1. 环境准备与目标
1.1 系统与网络环境
在服务器运维中，防火墙是第一道防线，其核心目标是通过精准的规则集将未授权访问阻拦在外部，并确保对关键服务的正常访问尽可能不被干扰。对于包含公有云或私有数据中心的环境，统一的防火墙策略能够降低漏洞暴露面并提升运维效率。
本章将围绕iptables 与 firewalld 的全流程展开，包括从基础配置、规则编写、到持久化、测试与故障排查的完整步骤。你需要具备root 权限以及对服务器网络拓扑、常用端口的基本认识，以便正确设计规则集。
1.2 环境前提与检查清单
在开始正式配置前，先确认服务器的内核版本、网络接口信息以及防火墙组件的安装状态。通过以下命令可快速确认基本信息：系统版本、内核、以及防火墙服务状态。
# 检查 Linux 发行版与内核
uname -a
cat /etc/os-release# 检查防火墙状态
systemctl is-active --quiet firewalld && echo "firewalld 活动" || echo "firewalld 未激活"
iptables -S >/dev/null 2>&1 && echo "iptables 可用" || echo "iptables 不可用"
1.3 目标场景与安全基线
为了实现更高的可控性，制定基线策略是必要的。通常的基线包括允许本地回环接口、允许已建立连接、限制对管理端口的访问，以及对外部服务的最小暴露。通过这样的基线，可以在后续规则扩展中快速定位异常行为并进行回滚。
在持续演进的环境中，版本管理与日志记录同样重要。确保变更可追溯、能够通过日志分析重现问题，以便快速定位误配置带来的影响。
2. iptables 基础与全流程
2.1 初始策略与默认链
在纯 iptables 的场景下，默认策略的设定决定了入站和出站流量的初始行为。常见做法是将 INPUT/ FORWARD 设置为 DROP，OUTPUT 设置为 ACCEPT，以最小化外部攻击面并确保服务器自我出站访问的能力。
同时，应当确保环回接口的通信不被阻塞，并对已建立、相关的连接保留通行权，以避免正常业务受阻。以下代码示例展示了常见的初始策略设定过程。
# 清空现有规则
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X# 设置默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT# 允许回环接口
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
2.2 常用规则集示例
在明确保护对象和业务端口的前提下，添加关键服务的放行规则是实现高效防火墙保护的核心。SSH、Web 服务以及数据库端口的放行应以最小化暴露为原则，并结合应用场景逐步扩展。下面给出一个典型的规则集模板，便于快速落地。
# 允许 SSH 访问（示例端口 22，可按实际情况调整）
iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT# 允许常用 Web 服务 HTTP/HTTPS
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m state --state NEW,ESTABLISHED -j ACCEPT# 允许应用服务器与数据库的必要端口（示例）
# 仅当数据库位于同一台主机时才放行；多主机场景应通过网络策略管理
# iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.0/24 -m state --state NEW,ESTABLISHED -j ACCEPT# 日志与拒绝策略（可选，便于排错）
iptables -A INPUT -j LOG --log-prefix "IPTables-DROP: " --log-level 4
iptables -A INPUT -j DROP
2.3 持久化与测试
生产环境中，规则需要持久化，以确保重启后规则仍然生效。不同发行版有不同的持久化方式，常见做法包括将规则保存到文件、或通过 iptables-persistent、iptables-save 机制进行持久化。以下示例展示了常见的持久化和验证流程。
# 将当前规则保存到规则文件（Debian/Ubuntu 常用）
iptables-save > /etc/iptables/rules.v4# 或使用 iptables-persistent 进行持久化
apt-get install -y iptables-persistent
# 系统会提示保存当前规则到规则文件# 验证当前加载的规则
iptables -L -n -v
为了确保规则在服务器重启后仍然生效，可以在系统启动时自动加载规则，或者通过相应的服务进行加载。此部分与发行版的初始化体系相关，务必在变更前进行测试并记录变更日志。
3. firewalld 入门与高阶应用
3.1 动态区域与区域设定
firewalld 以区域（zones）和服务（services）/端口（ports）来管理防火墙策略，提供更灵活的动态修改能力，也是现代 Linux 服务器常用的防火墙解决方案。通过区域可以对不同网络接口或来源分组管理，适合云环境和多接口场景。
在实际运维中，合理选择区域并对常用服务进行永久放行，是实现最小权限原则的有效方式。下面的命令演示了如何查看区域、添加服务并应用更改。
# 查看可用区域
firewall-cmd --get-zones# 将 HTTP 服务永久放行到 public 区域
firewall-cmd --zone=public --add-service=http --permanent
# 重新加载防火墙规则，使改动生效
firewall-cmd --reload# 查看当前区域的实际状态（运行时）
firewall-cmd --zone=public --list-services
3.2 服务与端口的简化管理
firewalld 通过简化的命令来管理服务、端口和协议，降低了复杂度并提高稳定性。对于需要快速扩展的场景，使用 关键服务的放行、端口端口段的管理 能够快速响应业务变化。
在日常运维中，permanent 与 runtime 的区别需要清晰掌握。永久性修改通过 --permanent 设定，reload 才将改动应用到当前运行时；如果只需要临时生效，可以省略 --permanent，变更仅在当前会话生效。
# 永久放行数据库端口（示例：3306）
firewall-cmd --zone=public --add-port=3306/tcp --permanent
firewall-cmd --reload# 临时放行一个端口（仅当前运行时）
firewall-cmd --zone=public --add-port=9090/tcp
# 如需永久化，请重复带 --permanent 的操作并重新加载
3.3 永久化与重载
在大规模环境中，确保变更可追溯尤为重要。通过对 firewalld 的永久性配置进行重载，可以确保新策略稳定落地，并避免在下一次系统重启时丢失。 permanence 与 runtime 的一致性是高可用运维的基石。
实际操作中，建议将常用服务（如 SSH、HTTP/HTTPS、数据库）统一放入合规的区域策略中，并通过火墙的永久化设置确保规则在重启后仍然有效。
4. iptables 与 firewalld 的混合场景最佳实践
4.1 选择策略：两者并用还是单一
在有多台服务器分布式部署的环境中，统一的防火墙策略与集中化管理更具可控性。如果你已经使用了 firewalld，建议尽量通过它来管理规则，以保持运行时的一致性；对复杂的自定义规则集，可能需要辅以 iptables 的脚本化管理来实现需要的细粒度控制。
需要注意的是，同时运行 iptables 与 firewalld 可能导致冲突或覆盖，因此在同一主机上应明确一个主控工具，并关闭冗余的守护进程以避免规则叠加错乱。
# 如果打算完全切换到 iptables，请先关闭 firewalld
systemctl stop firewalld
systemctl disable firewalld# 重新加载 iptables 规则，确保生效
iptables -S
4.2 性能与安全性优化
对高并发服务，连接跟踪与速率限制是关键手段之一。通过合理配置 conntrack、限制单源的连接数和速率，可以有效防止暴力破解与端口扫描。示例中将介绍两种常用手段的思路。
在实际环境中，结合日志分析可以进一步提升有效性。对拒绝的连接进行日志记录，有助于快速定位误配置或异常行为。下面给出光靠规则难以发现问题时的排错思路与实现要点。
# 使用 conntrack 限制来自某一 IP 的连接速率（示例）
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m conntrack --ctstate NEW -m limit --limit 25/minute -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m conntrack --ctstate NEW -j DROP# 使用 recent 模块限制重复连接（示例）
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 5 -j DROP
5. 常见问题排错与诊断工具
5.1 日志与监控
在排错时，日志是最直接的依据。通过记录拒绝、丢弃的包及规则执行情况，可以快速定位是否存在误配置或策略冲突。常见做法是开启日志输出，并结合系统日志进行分析。
结合系统日志与防火墙日志进行联动分析，能帮助你快速判断是规则错配、端口占用、还是外部探测行为导致的异常访问。使用 lorem 日志前缀有助于快速筛选相关日志。
# 记录进入防火墙的被拒绝流量
iptables -A INPUT -j LOG --log-prefix "IPTables-DROP: " --log-level 4# 查看防火墙相关日志（示例）
journalctl -f -u firewalld & tail -f /var/log/messages /var/log/syslog & dmesg | tail -n 100
5.2 规则冲突排查
当系统出现访问异常时，需对规则进行自查。使用 iptables -S 查看当前有效的规则集，以及使用 firewall-cmd --list-all --zone=public 查看区域配置是否与 iptables 产生冲突。
# 查看当前 iptables 规则
iptables -S INPUT# 查看 firewalld 区域配置
firewall-cmd --zone=public --list-all
