在正确的区域。检查默认策略iptables -L -n看链的默认策略policy是ACCEPT还是DROP。如果是DROP确保有明确的ACCEPT规则。检查是否有其他安全机制如SELinux可能会阻止网络访问。可以临时将其设置为宽容模式测试setenforce 0。如果问题解决则需要调整SELinux策略而非防火墙。6.2 问题二配置了端口转发但外网无法访问内网服务排查步骤确认网关主机的IP转发已开启sysctl net.ipv4.ip_forward确认值为1。检查DNAT规则iptables -t nat -L -n --line-numbers确认PREROUTING链中有正确的DNAT规则。检查FORWARD链规则iptables -L FORWARD -n --line-numbers。这是最容易被遗忘的一步NAT只负责改地址数据包能否被转发取决于filter表的FORWARD链是否允许。确保有允许相关流量转发的规则。检查SNAT/MASQUERADE规则内网服务器回包的源地址是私网IP外网无法路由回来。需要在POSTROUTING链做SNAT。确认规则存在iptables -t nat -L POSTROUTING -n。关闭网关主机的RPF反向路径过滤在某些严格的主机上内核可能会丢弃它认为“来路不明”的包。可以尝试sysctl -w net.ipv4.conf.all.rp_filter0和sysctl -w net.ipv4.conf.接口名.rp_filter0。6.3 问题三firewalld规则不生效或重启后丢失排查步骤区分运行时与永久配置用firewall-cmd --list-all查看的是运行时配置。用firewall-cmd --list-all --permanent查看的是永久配置。如果你只添加了--permanent规则但没有重载或重启firewalld运行时配置是不会变的。正确的操作顺序添加规则时建议firewall-cmd --add-servicexxx --permanent然后firewall-cmd --reload。或者直接firewall-cmd --add-servicexxx --permanent firewall-cmd --reload。检查接口区域绑定规则是绑定到区域的而接口必须属于该区域规则才会对该接口的流量生效。使用firewall-cmd --get-active-zones查看活动区域及其绑定的接口。检查服务定义firewall-cmd --info-servicehttp查看http服务的定义确认其包含了你期望的端口。6.4 一个实用的调试技巧使用LOG目标当你完全搞不清数据包被哪条规则处理时可以在iptables中插入LOG规则将数据包信息打印到系统日志。# 在怀疑被丢弃的链如INPUT的最前面插入LOG规则 iptables -I INPUT 1 -p tcp --dport 80 -j LOG --log-prefix [IPTABLES HTTP INPUT]: # 然后尝试从外部访问80端口去/var/log/messages或journalctl -f查看日志。 # 日志会显示数据包的详细信息帮助你判断它匹配了哪些条件。 # 调试完毕后记得删除这条日志规则iptables -D INPUT 1防火墙管理是Linux系统工程师的必修课。从直接操控底层的iptables命令到使用更抽象的firewalld工具其核心思想始终是对网络流量的精确控制。理解“四表五链”和“状态检测”是基础掌握“先放行后拒绝”和“区分运行时与永久配置”是原则而丰富的排查经验则是从一次次“断网”事故中积累起来的宝贵财富。我的建议是在测试环境中大胆练习模拟各种场景从简单的单机防护到复杂的网关转发亲手触发问题并解决它这才是掌握防火墙最快的方式。
![华为OD机试2025C卷-字符串变换最小次数[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率](http://pic.xiahunao.cn/yaotu/华为OD机试2025C卷-字符串变换最小次数[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率)
![华为OD机试2025C卷-内存资源分配[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率](http://pic.xiahunao.cn/yaotu/华为OD机试2025C卷-内存资源分配[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率)
