企业官网建设流程全解析

一、防火墙基础概念

1. 两种防火墙管理方式

• iptables: 直接管理netfilter内核模块的传统工具

• firewalld: 动态管理防火墙的守护进程（CentOS 7/8默认）

2. 常用术语

• zone: 网络区域（public, internal, trusted等）

• service: 预定义的服务规则集合

• port: 端口号

• rich rule: 复杂规则

二、firewalld 基础操作

1. 服务管理

# 查看防火墙状态 sudo systemctl status firewalld # 启动防火墙 sudo systemctl start firewalld # 停止防火墙 sudo systemctl stop firewalld # 开机自启 sudo systemctl enable firewalld # 禁止开机自启 sudo systemctl disable firewalld

2. 基本命令

# 查看运行状态 sudo firewall-cmd --state # 重新加载配置（不中断现有连接） sudo firewall-cmd --reload # 完全重启（中断连接） sudo systemctl restart firewalld

三、区域（Zone）管理

1. 查看默认区域

# 查看默认区域 sudo firewall-cmd --get-default-zone # 查看所有区域 sudo firewall-cmd --get-zones # 查看活动的区域 sudo firewall-cmd --get-active-zones

2. 更改区域

# 更改默认区域 sudo firewall-cmd --set-default-zone=internal # 更改网卡区域 sudo firewall-cmd --zone=public --change-interface=eth0

四、规则管理

1. 开放/关闭端口

# 开放端口（临时） sudo firewall-cmd --add-port=80/tcp # 开放端口（永久） sudo firewall-cmd --add-port=80/tcp --permanent # 关闭端口 sudo firewall-cmd --remove-port=80/tcp --permanent # 查看开放的端口 sudo firewall-cmd --list-ports

2. 服务管理

# 允许服务（例：http） sudo firewall-cmd --add-service=http --permanent # 移除服务 sudo firewall-cmd --remove-service=http --permanent # 查看允许的服务 sudo firewall-cmd --list-services

3. 高级规则

# 允许IP段 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" accept' # 端口转发 sudo firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=8080

五、iptables 基础（了解）

1. 基本命令结构

# 查看规则 sudo iptables -L -n -v # 清空规则 sudo iptables -F # 保存规则（CentOS 7） sudo service iptables save # 允许SSH sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 拒绝某个IP sudo iptables -A INPUT -s 192.168.1.100 -j DROP

六、实战案例

案例1：配置Web服务器防火墙

# 设置默认区域为public sudo firewall-cmd --set-default-zone=public # 开放服务 sudo firewall-cmd --permanent --add-service=http sudo firewall-cmd --permanent --add-service=https # 开放额外端口 sudo firewall-cmd --permanent --add-port=3000/tcp # 重新加载 sudo firewall-cmd --reload # 验证配置 sudo firewall-cmd --list-all

案例2：限制访问

# 仅允许特定IP访问SSH sudo firewall-cmd --permanent --remove-service=ssh sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept' # 拒绝某个IP访问 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.50" reject'

七、配置文件位置

firewalld配置

# 配置文件目录 /etc/firewalld/ # 主要配置文件 /etc/firewalld/firewalld.conf # 区域配置文件 /etc/firewalld/zones/ # 服务定义 /usr/lib/firewalld/services/

iptables配置

# 规则保存位置（CentOS 7） /etc/sysconfig/iptables

八、故障排查

常用命令

# 查看拒绝的日志 sudo journalctl -xe | grep -i firewall # 查看完整规则 sudo firewall-cmd --list-all --zone=public # 测试端口连通性 telnet 服务器IP 端口号 nc -zv 服务器IP 端口号

firewalld 与 iptables 详细对比

一、核心区别概述

二、架构和工作原理

iptables 架构

用户空间命令 (iptables) ↓ 内核空间 (netfilter框架) ↓ 规则链 (INPUT/OUTPUT/FORWARD) ↓ 规则表 (filter/nat/mangle/raw)

firewalld 架构

firewall-cmd/cli/GUI ↓ firewalld 守护进程 ↓ DBus 接口 ↓ iptables/nftables 后端 ↓ 内核空间 (netfilter)

三、将 iptables 规则转换为 firewalld

场景1：开放端口

# iptables方式 iptables -A INPUT -p tcp --dport 3306 -j ACCEPT # firewalld等价命令 firewall-cmd --add-port=3306/tcp --permanent

场景2：允许特定IP

# iptables方式 iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT # firewalld等价命令 firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" accept' --permanent

场景3：端口转发

# iptables方式 iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080 # firewalld等价命令 firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 --permanent