
在现代服务器安全体系中，防火墙是最基础、最关键的安全屏障之一。无论是传统的 **iptables**，还是更现代的 **firewalld**，都承担着“限制访问、减少攻击面、保护系统”的核心职责。

本文将从以下几个方面展开：

- **iptables 与 firewalld 的区别与适用场景**
- **iptables 常用规则与管理方法**
- **firewalld 的区域、服务与端口管理**
- **企业级防火墙最佳实践**

# **1. iptables 与 firewalld 的区别**

| 项目           | iptables             | firewalld                     |
| -------------- | -------------------- | ----------------------------- |
| 工作方式       | 静态规则表           | 动态规则管理                  |
| 配置难度       | 较高                 | 较低                          |
| 是否支持热更新 | ❌ 重载会中断连接     | ✔ 支持动态更新                |
| 管理方式       | 命令行规则           | 区域（zone）+ 服务（service） |
| 适用场景       | 高度自定义、精细控制 | 日常运维、快速配置            |

**总结：**

- 需要精细控制 → 用 **iptables**
- 需要快速管理、动态更新 → 用 **firewalld**

![img](https://developer.qcloudimg.com/http-save/yehe-1087118/7199c11773219c8df8523fba3033120b.png)

# **2. iptables 基础与常用配置**

iptables 基于 **表（table）** 和 **链（chain）** 工作：

- **filter**：默认表，用于过滤流量
- **nat**：地址转换（DNAT/SNAT）
- **mangle**：修改数据包
- **raw**：绕过连接跟踪

常用链：

- **INPUT**：进入本机的流量
- **OUTPUT**：从本机发出的流量
- **FORWARD**：转发流量

![img](https://developer.qcloudimg.com/http-save/yehe-1087118/3d89ada1f742f4409a8e4ce947950ca3.png)

## **2.1 查看当前规则**

```bash
iptables -L -n -v
```

------

## **2.2 放行常用端口**

### 放行 SSH（22）

```bash
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
```

### 放行 HTTP/HTTPS

```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
```

------

## **2.3 拒绝所有其他流量（默认策略）**

```bash
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
```

------

## **2.4 允许本地回环与已建立连接**

```bash
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
```

![img](https://developer.qcloudimg.com/http-save/yehe-1087118/de149cd2d7e51445964242713e76ba12.png)



## **2.5 保存规则**

CentOS 7 及以下：

```bash
service iptables save
```

Ubuntu：

```bash
iptables-save > /etc/iptables.rules
```

------

# **3. firewalld 使用与管理**

firewalld 是基于 **区域（zone）** 的动态防火墙，支持热更新，不会中断现有连接。

------

## **3.1 常用命令**

### 查看状态

```bash
systemctl status firewalld
```

### 启动/停止

```bash
systemctl start firewalld
systemctl enable firewalld
```

------

# **3.2 区域（Zone）概念**

常见区域：

| 区域     | 说明                   |
| -------- | ---------------------- |
| public   | 默认区域，允许最少服务 |
| internal | 内网环境               |
| trusted  | 信任所有流量（慎用）   |
| drop     | 丢弃所有流量           |

查看当前区域：

```bash
firewall-cmd --get-active-zones
```

------

# **3.3 开放端口**

### 开放 80 端口

```bash
firewall-cmd --zone=public --add-port=80/tcp --permanent
firewall-cmd --reload
```

### 开放多个端口

```bash
firewall-cmd --add-port=3000-3010/tcp --permanent
```

------

# **3.4 开放服务（推荐方式）**

firewalld 内置服务定义（如 ssh、http、https）。

### 开放 HTTP 服务

```bash
firewall-cmd --add-service=http --permanent
firewall-cmd --reload
```

查看所有服务：

```bash
firewall-cmd --get-services
```

------

# **3.5 移除端口或服务**

```bash
firewall-cmd --remove-port=80/tcp --permanent
firewall-cmd --remove-service=http --permanent
firewall-cmd --reload
```

------

# **3.6 允许特定 IP 访问**

### 仅允许某 IP 访问 SSH

```bash
firewall-cmd --add-rich-rule='rule family="ipv4" source address="1.2.3.4" port port="22" protocol="tcp" accept' --permanent
```

------

# **4. iptables 与 firewalld 的组合使用建议**

- firewalld 是 iptables 的上层管理工具
- 不建议同时启用两者，否则规则冲突难以排查
- 若使用 firewalld，应关闭 iptables 服务

------

# **5. 企业级防火墙最佳实践**

## **5.1 最小暴露面原则**

- 只开放业务必须端口
- 禁用所有默认服务
- 定期审计端口暴露情况

------

## **5.2 使用白名单策略**

- SSH 仅允许固定 IP 登录
- 管理后台仅允许内网访问

------

## **5.3 分环境管理**

| 环境 | 策略         |
| ---- | ------------ |
| 生产 | 严格白名单   |
| 测试 | 适度放开     |
| 开发 | 内网访问即可 |

------

## **5.4 日志与审计**

- 定期查看防火墙日志
- 监控异常访问（如暴力破解）
- 配合 fail2ban 等工具自动封禁恶意 IP

------

# **6. 总结**

掌握 iptables 与 firewalld，是系统安全加固的基础能力：

- **iptables**：适合精细化控制
- **firewalld**：适合动态管理与日常运维
- **最小暴露面 + 白名单 + 审计** 是企业级最佳实践

通过合理配置防火墙，可以显著降低攻击面，提升系统整体安全性。

在现代服务器安全体系中，防火墙是最基础、最关键的安全屏障之一。无论是传统的 iptables，还是更现代的 firewalld，都承担着“限制访问、减少攻击面、保护系统”的核心职责。

防火墙配置：掌握 iptables、firewalld 等工具的使用与管理

安全

运维

操作系统

本文详细对比iptables与firewalld防火墙工具，分析其适用场景与配置方法。涵盖iptables基础规则、firewalld区域管理、企业级最佳实践等内容，帮助管理员有效控制服务器访问权限，降低安全风险，构建更安全的网络环境。

服务器

防火墙

4核4G3M云服务器 新用户低至38元/年！

2026采购季 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

防火墙配置：掌握 iptables、firewalld 等工具的使用与管理-腾讯云开发者社区-腾讯云

防火墙配置：掌握 iptables、firewalld 等工具的使用与管理

防火墙配置：掌握 iptables、firewalld 等工具的使用与管理

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐