在当今数字化时代，服务器的安全至关重要。CentOS作为一种广泛使用的Linux操作系统，其防火墙的合理配置和开启是保障服务器安全的重要环节。本文将详细介绍在CentOS系统中开启防火墙的相关知识和具体操作步骤。
一、CentOS系统防火墙简介
在CentOS系统中，常见的防火墙有两种，即iptables和firewalld。iptables是传统的Linux防火墙工具，它通过一系列规则来过滤网络数据包，功能强大且灵活，但配置相对复杂。而firewalld是CentOS7及以后版本默认的防火墙管理工具，它采用了区域和服务的概念，配置更加直观和方便。
对于新手来说，firewalld更容易上手，而对于有一定经验且对防火墙规则有特殊需求的用户，iptables可能更合适。下面我们将分别介绍如何开启这两种防火墙。
二、开启firewalld防火墙
CentOS7及以后的版本默认使用firewalld作为防火墙管理工具，以下是开启firewalld防火墙的详细步骤。
1. 检查firewalld服务状态
在开启防火墙之前，我们需要先检查firewalld服务的当前状态。可以使用以下命令：
sudo systemctl status firewalld
如果输出结果中显示“active (running)”，则表示firewalld服务已经在运行；如果显示“inactive (dead)”，则表示服务未运行。
2. 启动firewalld服务
如果firewalld服务未运行，可以使用以下命令启动它：
sudo systemctl start firewalld
启动后，可以再次使用“sudo systemctl status firewalld”命令来确认服务是否已经成功启动。
3. 设置firewalld服务开机自启
为了确保服务器重启后firewalld服务能够自动启动，我们需要设置它为开机自启。可以使用以下命令：
sudo systemctl enable firewalld
执行该命令后，系统会在开机时自动启动firewalld服务。
4. 查看firewalld服务状态和开机自启情况
可以使用以下命令查看firewalld服务的状态和开机自启情况：
sudo systemctl is-enabled firewalld sudo systemctl is-active firewalld
如果“is-enabled”命令的输出结果为“enabled”，“is-active”命令的输出结果为“active”，则表示firewalld服务已经成功设置为开机自启且当前正在运行。
三、配置firewalld防火墙规则
开启firewalld服务后，我们还需要配置相应的规则来允许或拒绝特定的网络流量。以下是一些常见的配置示例。
1. 查看当前的防火墙区域
firewalld使用区域来管理网络连接，不同的区域有不同的默认规则。可以使用以下命令查看当前的防火墙区域：
sudo firewall-cmd --get-active-zones
该命令会输出当前激活的区域以及与之关联的网络接口。
2. 查看区域的默认规则
可以使用以下命令查看某个区域的默认规则：
sudo firewall-cmd --zone=public --list-all
这里以“public”区域为例，该命令会输出“public”区域的所有规则，包括允许的服务和端口等信息。
3. 允许特定服务通过防火墙
如果需要允许某个服务通过防火墙，可以使用以下命令：
sudo firewall-cmd --zone=public --add-service=http --permanent
这里以允许HTTP服务为例，“--permanent”参数表示该规则将永久生效。执行该命令后，需要重新加载防火墙规则才能使设置生效：
sudo firewall-cmd --reload
4. 允许特定端口通过防火墙
如果需要允许某个特定的端口通过防火墙，可以使用以下命令：
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
这里以允许TCP协议的8080端口为例，同样需要使用“--permanent”参数并重新加载防火墙规则。
四、开启iptables防火墙
虽然CentOS7及以后的版本默认使用firewalld，但在某些情况下，我们可能仍然需要使用iptables。以下是在CentOS系统中开启iptables防火墙的步骤。
1. 安装iptables-services
在CentOS7及以后的版本中，需要先安装iptables-services包。可以使用以下命令进行安装：
sudo yum install iptables-services
2. 停止并禁用firewalld服务
由于firewalld和iptables不能同时运行，所以在使用iptables之前，需要停止并禁用firewalld服务：
sudo systemctl stop firewalld sudo systemctl disable firewalld
3. 启动iptables服务
安装完成后，可以使用以下命令启动iptables服务：
sudo systemctl start iptables
4. 设置iptables服务开机自启
同样，为了确保服务器重启后iptables服务能够自动启动，需要设置它为开机自启：
sudo systemctl enable iptables
五、配置iptables防火墙规则
iptables的规则配置相对复杂，以下是一些常见的配置示例。
1. 查看当前的iptables规则
可以使用以下命令查看当前的iptables规则：
sudo iptables -L -n -v
该命令会输出当前的所有规则，包括链、规则编号、匹配条件和动作等信息。
2. 允许SSH连接
为了确保能够通过SSH远程连接到服务器，需要允许SSH端口（默认为22）的流量。可以使用以下命令添加规则：
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
该命令将允许所有TCP协议的22端口的流量进入服务器。
3. 允许HTTP和HTTPS连接
如果服务器需要提供Web服务，需要允许HTTP（端口80）和HTTPS（端口443）的流量。可以使用以下命令添加规则：
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
4. 拒绝所有其他输入流量
为了提高服务器的安全性，可以拒绝所有其他输入流量。可以使用以下命令添加规则：
sudo iptables -P INPUT DROP
该命令将设置默认的输入策略为拒绝所有流量，只有通过前面添加的规则允许的流量才能进入服务器。
5. 保存iptables规则
添加完规则后，需要保存这些规则，否则服务器重启后规则将丢失。可以使用以下命令保存规则：
sudo service iptables save
六、总结
在CentOS系统中，无论是使用firewalld还是iptables，开启和配置防火墙都是保障服务器安全的重要步骤。对于新手来说，建议先使用firewalld，因为它的配置相对简单。而对于有一定经验的用户，可以根据自己的需求选择合适的防火墙工具。同时，定期检查和更新防火墙规则也是非常必要的，以确保服务器始终处于安全的状态。
希望本文能够帮助你在CentOS系统中成功开启和配置防火墙，保护服务器免受潜在的网络威胁。
