一、引言
嘿，各位搞开发或者运维的小伙伴们！在使用 Linux 系统的时候，防火墙那可是保障系统安全的重要防线。不过呢，默认的防火墙设置有时候可能不太符合咱们的实际需求，会出现各种各样的问题。今天咱就来好好聊聊怎么解决这些问题，还能对防火墙设置进行优化，让咱们的系统更加安全、稳定。
二、Linux 系统默认防火墙简介
在 Linux 系统里，常见的防火墙有 iptables 和 firewalld。
1. iptables
iptables 是一个老牌的防火墙工具，它就像是一个关卡的守卫，能对进出系统的网络数据包进行过滤和转发。它的规则比较灵活，但是配置起来有点复杂。比如说，我们可以用下面的命令来查看当前的 iptables 规则：
# 技术栈：Shell
# 查看 iptables 规则
iptables -L
这个命令会列出当前系统中所有的 iptables 规则。
2. firewalld
firewalld 是 Red Hat 系 Linux 系统（像 CentOS、Fedora 等）中常用的防火墙管理工具。它比 iptables 更易于使用，采用了区域（zone）的概念来管理防火墙规则。例如，我们可以用下面的命令来查看当前的 firewalld 状态：
# 技术栈：Shell
# 查看 firewalld 状态
systemctl status firewalld
如果看到 active (running) 就说明 firewalld 正在运行。
三、常见的默认防火墙设置问题及解决方法
1. 端口无法访问
有时候我们开启了一个服务，但是发现外部无法访问对应的端口。这可能是防火墙把这个端口给屏蔽了。 解决方法： 如果使用的是 firewalld，我们可以用下面的命令来开放端口：
# 技术栈：Shell
# 开放 8080 端口
firewall-cmd --zone=public --add-port=8080/tcp --permanent
# 重新加载防火墙规则
firewall-cmd --reload
上面的命令首先把 8080 端口添加到 public 区域，并且设置为永久生效，然后重新加载防火墙规则，这样外部就可以访问 8080 端口了。
如果使用的是 iptables，我们可以用下面的命令来开放端口：
# 技术栈：Shell
# 开放 8080 端口
iptables -A INPUT -p tcp --dport 8080 -j ACCEPT
# 保存规则
service iptables save
这里的 -A INPUT 表示在 INPUT 链中添加规则，-p tcp 表示针对 TCP 协议，--dport 8080 表示目标端口是 8080，-j ACCEPT 表示允许通过。最后保存规则，让设置生效。
2. 远程连接被拒绝
当我们想通过 SSH 远程连接到 Linux 系统时，可能会遇到连接被拒绝的情况。这可能是防火墙把 SSH 端口（默认是 22）给屏蔽了。 解决方法： 对于 firewalld，我们可以用下面的命令来开放 SSH 端口：
# 技术栈：Shell
# 开放 SSH 端口
firewall-cmd --zone=public --add-service=ssh --permanent
# 重新加载防火墙规则
firewall-cmd --reload
对于 iptables，我们可以用下面的命令来开放 SSH 端口：
# 技术栈：Shell
# 开放 SSH 端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 保存规则
service iptables save
四、防火墙设置的优化
1. 减少不必要的开放端口
默认情况下，防火墙可能会开放一些不必要的端口，这会增加系统的安全风险。我们可以关闭这些不必要的端口。 例如，我们可以用下面的命令来关闭 8081 端口（假设这个端口不需要开放）：
# 技术栈：Shell
# 使用 firewalld 关闭 8081 端口
firewall-cmd --zone=public --remove-port=8081/tcp --permanent
# 重新加载防火墙规则
firewall-cmd --reload
对于 iptables，我们可以用下面的命令来删除开放 8081 端口的规则：
# 技术栈：Shell
# 删除开放 8081 端口的规则
iptables -D INPUT -p tcp --dport 8081 -j ACCEPT
# 保存规则
service iptables save
2. 配置访问控制列表（ACL）
我们可以根据 IP 地址来限制访问，只允许特定的 IP 地址访问我们的系统。 例如，我们只允许 IP 地址为 192.168.1.100 的主机访问 80 端口：
# 技术栈：Shell
# 使用 firewalld 配置访问控制
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="80" protocol="tcp" accept' --permanent
# 重新加载防火墙规则
firewall-cmd --reload
对于 iptables，我们可以用下面的命令来实现相同的功能：
# 技术栈：Shell
# 允许 192.168.1.100 访问 80 端口
iptables -A INPUT -s 192.168.1.100 -p tcp --dport 80 -j ACCEPT
# 拒绝其他 IP 访问 80 端口
iptables -A INPUT -p tcp --dport 80 -j DROP
# 保存规则
service iptables save
五、应用场景
1. 服务器安全防护
对于 Web 服务器、数据库服务器等，我们可以通过优化防火墙设置来防止外部的恶意攻击。比如，只开放必要的端口，限制特定 IP 地址的访问，这样可以大大提高服务器的安全性。
2. 企业内部网络安全
在企业内部网络中，我们可以通过防火墙来隔离不同的网络区域，限制不同部门之间的访问权限，保护企业的敏感信息。
六、技术优缺点
1. iptables
优点：
- 规则非常灵活，可以实现复杂的网络过滤和转发功能。
- 几乎所有的 Linux 系统都支持 iptables。
缺点：
- 配置复杂，对于初学者来说比较难上手。
- 规则管理不够直观，容易出错。
2. firewalld
优点：
- 易于使用，采用区域的概念来管理规则，更加直观。
- 支持动态更新规则，不需要重启防火墙服务。
缺点：
- 功能相对 iptables 来说不够强大，对于一些复杂的网络场景可能无法满足需求。
七、注意事项
- 在修改防火墙规则之前，一定要备份原有的规则，以防出现问题可以恢复。
- 在开放端口时，要确保只开放必要的端口，避免开放过多端口增加安全风险。
- 在配置访问控制列表时，要仔细检查 IP 地址的设置，避免误操作导致无法正常访问。
八、文章总结
通过本文，我们了解了 Linux 系统默认防火墙的常见问题及解决方法，还学习了如何对防火墙设置进行优化。在实际应用中，我们要根据不同的场景选择合适的防火墙工具（iptables 或者 firewalld），并合理配置规则，以保障系统的安全。同时，我们也要注意防火墙设置的注意事项，避免出现安全漏洞。希望大家在使用 Linux 系统时，能够更好地利用防火墙来保护系统安全。
评论