本文詳細介紹了使用CENTOS上使用Firewalld實施高級防火牆規則的文章。它強調了一種基於區域的方法，利用豐富的規則進行顆粒狀控制（例如，指定源IP，端口，協議）。最佳實踐包括
本節詳細介紹瞭如何使用CentOS系統上使用firewalld實施高級防火牆規則。 firewalld提供了一種強大而靈活的方法來管理您的防火牆，而不是簡單的端口開放。它的強度在於其基於區域的架構以及使用豐富語法定義復雜規則的能力。
首先，確保安裝並運行firewalld ：
<code class="bash">sudo yum install firewalld sudo systemctl start firewalld sudo systemctl enable firewalld</code>
高級規則通常在特定區域內添加。 default區域通常用於公共接口，而其他internal dmz則分別為內部網絡或非軍事區域創建。假設我們只想允許SSH僅從default區域的特定IP地址（192.168.1.100）訪問。我們可以使用firewall-cmd命令行工具來實現此目標：
<code class="bash">sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" accept' sudo firewall-cmd --reload</code>
此命令將一個永久規則（使用--permanent ）添加到default區域。 --add-rich-rule選項允許在類似XML的語法中指定的複雜規則。該規則專門針對源自192.168.1.100的IPv4流量（ family="ipv4" ）並接受它（ accept ）。請記住，使用--reload加載來重新加載firewalld以進行更改。您可以在rich rule中添加更複雜的條件，例如端口範圍，協議（TCP/UDP）和其他條件。例如，僅允許該IP中的SSH（端口22）：
<code class="bash">sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept' sudo firewall-cmd --reload</code>
您可以使用以下方式查看當前規則
sudo firewall-cmd --list-all sudo firewall-cmd --list-rich-rules
使用firewalld有效地保護CentOS服務器需要一種分層方法：
public ， internal ， dmz ）隔離網絡流量並將適當的規則應用於每個區域。這通過限制違規的影響來提高安全性。rich rules根據源IP地址，端口，協議和其他標準來定義高度特定的訪問控制。sudo firewall-cmd --list-all and sudo firewall-cmd --list-rich-rules的列表，定期審查您的防火牆規則，以確保它們仍然合適並且不妥協。firewalld 。firewalld一起使用Fail2ban 。 Fail2ban自動禁止試圖登錄的IP地址。允許應用程序的特定端口和協議涉及確定應用程序使用的端口和協議並創建適當的防火牆規則。例如，允許HTTP流量（端口80）和HTTPS流量（端口443）：
<code class="bash">sudo firewall-cmd --permanent --add-port=80/tcp sudo firewall-cmd --permanent --add-port=443/tcp sudo firewall-cmd --reload</code>
有關涉及特定IP地址或其他標準的更複雜的方案，請使用rich rules ：
<code class="bash">sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="8080" accept' sudo firewall-cmd --reload</code>
這允許IP地址192.168.1.100的端口8080上的TCP流量。請記住，將這些值替換為您的特定應用程序的適當端口，協議和IP地址。始終明確指定協議（TCP或UDP）。
對複雜的firewalld規則進行故障排除需要係統的方法：
sudo firewall-cmd --list-all和sudo firewall-cmd --list-rich-rules來確認您的規則已正確添加和活動性。public ， internal ）。使用sudo firewall-cmd --get-active-zones列出活動區域及其界面。firewalld日誌是否有錯誤或警告。日誌文件位置可能會因係統的配置而異，但通常在/var/log/firewalld/中找到。ping ， telnet ， netstat和nc等工具測試與您規則影響的服務的連接。firewalld sudo firewall-cmd --reload 。在固執的情況下，可能需要進行完整的重新啟動（ sudo systemctl restart firewalld ）。iptables （高級）：對於非常複雜的方案，您可以直接操縱基本的iptables規則，儘管除非您非常熟悉iptables ，否則通常會灰心。但是，請記住，在重新加載firewalld時，直接對iptables進行的更改將被覆蓋。firewalld文檔。通過遵循以下步驟和最佳實踐，您可以使用CENTOS服務器上的firewalld有效地管理和故障排除高級防火牆規則，從而增強其安全性和穩定性。
以上是如何使用CentOS上的防火牆實施高級防火牆規則？的詳細內容。更多資訊請關注PHP中文網其他相關文章！
