Linux 服务器上如何设置防火墙规则以增强安全性？

5天前 • 服务器 • 阅读 4

在当今的数字化时代，网络安全变得越来越重要。对于运行Linux操作系统的服务器而言，正确配置防火墙规则是确保其安全性的关键步骤之一。通过限制不必要的网络流量，可以有效防止潜在威胁并保护系统免受攻击。

理解iptables与nftables

iptables 是Linux中最常用的防火墙工具，它允许管理员定义一系列规则来控制进出服务器的数据包。尽管iptables已经存在多年并且非常稳定，但最近几年出现了nftables, 作为下一代防火墙框架，旨在提供更强大和灵活的功能。两者都可以实现相同的目标：根据预设条件过滤或修改数据包。

安装与启用防火墙服务

大多数现代Linux发行版默认包含iptables或nftables的支持。如果您使用的是基于Debian/Ubuntu的操作系统，则可以通过以下命令安装：

sudo apt-get update
sudo apt-get install iptables

对于Red Hat/CentOS用户来说，可以使用yum或者dnf进行安装：

sudo yum install iptables
或者
sudo dnf install firewalld

安装完成后，请确保启动并启用相应的服务，以便它们能够在系统重启后自动运行。

sudo systemctl start iptables
sudo systemctl enable iptables

创建基本的安全策略

一个良好的开端是为您的服务器建立一组默认拒绝所有入站连接的基础规则集。这将迫使您显式地开放所需的端口和服务，从而减少意外暴露的风险。
对于iptables，您可以添加如下规则：

清除现有规则
sudo iptables -F
设置默认策略为DROP（拒绝）
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT
允许回环接口通信（localhost）
sudo iptables -A INPUT -i lo -j ACCEPT
允许已建立或相关联的连接
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
允许SSH访问（请根据实际情况调整端口号）
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
保存规则
sudo iptables-save > /etc/iptables/rules.v4

上述示例中，我们首先清除了任何现有的规则，并设置了输入、转发以及输出链的默认策略为“DROP”。然后，我们允许了来自本地回环接口(即127.0.0.1)的所有流量，并且放行了已经建立或与现有会话相关的连接。为了能够远程管理服务器，还特别开放了SSH服务所使用的TCP端口22。

针对特定应用和服务定制规则

根据您部署的应用程序类型，可能需要进一步细化防火墙配置。例如，Web服务器通常需要监听HTTP (80) 和HTTPS (443) 端口；而数据库管理系统则可能会用到其他端口如MySQL/MariaDB 的3306 或 PostgreSQL 的5432等。针对这些情况，应该仅开放那些确实需要对外开放的端口，并尽可能限制其来源地址范围。