CentOS/RHEL 7+默认使用firewalld，旧系统或Debian/Ubuntu常用iptables；firewalld通过区域管理策略，支持动态配置，可使用firewall-cmd添加端口、服务及切换区域，需--permanent和--reload生效；iptables则通过链式规则精细控制流量，需手动保存规则，配置时应确保备用访问、优先使用服务名、定期检查规则，并结合fail2ban等工具增强安全。
Linux防火墙的配置主要依赖于iptables或更现代的firewalld工具，具体使用哪种取决于你的系统发行版和版本。CentOS/RHEL 7及以上默认使用firewalld，而一些旧系统或Debian/Ubuntu系列仍常用iptables。下面介绍两种主流方式的配置方法与实用技巧。
使用firewalld配置防火墙
firewalld是动态管理防火墙规则的服务，支持区域（zone）概念，便于按网络环境切换策略。
- 启动并启用firewalld：
sudo systemctl start firewalld
sudo systemctl enable firewalld - 查看当前状态：
sudo firewall-cmd --state - 开放指定端口（如80/tcp）：
sudo firewall-cmd --add-port=80/tcp --permanent
配置后需重载生效：
sudo firewall-cmd --reload - 使用服务名开放常见服务：
sudo firewall-cmd --add-service=http --permanent - 设置默认区域或更改接口所属区域：
sudo firewall-cmd --set-default-zone=public
sudo firewall-cmd --zone=internal --change-interface=eth0
使用iptables配置防火墙
对于未使用firewalld的系统，直接操作iptables可精细控制流量规则。
- 查看现有规则：
sudo iptables -L -n -v - 允许本地回环通信：
sudo iptables -A INPUT -i lo -j ACCEPT - 允许已建立的连接通过：
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT - 开放特定端口（如SSH 22）：
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT - 拒绝其他所有入站连接：
sudo iptables -P INPUT DROP - 保存规则（不同系统命令不同）：
在CentOS上：service iptables save
在Ubuntu上建议使用iptables-persistent：
sudo netfilter-persistent save
配置技巧与注意事项
- 修改防火墙前确保有备用访问方式（如控制台），避免被锁在系统外。
- 优先使用服务名而非端口号，提升可读性（例如用http代替80）。
- 定期检查生效规则，确认无冲突或冗余条目。
- 生产环境中建议结合fail2ban等工具防止暴力破解。
- 多网卡服务器应按接口划分安全区域，实现精细化控制。
