在 Linux 环境中，防火墙的配置与管理是系统安全的重要组成部分。常用的防火墙工具包括iptables 和 firewalld。以下是防火墙配置与管理的详细说明和示例。

1.iptables基础

iptables 是 Linux 下的包过滤工具，用于配置防火墙规则。

1.1 基本概念

• 表（Table）：iptables 包含多个表，常用的有 filter、nat 和 mangle。
• 链（Chain）：每个表包含多个链，如 INPUT、OUTPUT 和 FORWARD。
• 规则（Rule）：定义在链中的具体规则，决定如何处理数据包。

1.2 常用命令

• 查看规则：

iptables -L -n -v

• 清空规则：

iptables -F

• 保存规则：

iptables-save > /etc/iptables/rules.v4

• 恢复规则：

iptables-restore < /etc/iptables/rules.v4

1.3 示例规则

• 允许 SSH 流量：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

• 允许 HTTP 流量：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

• 允许已建立的连接：

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

• 默认阻止所有流量：

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

2.firewalld基础

firewalld 是 Linux 下的动态防火墙管理工具，支持区域（Zone）和服务（Service）的概念。

2.1 基本概念

• 区域（Zone）：定义网络接口的信任级别，如 public、internal。
• 服务（Service）：预定义的服务规则，如 http、ssh。

2.2 常用命令

• 查看当前区域：

firewall-cmd --get-default-zone

• 查看所有区域：

firewall-cmd --get-zones

• 查看允许的服务：

firewall-cmd --list-services

• 添加服务：

firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --reload

• 添加端口：

firewall-cmd --zone=public --add-port=8080/tcp --permanent
firewall-cmd --reload

2.3 示例配置

• 允许 SSH 和 HTTP 流量：

firewall-cmd --zone=public --add-service=ssh --permanent
firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --reload

3. 防火墙配置示例

3.1 使用iptables配置防火墙

#!/bin/bash
# 配置 iptables 防火墙

# 清空现有规则
iptables -F

# 允许 SSH 流量
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许 HTTP 和 HTTPS 流量
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 默认阻止所有流量
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 保存规则
iptables-save > /etc/iptables/rules.v4

echo "iptables configuration completed."

3.2 使用firewalld配置防火墙

#!/bin/bash
# 配置 firewalld 防火墙

# 允许 SSH 流量
firewall-cmd --zone=public --add-service=ssh --permanent

# 允许 HTTP 和 HTTPS 流量
firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --zone=public --add-service=https --permanent

# 重新加载防火墙配置
firewall-cmd --reload

echo "firewalld configuration completed."

4. 防火墙管理

4.1 查看防火墙状态

• 使用 iptables：

iptables -L -n -v

• 使用 firewalld：

firewall-cmd --state

4.2 启用/禁用防火墙

• 使用 iptables：

# 启用
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# 禁用
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

• 使用 firewalld：

# 启用
systemctl start firewalld
systemctl enable firewalld

# 禁用
systemctl stop firewalld
systemctl disable firewalld

4.3 日志与监控

• 查看 iptables 日志：

tail -f /var/log/messages | grep iptables

• 查看 firewalld 日志：

journalctl -u firewalld

5. 总结

• iptables 是 Linux 下的包过滤工具，适合高级用户和复杂配置。
• firewalld 是动态防火墙管理工具，适合初学者和简单配置。
• 通过编写脚本，可以自动化配置和管理防火墙规则。
• 定期查看日志和监控防火墙状态，可以提高网络安全性。

通过掌握 iptables 和 firewalld 的使用，你可以在 Linux 环境中有效地配置和管理防火墙，保护系统免受网络攻击。