在Linux系统里配置防火墙，核心目标是控制哪些网络流量可以进入、转发或发出本机。目前最常见的两套方案分别是传统的iptables和较新的firewalld，它们最终都依赖内核的netfilter框架来处理数据包。理解二者差异并掌握基础命令，是服务器安全运维的第一步。
一、iptables基础配置
iptables是一套直接操作netfilter规则表的命令行工具，它将规则分为filter、nat、mangle等表，其中filter表最常用，包含INPUT、OUTPUT、FORWARD三条链。管理员通过向链中追加规则，决定数据包是被接受（ACCEPT）、丢弃（DROP）还是拒绝（REJECT）。
例如，要放行SSH默认端口22并拒绝其他所有入站连接，可以先设置默认策略为DROP，再允许回环和已建立连接。下面的脚本展示了最小可用配置：
#!/bin/bash # 清除已有规则 iptables -F iptables -X # 设置默认策略：入站丢弃，转发丢弃，出站允许 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # 允许回环流量 iptables -A INPUT -i lo -j ACCEPT # 允许已建立或相关的连接，避免阻断响应包 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 放行SSH端口 iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 保存规则（CentOS示例） service iptables save
这种方式的优点是所有规则一目了然，适合需要精细控制转发或做NAT的场景。缺点是规则为临时生效，重启后需依赖保存机制恢复，且命令顺序敏感，写错容易把自己锁在服务器外面。
为了防止配置失误导致无法远程登录，建议在修改前通过云厂商控制台或本地终端预留一个定时恢复任务，比如五分钟后自动清空INPUT链，确认无误后再取消。
二、firewalld区域化配置
firewalld在iptables之上做了一层抽象，引入“区域（zone）”概念。每个网卡可绑定一个区域，区域里预定义了服务、端口和富规则的信任级别。相比直接写链，firewalld支持动态修改且无需重启守护进程即可生效。
在CentOS 7及以后版本中，firewalld通常默认启用。使用firewall-cmd命令可以查看当前活跃区域并放行HTTP服务：
# 查看默认区域 firewall-cmd --get-default-zone # 临时放行80端口（重启后失效） firewall-cmd --add-port=80/tcp # 永久放行并立即生效 firewall-cmd --permanent --add-service=http firewall-cmd --reload # 查看已开放服务 firewall-cmd --list-all
firewalld的配置文件位于/etc/firewalld/目录下，用户也可以直接编辑xml文件来定义自定义服务。它的优势是对新手友好，不容易因规则顺序出现隐蔽错误；但在极复杂的网络拓扑中，其抽象层有时反而让调试变得不直接。
若系统同时安装了iptables与firewalld，二者会冲突，必须停用其中一个。生产环境推荐统一标准，避免多人维护时工具混用引发规则覆盖。
三、常见配置误区与恢复手段
一个典型误区是直接将INPUT链默认策略设为ACCEPT后又写少量DROP规则，以为这样更宽松安全，实际上遗漏的端口都可能暴露。正确做法是以最小权限为原则，默认拒绝再逐条放开。
当远程配置失误锁死连接时，可借助带外管理或单用户模式登录，执行iptables -P INPUT ACCEPT与iptables -F清空规则。firewalld则可用systemctl stop firewalld临时关闭。下表对比了两种工具的关键差异：
| 对比项 | iptables | firewalld |
|---|---|---|
| 配置方式 | 命令直写规则链 | 区域与服务抽象 |
| 生效特点 | 需保存防重启丢失 | 支持永久与临时分离 |
| 学习曲线 | 较陡 | 平缓 |
| 适用场景 | 复杂路由/NAT | 常规主机防护 |
综合来看，单机业务防护用firewalld能更快落地，而有定制转发需求的网关设备仍离不开iptables。无论选哪种，都应在测试环境验证后再上生产，并保留应急恢复通道。