CentOS服务器的网络传输安全直接关系到业务数据的完整性和可用性，防火墙作为网络边界的核心防护组件，能够通过规则过滤实现对进出服务器流量的管控，有效阻挡恶意扫描、非法访问等安全威胁。合理设置防火墙规则，是提升CentOS服务器网络传输安全性的基础操作。
CentOS常用防火墙工具介绍
CentOS系统默认提供了两种主流的防火墙管理工具，分别是firewalld和iptables，两者的工作逻辑和配置方式存在差异，用户可以根据自身使用习惯选择。
firewalld
firewalld是CentOS 7及之后版本默认搭载的动态防火墙管理工具，它基于区域（zone）的概念管理规则，支持运行时规则修改无需重启服务，配置逻辑更贴近日常使用场景，适合新手快速上手。
iptables
iptables是经典的Linux防火墙工具，通过表（table）和链（chain）的结构管理规则，配置灵活性更高，适合需要精细化流量管控的场景，不过规则修改后需要手动保存才能持久化。
使用firewalld设置网络传输安全
基础服务操作
首先确认firewalld服务的运行状态，执行以下命令查看：
# 查看firewalld运行状态 systemctl status firewalld # 启动firewalld服务 systemctl start firewalld # 设置firewalld开机自启 systemctl enable firewalld
配置安全规则
我们可以通过区域管理来设置允许通过的流量，默认区域为public，以下是常用的安全配置操作：
- 开放指定端口：仅允许业务需要的端口对外提供服务，减少攻击面
- 限制来源IP：仅允许信任的IP地址访问敏感端口
- 开放指定服务：针对系统预定义的服务快速开放对应端口
具体配置命令示例如下：
# 开放80端口（HTTP服务），永久生效 firewall-cmd --zone=public --add-port=80/tcp --permanent # 仅允许192.168.1.100访问22端口（SSH服务），永久生效 firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept' --permanent # 开放SSH服务，永久生效 firewall-cmd --zone=public --add-service=ssh --permanent # 移除默认的允许所有SSH访问规则（如果存在） firewall-cmd --zone=public --remove-service=ssh --permanent # 重新加载规则使配置生效 firewall-cmd --reload # 查看当前生效的规则 firewall-cmd --zone=public --list-all
规则持久化说明
firewalld中添加--permanent参数的规则会保存到配置文件中，重新加载后永久生效，未添加该参数的规则仅在当前运行时生效，服务重启后会丢失，配置安全规则时建议都添加该参数。
使用iptables设置网络传输安全
基础服务操作
如果使用iptables作为防火墙工具，需要先关闭firewalld服务，再启动iptables：
# 停止并禁用firewalld systemctl stop firewalld systemctl disable firewalld # 安装iptables服务（部分最小化安装的系统需要手动安装） yum install -y iptables-services # 启动iptables服务 systemctl start iptables # 设置iptables开机自启 systemctl enable iptables
配置安全规则
iptables的规则基于表链结构，我们通常在filter表的INPUT链中配置入站规则，以下是常用的安全配置示例：
# 清除现有规则 iptables -F # 设置默认策略：INPUT链默认拒绝，OUTPUT链默认允许，FORWARD链默认拒绝 iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP # 允许本地回环接口流量 iptables -A INPUT -i lo -j ACCEPT # 允许已建立的连接和相关连接通过 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 仅允许192.168.1.0/24网段访问22端口 iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPT # 开放80端口允许所有来源访问 iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 开放443端口允许所有来源访问 iptables -A INPUT -p tcp --dport 443 -j ACCEPT # 查看当前规则 iptables -L -n -v
规则持久化
iptables的规则默认重启后会丢失，需要手动保存到配置文件：
# 保存当前规则到配置文件 service iptables save # 也可以手动保存到指定文件 iptables-save > /etc/sysconfig/iptables
安全配置注意事项
- 配置SSH端口规则时，建议先测试规则是否生效，避免配置错误导致无法远程连接服务器
- 不要随意开放不必要的端口，遵循最小权限原则，仅开放业务必需的端口和服务
- 定期排查防火墙规则，及时删除过期、无用的规则，避免规则冗余带来安全风险
- 如果服务器前有云服务商的安全组，需要和系统防火墙规则配合配置，避免规则冲突
常见问题排查
如果配置规则后服务无法正常访问，可以通过以下方式排查：
- 检查防火墙服务是否正常运行，规则是否成功加载
- 使用
telnet 服务器IP 端口命令测试端口是否可达 - 查看防火墙日志，firewalld的日志默认在/var/log/messages中，iptables可以手动开启日志规则记录拦截的流量
以下是iptables开启日志规则的示例，用于记录被拦截的入站流量：
# 在INPUT链末尾添加日志规则，日志前缀为IPTABLES_DROPPED iptables -A INPUT -j LOG --log-prefix "IPTABLES_DROPPED: " # 保存规则 service iptables save
firewalldiptablesCentOS_防火墙网络传输安全修改时间：2026-07-08 01:18:32