CentOS防火墙配置：iptables 与 firewalld 对比
CentOS 防火墙配置：iptables 与 firewalld 深度对比
在 CentOS 系统中，防火墙是保护服务器安全的重要组成部分。它通过控制网络流量的进出来防止未经授权的访问和潜在的攻击。CentOS 历史上主要使用 iptables 作为防火墙管理工具，而较新版本（如 CentOS 7 及以后）则默认使用 firewalld。本文将深入探讨这两种防火墙机制，对比它们的特性、配置方法、优缺点，并提供实际操作示例，帮助你选择最适合自己需求的防火墙解决方案。
一、iptables：经典而强大的内核防火墙
1.1 iptables 概述
iptables 是一个用户空间的工具，用于配置 Linux 内核中的 Netfilter 防火墙。Netfilter 是一个强大的、高度可配置的数据包过滤框架，而 iptables 则是与 Netfilter 交互的命令行接口。iptables 通过定义一系列规则来决定如何处理网络数据包，这些规则基于数据包的源地址、目的地址、协议、端口等信息。
1.2 iptables 的核心概念
-
表（Tables）: iptables 使用不同的表来组织规则，每个表用于不同的目的：
filter: 默认表，用于过滤数据包（允许、拒绝或丢弃）。nat: 用于网络地址转换（NAT），例如端口转发。mangle: 用于修改数据包的头部信息，例如 TTL 值。raw: 用于配置数据包在连接跟踪之前的处理，通常用于性能优化。security: 用于强制访问控制（MAC）网络规则（SELinux 相关）。
-
链（Chains）: 每个表包含多个链，链是规则的有序集合。数据包会按照链中规则的顺序进行匹配。
INPUT: 处理进入本机的数据包。OUTPUT: 处理从本机发出的数据包。FORWARD: 处理经过本机转发的数据包（例如路由器）。PREROUTING: 在路由决策之前修改数据包（主要用于 NAT）。POSTROUTING: 在路由决策之后修改数据包（主要用于 NAT）。
-
规则（Rules）: 规则是 iptables 的核心，它定义了对数据包的处理动作。每条规则包含：
- 匹配条件：指定数据包的特征，如源/目的 IP、端口、协议等。
- 目标（Target）：指定对匹配到的数据包执行的操作。
ACCEPT: 允许数据包通过。DROP: 丢弃数据包，不发送任何响应。REJECT: 拒绝数据包，并发送一个错误消息给发送方。LOG: 记录数据包信息到日志文件。- 自定义目标：例如跳转到其他链。
1.3 iptables 的配置方法
iptables 的配置通常通过命令行进行。以下是一些基本命令示例：
-
查看规则:
bash
iptables -L # 列出 filter 表的所有规则
iptables -L -n # 以数字形式显示 IP 地址和端口
iptables -t nat -L # 列出 nat 表的所有规则 -
添加规则:
bash
iptables -A INPUT -s 192.168.1.100 -j DROP # 拒绝来自 192.168.1.100 的所有流量
iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 允许 SSH 连接（端口 22）
iptables -I INPUT 1 -p icmp -j ACCEPT # 在 INPUT 链的开头插入允许 ICMP 流量的规则 -
删除规则:
bash
iptables -D INPUT -s 192.168.1.100 -j DROP # 删除指定的规则
iptables -D INPUT 1 # 删除 INPUT 链中的第一条规则 -
保存规则:
bash
# CentOS 6 及以前
service iptables save
# CentOS 7
iptables-save > /etc/sysconfig/iptables -
载入规则
bash
iptables-restore < /etc/sysconfig/iptables -
清空规则:
bash
iptables -F # 清空 filter 表的所有规则
iptables -t nat -F # 清空 nat 表的所有规则
iptables -X # 删除所有用户自定义链
1.4 iptables 的优缺点
优点：
- 灵活性高: iptables 提供了非常细粒度的控制，可以根据各种条件精确地定义规则。
- 性能优异: 作为内核级防火墙，iptables 在处理大量数据包时性能出色。
- 资源占用少: iptables 本身非常轻量级，对系统资源的消耗很小。
- 成熟稳定: 经过长时间的发展和广泛应用，iptables 已经非常成熟和稳定。
缺点：
- 配置复杂: iptables 的命令行语法相对复杂，需要一定的学习曲线。
- 规则管理困难: 随着规则数量的增加，管理和维护 iptables 规则变得困难。
- 配置易出错: 手动配置 iptables 容易出错，可能导致安全漏洞或网络中断。
- 非持久化: 默认情况下，iptables 的规则在系统重启后会丢失，需要手动保存和加载。
- 不支持动态更新: 更改 iptables 规则通常需要重新加载整个规则集，这可能会导致短暂的网络中断。
二、firewalld：现代化的动态防火墙管理器
2.1 firewalld 概述
firewalld 是一个动态防火墙管理器，它提供了一种更简单、更灵活的方式来管理 CentOS 系统的防火墙。firewalld 使用区域（zones）和服务（services）的概念来简化防火墙配置，并支持动态更新，无需重启防火墙即可应用新的规则。
2.2 firewalld 的核心概念
-
区域（Zones）: 区域是一组预定义的规则集，代表了不同级别的信任。firewalld 预定义了多个区域，例如：
drop: 丢弃所有传入连接，只允许传出连接。block: 拒绝所有传入连接，并发送 ICMP 拒绝消息。public: 用于公共区域，只允许选定的传入连接。external: 用于外部网络，启用 NAT 伪装，只允许选定的传入连接。internal: 用于内部网络，更宽松的信任级别。dmz: 用于非军事区（DMZ），只允许选定的传入连接。work: 用于工作区域，信任网络上的其他计算机。home: 用于家庭区域，信任网络上的其他计算机。trusted: 允许所有网络连接。
你可以根据网络接口所处的环境，将接口分配到不同的区域。
-
服务（Services）: 服务是一组预定义的端口和协议组合，代表了常见的网络服务，例如 HTTP、HTTPS、SSH 等。firewalld 预定义了许多服务，你也可以自定义服务。
-
永久配置（Permanent Configuration）: firewalld 的配置分为运行时配置和永久配置。运行时配置是立即生效的，但在系统重启后会丢失。永久配置则保存在文件中，系统重启后会自动加载。
-
直接接口（Direct Interface）: firewalld 提供了直接接口，允许你直接添加 iptables 规则。这在需要更细粒度控制的情况下非常有用。
2.3 firewalld 的配置方法
firewalld 的配置主要通过 firewall-cmd 命令行工具进行。以下是一些基本命令示例：
-
查看状态:
bash
firewall-cmd --state # 查看 firewalld 运行状态 -
查看区域:
bash
firewall-cmd --get-default-zone # 查看默认区域
firewall-cmd --list-all-zones # 查看所有区域的配置
firewall-cmd --list-all # 查看当前区域的配置
firewall-cmd --zone=public --list-all # 查看 public 区域的配置 -
管理区域:
bash
firewall-cmd --set-default-zone=public # 设置默认区域为 public
firewall-cmd --get-active-zones #查看活动的区域
firewall-cmd --zone=public --change-interface=eth0 # 将 eth0 接口添加到 public 区域
firewall-cmd --zone=public --remove-interface=eth0 #从public区域中删除eth0接口 -
管理服务:
bash
firewall-cmd --zone=public --add-service=http # 在 public 区域允许 HTTP 服务
firewall-cmd --zone=public --remove-service=http # 在 public 区域禁止 HTTP 服务
firewall-cmd --zone=public --add-service=http --permanent # 永久允许 HTTP 服务
firewall-cmd --reload # 重新加载防火墙配置，应用永久配置
firewall-cmd --list-services #查看当前区域允许的服务 -
管理端口:
bash
firewall-cmd --zone=public --add-port=8080/tcp # 在 public 区域允许 TCP 8080 端口
firewall-cmd --zone=public --remove-port=8080/tcp # 在 public 区域禁止 TCP 8080 端口
firewall-cmd --zone=public --add-port=8080/tcp --permanent #永久开放8080端口 -
端口转发
bash
firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 #将80端口的流量转发到8080
firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 --permanent #永久 - 富规则（Rich Rules）
富规则是一种更强大、更灵活的规则，允许你创建更复杂的防火墙策略。例如：
bash
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept' # 允许来自 192.168.1.0/24 的 SSH 连接
- 直接接口（Direct Interface）:
bash
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -s 192.168.1.100 -j DROP # 直接添加 iptables 规则
2.4 firewalld 的优缺点
优点：
- 易于配置: firewalld 使用区域和服务概念，简化了防火墙配置，降低了学习曲线。
- 动态更新: firewalld 支持动态更新规则，无需重启防火墙即可应用更改。
- 持久化: firewalld 的配置可以保存到文件中，并在系统重启后自动加载。
- 支持多种配置方式: firewalld 提供了命令行工具、图形界面工具（firewall-config）和 D-Bus API，方便不同用户使用。
- 安全性更高: firewalld 的默认配置更安全，可以减少配置错误导致的安全风险。
缺点：
- 灵活性稍逊: 相比 iptables，firewalld 的控制粒度稍粗，对于某些高级需求可能不够灵活。
- 性能略低: 在某些情况下，firewalld 的性能可能略低于 iptables。
- 学习成本: 尽管 firewalld 简化了配置，但仍然需要理解区域、服务等概念。
三、iptables 与 firewalld 对比总结
| 特性 | iptables | firewalld |
|---|---|---|
| 底层技术 | Netfilter | Netfilter（通过 iptables 命令与内核交互） |
| 配置方式 | 命令行 | 命令行 (firewall-cmd)、GUI、D-Bus API |
| 学习曲线 | 较高 | 较低 |
| 灵活性 | 非常高 | 较高 |
| 性能 | 非常高 | 较高 |
| 动态更新 | 不支持 | 支持 |
| 持久化 | 需要手动保存和加载 | 自动保存和加载 |
| 规则管理 | 复杂 | 简单（区域和服务） |
| 安全性 | 取决于配置，容易出错 | 默认配置更安全 |
| 适用场景 | 需要精细控制、高性能、熟悉 iptables 的用户 | 追求易用性、动态更新、不熟悉 iptables 的用户 |
四、如何选择：iptables 还是 firewalld？
选择 iptables 还是 firewalld 取决于你的具体需求和技能水平：
-
选择 iptables 的情况：
- 你需要对防火墙进行非常精细的控制。
- 你对 iptables 非常熟悉，并且已经有了一套成熟的 iptables 规则。
- 你对系统性能有极致的要求。
-
选择 firewalld 的情况：
- 你希望更简单、更直观地配置防火墙。
- 你需要频繁地更改防火墙规则，并且不希望重启防火墙。
- 你不熟悉 iptables，或者希望避免手动配置 iptables 的复杂性。
- 你是 CentOS 7 或更高版本的新用户。
对于大多数用户来说，firewalld 是一个更好的选择，因为它更易于使用、更安全，并且提供了足够的灵活性来满足大多数场景的需求。如果你是高级用户，并且对 iptables 非常熟悉，那么 iptables 仍然是一个强大的选择。
五、iptables 与 firewalld 共存
虽然 firewalld 是 CentOS 7 及以后版本的默认防火墙管理器，但你仍然可以安装和使用 iptables。在某些情况下，你甚至可能需要同时使用 iptables 和 firewalld：
-
安装 iptables:
bash
yum install iptables-services -
停止并禁用 firewalld:
bash
systemctl stop firewalld
systemctl disable firewalld -
启动并启用 iptables:
```bash
systemctl start iptables
systemctl enable iptables
systemctl start ip6tables
systemctl enable ip6tables```
-
使用 firewalld 的直接接口:
如果你希望使用 firewalld 的便利性，但又需要某些 iptables 的特定功能，可以使用 firewalld 的直接接口来添加 iptables 规则。
六、总结
iptables 和 firewalld 都是 CentOS 系统中优秀的防火墙解决方案。iptables 经典而强大，提供了极致的灵活性和性能，但配置复杂，需要一定的学习曲线。firewalld 现代而易用，提供了动态更新和更简单的配置方式，适合大多数用户。了解这两种防火墙的特性和差异，可以帮助你选择最适合自己需求的防火墙解决方案，保护你的 CentOS 服务器安全。
希望这篇文章对您有所帮助，如果您有任何其他问题，欢迎随时提问！