LinuxCentOS系统管理入门笔记第二十一期——防火墙管理Firewalld——zone、服务/端口、富规则与端口转发Linux系统管理入门系列更多文章欢迎访问Linux入门——系统管理1、Linux入门——系统管理2我的主页AOwhisky这里有更多运维系统性知识整理和其他有趣内容欢迎与我一起探讨学习~引言服务器的“门卫”——防火墙如何守护你的系统想象一下你管理着一栋写字楼。楼里有不同的区域普通办公区、财务室、服务器机房、总裁办公室。你不可能让所有人都能随意进出所有房间——你需要一个“门卫”来把关。Linux 系统中的防火墙就是这个“门卫”。它工作在网络边缘对进出系统的数据包进行检查——合法的放行非法的拦截。CentOS 7 使用Firewalld作为默认防火墙管理工具。与传统的 iptables 不同Firewalld 最大的特点是动态——修改规则时不需要重启防火墙服务不会中断现有连接。Firewalld 引入了区域zone的概念将不同的网络接口或来源分配到不同的信任等级区域中简化了规则管理你的家庭网络信任度高→home区域公司的内部网络半信任→internal区域互联网不信任→public区域完全不信任 →drop区域直接丢弃数据包本期将系统学习防火墙的核心概念Netfilter、Nftables、动态 vs 静态防火墙Firewalld 区域zone信任等级、匹配规则firewall-cmd 命令服务管理、端口管理、端口转发富规则Rich Rule精细化访问控制读完这一期你将掌握 Firewalld 防火墙的完整管理技能——从开放服务端口到配置复杂的访问控制策略。— Compiled and Authored by Whisky — Augest 1 st, 2026目录防火墙概述1.1 防火墙的类型1.2 Netfilter 与 Nftables1.3 动态防火墙 vs 静态防火墙Firewalld 区域zone概念2.1 预定义区域2.2 数据包与区域的匹配规则2.3 区域内规则的优先级firewall-cmd 命令行工具3.1 运行时与永久配置3.2 zone 管理3.3 接口与来源管理3.4 服务管理3.5 端口管理端口转发与伪装NAT4.1 伪装Masquerade4.2 端口转发Forward Port富规则Rich Rule5.1 富规则语法5.2 实战示例禁止 Ping 与白名单firewall-config 图形工具总结与速查手册1. 防火墙概述1.1 防火墙的类型防火墙按保护范围可分为类型作用范围示例主机防火墙保护单台主机Firewalld、iptables网络防火墙保护整个网络边界硬件防火墙华为、华三按实现方式可分为类型说明示例硬件防火墙专用硬件设备华为 USG、天融信 NGFW软件防火墙运行在通用硬件上的软件Firewalld、iptables按网络协议层次可分为类型工作层级优点缺点网络层防火墙包过滤OSI 第 3-4 层速度快对用户透明无法检查应用层数据应用层防火墙代理/WAFOSI 第 7 层可检测应用层攻击SQL注入、XSS速度慢处理复杂1.2 Netfilter 与 NftablesLinux 内核中的Netfilter子系统是防火墙的“幕后英雄”——它工作在内核态对进入系统的每个数据包进行检查、修改、丢弃或路由。用户态 内核态 ┌─────────────┐ ┌─────────────────┐ │ Firewalld │ ───────→ │ Nftables │ │ (动态防火墙) │ 配置规则 │ (规则引擎) │ ├─────────────┤ ├─────────────────┤ │ iptables │ ───────→ │ Netfilter │ │ (静态防火墙) │ 配置规则 │ (内核过滤框架) │ └─────────────┘ └─────────────────┘ ↓ 数据包过滤/转发Netfilter 的多个前端工具工具作用iptables过滤 IPv4 数据包ip6tables过滤 IPv6 数据包arptables过滤 ARP 协议数据包ebtables过滤数据链路层数据包Nftables是 Netfilter 的增强版优势包括更快的数据包处理更快的规则集更新使用单个nft工具管理所有协议1.3 动态防火墙 vs 静态防火墙维度静态防火墙iptables动态防火墙Firewalld规则加载方式修改规则后重新加载全部规则仅更新变更部分连接中断重新加载可能中断现有连接✅不中断现有连接配置方式直接编辑规则文件或命令通过firewall-cmd管理区域概念❌ 无✅ 有zone2. Firewalld 区域zone概念2.1 预定义区域Firewalld 将网络划分为不同的区域zone每个区域有一套独立的规则集。系统默认提供了 9 个区域区域信任等级默认行为适用场景trusted 最高允许所有流量内部可信网络home 高允许 SSH、mDNS、Samba 等家庭网络internal 高与 home 类似企业内部网络work 中高允许 SSH、DHCPv6 等办公网络public 中允许 SSH、DHCPv6新接口默认公共网络最常用external 中允许 SSH启用伪装路由器外网接口dmz 中低仅允许 SSH非军事区DMZblock 低拒绝所有传入流量返回拒绝信息黑名单场景drop 最低丢弃所有传入流量不响应高安全场景# 查看所有可用区域[rootcentos7 ~]# firewall-cmd --get-zonesblock dmz drop external home internal public trusted work2.2 数据包与区域的匹配规则当数据包到达系统时Firewalld 按以下顺序决定使用哪个区域① 数据包的源 IP 是否匹配某个区域的 source ├─ 是 → 使用该区域 └─ 否 → 继续↓ ② 数据包进入的网卡接口是否关联了某个区域 ├─ 是 → 使用该区域 └─ 否 → 继续↓ ③ 使用默认区域default zone⚠️重要lo回环接口默认映射到trusted区域确保本地服务通信不受限制。2.3 区域内规则的优先级同一区域内规则匹配顺序如下1. 端口转发Port Forwarding 2. 伪装Masquerade 3. 允许规则Accept 4. 拒绝规则Reject 5. 默认行为default 为拒绝trusted 为允许富规则Rich Rule的优先级高于区域内所有普通规则。3. firewall-cmd 命令行工具firewall-cmd是 Firewalld 的主要管理工具。核心概念概念说明运行时runtime修改后立即生效重启 Firewalld 后丢失永久permanent修改写入配置文件需--reload后生效默认区域新接口默认关联的区域CentOS 7 默认为public最佳实践生产环境建议先配置永久规则再 reload或同时添加两条一条永久 一条运行时。3.1 查看区域状态# 查看默认区域[rootcentos7 ~]# firewall-cmd --get-default-zonepublic# 查看当前激活的区域有接口或来源关联[rootcentos7 ~]# firewall-cmd --get-active-zonespublic interfaces: ens32# 查看默认区域的完整规则[rootcentos7 ~]# firewall-cmd --list-allpublic(active)target: default icmp-block-inversion: no interfaces: ens32 sources: services: cockpit dhcpv6-clientsshports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:# 查看所有区域的所有规则[rootcentos7 ~]# firewall-cmd --list-all-zones3.2 区域管理# 设置默认区域[rootcentos7 ~]# firewall-cmd --set-default-zonetrusted[rootcentos7 ~]# firewall-cmd --get-default-zonetrusted# 恢复默认[rootcentos7 ~]# firewall-cmd --set-default-zonepublic# 创建新区域必须使用 --permanent[rootcentos7 ~]# firewall-cmd --permanent --new-zonemyweb[rootcentos7 ~]# firewall-cmd --reload[rootcentos7 ~]# firewall-cmd --get-zonesblock dmz drop external home internal myweb public trusted work# 删除区域[rootcentos7 ~]# firewall-cmd --permanent --delete-zonemyweb[rootcentos7 ~]# firewall-cmd --reload# 设置区域 targetdefault/ACCEPT/DROP/REJECT[rootcentos7 ~]# firewall-cmd --permanent --zonemyweb --set-targetREJECT[rootcentos7 ~]# firewall-cmd --reload3.3 接口管理# 查看接口属于哪个区域[rootcentos7 ~]# firewall-cmd --get-zone-of-interfaceens32public# 将接口绑定到特定区域[rootcentos7 ~]# firewall-cmd --add-interfaceens32 --zonehome# 将接口变更到另一个区域[rootcentos7 ~]# firewall-cmd --change-interfaceens32 --zonepublic# 从区域中删除接口[rootcentos7 ~]# firewall-cmd --remove-interfaceens32 --zonehome# 查看区域绑定的接口列表[rootcentos7 ~]# firewall-cmd --list-interfacesens323.4 服务管理服务是预定义的端口/协议组合。例如http服务 TCP 端口 80。# 查看所有预定义服务[rootcentos7 ~]# firewall-cmd --get-services... http https imap ipp ipp-client ipsec iscsi-target...# 查看某个服务的定义[rootcentos7 ~]# cat /usr/lib/firewalld/services/http.xml?xmlversion1.0encodingutf-8?serviceshortWWW(HTTP)/shortdescriptionHTTP is the protocol used to serve Web pages.../descriptionportprotocoltcpport80//service# 添加服务运行时[rootcentos7 ~]# firewall-cmd --add-servicehttpsuccess# 添加服务永久[rootcentos7 ~]# firewall-cmd --add-servicehttp --permanentsuccess# 查看已开放的服务[rootcentos7 ~]# firewall-cmd --list-servicescockpit dhcpv6-client httpssh# 查询服务是否已开放[rootcentos7 ~]# firewall-cmd --query-servicehttpyes# 删除服务[rootcentos7 ~]# firewall-cmd --remove-servicehttp⚠️注意--permanent修改后需执行firewall-cmd --reload使其生效。3.5 端口管理当服务不在预定义列表中时可直接开放端口。# 开放 TCP 端口 5900VNC[rootcentos7 ~]# firewall-cmd --add-port5900/tcp# 开放端口范围如 5900-5910[rootcentos7 ~]# firewall-cmd --add-port5900-5910/tcp# 查看已开放端口[rootcentos7 ~]# firewall-cmd --list-ports5900/tcp# 查询端口是否已开放[rootcentos7 ~]# firewall-cmd --query-port5900/tcpyes# 删除端口[rootcentos7 ~]# firewall-cmd --remove-port5900/tcp3.6 协议管理# 开放 ICMP 协议[rootcentos7 ~]# firewall-cmd --add-protocolicmp# 查看已开放的协议[rootcentos7 ~]# firewall-cmd --list-protocolsicmp# 删除协议[rootcentos7 ~]# firewall-cmd --remove-protocolicmp4. 端口转发与伪装NAT4.1 伪装Masquerade伪装Masquerade是 SNAT源网络地址转换的一种形式让内部网络的主机通过防火墙访问外部网络。内网主机 10.1.8.10 → Firewalld10.1.8.88 → 外网 源IP:10.1.8.10 源IP被伪装为 10.1.8.88# 启用伪装需在 external 等区域启用[rootcentos7 ~]# firewall-cmd --add-masquerade# 查看伪装状态[rootcentos7 ~]# firewall-cmd --query-masqueradeyes# 禁用伪装[rootcentos7 ~]# firewall-cmd --remove-masquerade4.2 端口转发Forward Port端口转发将访问防火墙某端口的流量转发到其他主机或端口。外网用户访问 10.1.8.88:8000 → 转发 → 10.1.8.10:80⚠️先决条件启用端口转发前必须先在对应区域启用 masquerade。# 启用伪装[rootcentos7 ~]# firewall-cmd --add-masquerade# 语法port源端口:proto协议[:toport目标端口][:toaddr目标IP]# 转发本机 8000 端口到本机 80 端口[rootcentos7 ~]# firewall-cmd --add-forward-portport8000:prototcp:toport80# 转发到其他主机10.1.8.10:22[rootcentos7 ~]# firewall-cmd --add-forward-portport1022:prototcp:toport22:toaddr10.1.8.10# 查看端口转发规则[rootcentos7 ~]# firewall-cmd --list-forward-portsport8000:prototcp:toport80:toaddrport1022:prototcp:toport22:toaddr10.1.8.10# 删除端口转发[rootcentos7 ~]# firewall-cmd --remove-forward-portport8000:prototcp:toport805. 富规则Rich Rule富规则Rich Rule是 Firewalld 中最灵活的规则配置方式可以实现对特定源 IP 的访问控制记录日志和审计速率限制更精细的 icmp 控制5.1 富规则语法rule [familyipv4|ipv6] [source addressCIDR] [destination addressCIDR] service|port|protocol|icmp-block|icmp-type|masquerade|forward-port [log [prefixtext] [levellevel] [limitrate]] [audit [limitrate]] [accept|reject|drop|mark]5.2 实战示例示例 1禁止所有主机 Ping 本机[rootcentos7 ~]# firewall-cmd --add-rich-rulerule protocol valueicmp drop# 或明确拒绝类型[rootcentos7 ~]# firewall-cmd --add-rich-rulerule familyipv4 protocol valueicmp reject typenet-prohib# 查看富规则[rootcentos7 ~]# firewall-cmd --list-rich-rulesrule protocolvalueicmpdrop# 删除富规则[rootcentos7 ~]# firewall-cmd --remove-rich-rulerule protocol valueicmp drop示例 2只允许特定 IP10.1.8.10Ping 本机# 方法先禁止所有 Ping再允许特定 IP[rootcentos7 ~]# firewall-cmd --permanent --add-rich-rulerule familyipv4 source address10.1.8.10 icmp-type nameecho-request accept[rootcentos7 ~]# firewall-cmd --permanent --add-icmp-block-inversion[rootcentos7 ~]# firewall-cmd --complete-reload示例 3来源 IP 限速# 来源 10.1.8.0/24 访问 HTTP 服务每秒限制 3 次[rootcentos7 ~]# firewall-cmd --add-rich-rule rule familyipv4 source address10.1.8.0/24 service namehttp accept limit value3/s# 带日志的版本[rootcentos7 ~]# firewall-cmd --add-rich-rule rule familyipv4 source address10.1.8.0/24 service namehttp log prefixHTTP-LIMIT levelinfo limit value1/s accept limit value3/s6. firewall-config 图形工具对于不熟悉命令行的用户Firewalld 提供了图形界面工具firewall-config。# 安装CentOS 7 默认已安装[rootcentos7 ~]# yum install -y firewall-config# 启动需图形界面环境[rootcentos7 ~]# firewall-config主要功能区域菜单/区域功能选项 → 重载防火墙重新加载永久配置选项 → 改变默认区域设置默认区域选项 → 应急模式启用 panic 模式拒绝所有流量服务勾选开放的服务端口添加/删除开放端口伪装启用/禁用 NAT端口转发配置端口转发规则富规则添加/删除富规则7. 总结与速查手册7.1 核心知识点一览主题关键点NetfilterLinux 内核防火墙框架Nftables 是其增强版动态防火墙Firewalld 修改规则不中断现有连接区域zonepublic默认trusted允许所有drop丢弃所有运行时 vs 永久运行时立即生效永久需--reload服务 vs 端口服务是预定义的端口/协议组合伪装SNAT让内网主机通过防火墙访问外网端口转发将流量转发到其他端口或主机富规则最灵活的规则配置支持源 IP、限速、日志7.2 firewall-cmd 命令速查表操作命令查看默认区域firewall-cmd --get-default-zone查看激活区域firewall-cmd --get-active-zones查看区域规则firewall-cmd --list-all设置默认区域firewall-cmd --set-default-zonezone开放服务firewall-cmd --add-servicehttp开放端口firewall-cmd --add-port8080/tcp查看开放服务firewall-cmd --list-services查看开放端口firewall-cmd --list-ports删除服务firewall-cmd --remove-servicehttp删除端口firewall-cmd --remove-port8080/tcp启用伪装firewall-cmd --add-masquerade添加端口转发firewall-cmd --add-forward-portport8080:prototcp:toport80添加富规则firewall-cmd --add-rich-rulerule ...永久保存加--permanent后执行firewall-cmd --reload7.3 常用区域速查区域默认行为典型用途trustedACCEPT内网可信主机public拒绝仅开放指定服务默认互联网访问internal拒绝仅开放指定服务企业内部网络external拒绝启用伪装路由器外网接口dropDROP不响应高安全环境blockREJECT返回拒绝黑名单7.4 富规则速查表需求富规则禁止 Pingrule protocol valueicmp drop允许特定 IP Pingrule familyipv4 source address10.1.8.10 icmp-type nameecho-request accept来源 IP 限速rule familyipv4 source address10.1.8.0/24 service namehttp accept limit value3/s带日志的规则rule service namehttp log prefixHTTPS levelinfo accept7.5 常见错误排查错误原因解决方案firewall-cmd: command not foundFirewalld 未安装yum install -y firewalldFirewallD is not running服务未启动systemctl start firewalld添加端口后仍无法访问端口转发未启用伪装firewall-cmd --add-masquerade富规则不生效规则顺序问题检查规则优先级使用--complete-reload--permanent规则未生效未执行 reloadfirewall-cmd --reload7.6 思考与拓展public区域和drop区域的区别是什么→public拒绝未明确允许的流量向客户端返回拒绝信息如 ICMP port unreachable。drop直接丢弃所有未明确允许的流量不返回任何响应客户端会“卡住”等待超时安全性更高。--reload和--complete-reload有什么区别→--reload重新加载永久配置保留现有的连接状态。--complete-reload完全重新加载中断所有现有连接。端口转发前为什么必须启用伪装→ 端口转发涉及 DNAT目标地址转换。如果没有伪装SNAT目标主机收到的数据包源 IP 仍是外网用户 IP目标主机可能无法将响应包正确路由回外网用户。Firewalld 的“富规则”和普通服务/端口规则有什么区别→ 普通规则只能控制“允许什么服务/端口”富规则支持更精细的条件源 IP、时间、速率限制、日志记录且优先级更高。如何让 Firewalld 规则永久生效→ 执行--permanent选项添加规则然后执行firewall-cmd --reload。或者先添加运行时规则再执行firewall-cmd --runtime-to-permanent。7.7 生产环境最佳实践场景建议默认区域保持public按需开放服务不要使用trusted规则添加同时配置--permanent和运行时规则避免意外 reload 丢失SSH 管理确保ssh服务始终开放否则可能把自己锁在门外端口转发生产环境使用富规则配合日志记录便于审计调试规则使用--timeout选项临时开放端口进行测试firewall-cmd --add-port8080/tcp --timeout3005 分钟后自动关闭规则备份定期备份/etc/firewalld/目录下期预告防火墙是 Linux 安全的第一道防线而SELinux是第二道——也是更深层次的一道防线。下一期我们将学习SELinux 安全加固——了解它如何为每个进程和文件打上“安全标签”如何阻止已遭泄露的服务访问用户数据以及如何使用chcon、restorecon、semanage和setsebool来管理和排障 SELinux 策略。敬请期待第二十二期— Compiled and Authored by Whisky — Augest 1 st, 2026