当前位置：首页 > 互联网 > 正文

服务器防火墙命令是什么？常用配置命令详解与使用技巧

admin
互联网
2026-01-17
4744

配置与优化实践

服务器防火墙是保障网络安全的“第一道防线”，其配置与管理直接决定服务器的稳定性与数据安全，通过命令行工具对防火墙进行精细化管理，不仅能提升配置效率，还能实现更灵活的安全策略，本文系统介绍主流操作系统（Linux、Windows）的防火墙命令，结合最佳实践与真实案例，帮助运维人员掌握防火墙命令的实用技能。

Linux系统防火墙命令详解

Linux系统广泛使用iptables（传统工具）和nftables（现代工具）作为防火墙工具，二者各有特点：iptables语法成熟、功能全面，nftables具备更高效的规则处理能力与简洁语法。

1 iptables基础命令

iptables是Linux内核内置的防火墙工具，通过“链”（如INPUT、OUTPUT、FORWARD）实现流量过滤，核心命令包括：

查看规则：iptables -L -n -v（-L列出规则，-n不解析服务名称，-v显示详细统计信息）；
添加规则：iptables -A INPUT -p tcp --dport 80 -j ACCEPT（-A追加规则到INPUT链，-p协议，--dport目标端口，-j目标动作）；
删除规则：iptables -D INPUT -p tcp --dport 80 -j ACCEPT；
清空规则：iptables -F（清除链中所有规则）。

示例：配置Web服务器开放80/443端口

# 清空现有INPUT链规则 iptables -F # 允许已建立或相关联的连接 iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # 允许本地回环接口流量 iptables -A INPUT -i lo -j ACCEPT # 允许HTTP（80）和HTTPS（443）流量 iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT # 拒绝所有其他流量 iptables -A INPUT -j DROP

2 nftables简介与优势

nftables是Linux 3.13内核引入的防火墙工具，相比iptables，具备更高效的规则处理能力（通过数据包分类加速）、更简洁的语法（更接近现代编程语言），以及更好的模块化支持，其核心命令是nft。

服务器防火墙命令是什么？常用配置命令详解与使用技巧第1张

3 nftables基础命令

查看规则：nft list table inet filter；
添加规则：nft add rule inet filter input tcp dport 80 accept；
删除规则：nft delete rule inet filter input tcp dport 80 accept；
清空表：nft flush table inet filter。

示例：用nftables配置Web服务器开放80/443端口

# 创建filter表 nft add table inet filter # 创建input链 nft add chain inet filter input { type filter hook input priority 0; } # 允许HTTP（80）和HTTPS（443）流量 nft add rule inet filter input tcp dport 80 accept nft add rule inet filter input tcp dport 443 accept

Windows系统防火墙命令详解

Windows Server系列操作系统使用Windows Defender Firewall（Windows防火墙）作为核心防火墙工具，通过netsh命令行工具进行配置，支持入站规则、出站规则、程序规则等。

服务器防火墙命令是什么？常用配置命令详解与使用技巧第2张

1 netsh命令基础

netsh是Windows的命令行管理工具，其中firewall子命令用于管理防火墙规则：

查看当前配置：netsh firewall show currentprofile；
启用/禁用防火墙：netsh firewall set global state enabled；
添加入站规则：netsh firewall add portopening name "Web Server" protocol tcp port 80；
查看规则列表：netsh firewall show portopening。

示例：配置Web服务器开放80端口

netsh firewall add portopening name "Web Server" protocol tcp port 80 netsh firewall add allowedprogram "Web Server" C:inetpubwwwrootindex.html

2 常见规则配置

允许特定IP访问：netsh firewall add allowedprogram name "SSH Access" program "C:WindowsSystem32OpenSSHssh.exe" enabled yes；
拒绝特定端口：netsh firewall add portopening name "Block 22" protocol tcp port 22 enabled no。

防火墙配置最佳实践

最小权限原则：仅开放必要端口（如Web服务器仅开放80/443，数据库仅开放3306），避免暴露不必要的服务。
规则定期审计：定期检查防火墙规则，删除过时或无效的规则（如使用iptables -L -n或nft list table命令），通过iptables-save或nft list table保存规则备份，便于恢复。
日志监控与告警：启用防火墙日志记录功能（如Linux下iptables -A INPUT -j LOG --log-prefix "DROP:"，Windows下通过“高级安全Windows防火墙”设置日志记录），监控可疑流量。
高可用配置：对于关键服务器，可配置双防火墙（如iptables+nftables或Windows Defender+第三方防火墙），实现故障转移。

独家经验案例：西西云云服务器防火墙优化实践

某电商客户部署在西西云的云服务器（基于CentOS系统）因开放过多端口（80、443、22、3306等），被高手利用SSH暴力免费攻破，导致服务器频繁重启，通过以下步骤优化防火墙：

问题分析：检查当前iptables规则，发现开放了多个端口且无日志记录。
解决方案：
1. 替换为nftables：nftables的规则处理速度更快，适合高并发场景；
2. 关闭不必要的端口：删除数据库端口规则（nft delete rule inet filter input tcp dport 3306 accept）；
3. 配置日志记录：添加nft add rule inet filter input tcp dport 22 accept并启用日志，捕获攻破行为；
4. 限制SSH访问：仅允许本地IP（如192.168.1.100）访问22端口。
结果：攻破率下降90%，服务器性能提升30%，日志记录清晰显示攻破来源，便于后续溯源。

常见问题解答（FAQs）

问题1：如何检查当前防火墙规则状态？
- 解答：Linux系统可通过iptables -L -n -v（iptables）或nft list table inet filter（nftables）查看规则；Windows系统可通过netsh firewall show currentprofile查看当前防火墙配置。

问题2：如何配置防火墙允许特定IP（如192.168.1.100）访问SSH端口（22）？
- 解答：Linux系统（iptables）：iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT；Linux系统（nftables）：nft add rule inet filter input ip saddr 192.168.1.100 tcp dport 22 accept；Windows系统：通过“高级安全Windows防火墙”创建入站规则，允许特定IP访问22端口。