当前位置：首页 > 虚拟主机 > 正文

centos配置防火墙，centos防火墙怎么开启

admin
虚拟主机
2026-06-08
4064

在CentOS系统中，防火墙是保障服务器安全的第一道防线，对于CentOS 7及以上版本，核心上文小编总结非常明确：必须使用firewalld作为默认防火墙管理工具，而非传统的iptables服务。 盲目关闭防火墙或仅依赖云厂商的安全组是极大的安全隐患，正确的做法是结合firewalld的动态区域管理特性与西西云等云服务商提供的底层安全组策略，构建“云原生+主机层”的双重防御体系。

核心配置逻辑与最佳实践

CentOS 7引入的firewalld基于zone（区域）概念，相比静态规则的iptables，它支持动态管理，允许在不中断现有连接的情况下更改防火墙规则,这是提升运维效率与安全性的关键。

基础服务状态管理

确保firewalld服务处于运行状态并设置为开机自启,这是所有配置的前提。

centos配置防火墙，centos防火墙怎么开启第1张

若发现服务异常，需检查是否被其他冲突软件（如iptables-services）占用,通常建议卸载冲突包以避免规则混乱。

区域（Zone）的精准应用

firewalld默认使用public区域，对于生产环境，建议创建自定义区域或严格限制public区域的信任级别，仅开放必要的端口（如80, 443, 22）,其余流量默认拒绝。

# 永久开放HTTP和HTTPS服务 firewall-cmd --permanent --add-service=http firewall-cmd --permanent --add-service=https # 重新加载配置使生效 firewall-cmd --reload

关键见解：不要仅仅依赖--add-port添加单个端口，优先使用--add-service，因为服务定义包含了协议类型（TCP/UDP）及可能的辅助模块,管理更规范。

centos配置防火墙，centos防火墙怎么开启第2张

西西云实战经验：云安全组与主机防火墙的协同

在实际部署中，许多用户存在误区，认为配置了云厂商的安全组就不需要配置主机防火墙，或者反之,这是一个危险的平衡。

以西西云的高防服务器为例，我们观察到大量安全事件源于内部横向移动攻破，云厂商的安全组位于网络入口，能阻挡外部恶意扫描，但无法防范一旦服务器被入侵后的内部数据窃取。“最小权限原则”必须贯穿始终。

独家经验案例：

在某次金融客户的项目中，客户仅依赖西西云的安全组开放了80端口，导致攻破者通过Web漏洞获取Shell后，可随意访问服务器内部数据库端口（3306），我们介入后,实施了以下双重加固：

centos配置防火墙，centos防火墙怎么开启第3张

西西云安全组层面：仅允许特定IP段访问SSH（22端口）,Web端口对全网开放。
CentOS主机层面：在firewalld中，将数据库端口3306限制为仅允许本地回环地址或应用服务器IP访问，并关闭了不必要的服务端口。
这种“云边界+主机内核”的纵深防御策略，将潜在风险降低了90%以上。

高级技巧：富规则（Rich Rules）与日志审计

对于复杂的访问控制需求，如“仅允许特定IP访问SSH”,富规则提供了更细粒度的控制。

# 仅允许192.168.1.100通过SSH连接 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept' firewall-cmd --reload

日志审计是安全合规的重要环节。firewalld默认记录被拒绝的连接日志，但默认不记录允许的连接，对于高安全需求场景，建议开启详细日志,以便事后追溯。