Rocky Linux firewalld 完全指南：从零基础到精通(增强版)：企业级生产环境适配

Rocky Linux firewalld 完全指南：从零基础到精通(增强版)：企业级生产环境适配

前言：防火墙的演进与 firewalld 的崛起

在计算机网络发展的历程中，防火墙作为网络安全的第一道防线，其技术也在不断演进。从最早的包过滤防火墙到状态检测防火墙，再到如今的应用层防火墙，每一次技术迭代都带来了更强的安全性和更灵活的管理方式。

firewalld 是 Red Hat 公司在 RHEL 7 中引入的新一代动态防火墙管理工具，旨在解决传统 iptables 的局限性。它现已成为包括 Rocky Linux 在内的众多 Linux 发行版的默认防火墙解决方案。

与传统的 iptables 相比，firewalld 带来了革命性的变化：

动态性：无需重启服务即可应用规则变更层次性：通过区域 (Zone) 概念简化复杂网络环境管理易用性：提供直观的命令行工具和图形界面灵活性：支持多种配置方式和高级网络功能

本指南将带你全面掌握 firewalld，从最基础的概念到最复杂的企业级配置，助你构建安全可靠的网络防护体系。

一、核心概念与架构设计

1.1 firewalld 的来龙去脉

firewalld 项目始于 2010 年，由 Red Hat 主导开发，旨在解决 iptables 在现代网络环境中的不足：

传统 iptables 需要重启服务才能应用规则变更，导致连接中断规则管理缺乏层次结构，复杂网络环境下难以维护对动态网络环境（如笔记本电脑切换网络）支持不足配置与运行状态分离，容易导致不一致

firewalld 基于 Netfilter 框架构建，与 iptables 共享相同的内核模块，但提供了全新的用户空间管理工具和配置机制。

1.2 动态防火墙的工作原理

firewalld 的动态特性源于其独特的设计：

运行时配置与永久配置分离
运行时配置：即时生效，重启后丢失永久配置：需要重载才能生效，重启后保留
D-Bus 通信机制
所有配置变更通过 D-Bus 消息传递后台服务 firewalld 守护进程负责处理这些消息无需重启服务即可应用变更，避免连接中断
事务处理
复杂规则变更作为一个原子事务处理确保配置的一致性，避免部分应用导致的安全漏洞

1.3 三层抽象模型深度解析

firewalld 采用三层抽象模型，大大简化了防火墙管理：

1.3.1 全局层（Global）

全局层负责防火墙的整体设置，包括：

默认区域（Default Zone）：未明确指定区域的接口将使用此区域

日志设置：定义日志记录的级别和类型

IP 集（IP Sets）：管理 IP 地址和网段的集合

服务定义：全局可用的服务配置

1.3.2 区域层（Zones）

区域是 firewalld 最核心的概念，代表不同的网络安全级别。每个区域包含一组预定义的规则，适用于特定场景：

每个网络接口可以绑定到一个区域，一个区域可以包含多个接口。

1.3.3 规则层（Rules）

规则层包含具体的访问控制规则，主要有以下几种类型：

服务规则：允许特定服务的流量端口规则：允许特定端口 / 协议的流量富规则：复杂的条件规则，支持源地址、目标地址、日志、速率限制等端口转发：将特定端口的流量转发到其他地址 / 端口直接规则：直接插入 iptables 规则，用于高级场景

二、安装与基础管理

2.1 安装 firewalld

在 Rocky Linux 中，firewalld 通常默认安装。如果未安装，可以通过以下命令安装：

# 安装firewalld软件包
sudo dnf install firewalld -y

# 安装图形界面工具（可选）
sudo dnf install firewall-config -y

2.2 服务管理命令详解

# 启动firewalld服务
sudo systemctl start firewalld
# 解释：
# systemctl：系统服务管理工具
# start：启动服务的指令
# firewalld：要启动的服务名称

# 停止firewalld服务
sudo systemctl stop firewalld

# 重启firewalld服务
sudo systemctl restart firewalld

# 重新加载配置（不中断连接）
sudo firewall-cmd --reload
# 解释：
# firewall-cmd：firewalld的命令行工具
# --reload：重新加载配置文件，应用永久配置
# 此命令不会中断现有连接，是应用配置变更的推荐方式

# 设置开机自启动
sudo systemctl enable firewalld
# 解释：
# enable：设置服务在系统启动时自动启动

# 禁用开机自启动
sudo systemctl disable firewalld

# 查看服务状态
sudo systemctl status firewalld
# 输出解释：
# Active: active (running) 表示服务正在运行
# 显示服务启动时间、进程ID等信息

2.3 查看防火墙基本状态

# 检查firewalld是否正在运行
sudo firewall-cmd --state
# 输出：running（运行中）或not running（未运行）

# 查看版本信息
sudo firewall-cmd --version

# 查看所有支持的功能
sudo firewall-cmd --help

三、配置文件系统详解

3.1 配置文件结构与位置

firewalld 的配置文件分为系统配置和用户配置两个层级：

主要配置目录：


/usr/lib/firewalld/zones/ 和
/etc/firewalld/zones/：区域配置文件
/usr/lib/firewalld/services/ 和
/etc/firewalld/services/：服务定义文件
/usr/lib/firewalld/ipsets/ 和
/etc/firewalld/ipsets/：IP 集配置文件
/etc/firewalld/firewalld.conf：firewalld 主配置文件

3.2 主配置文件详解（firewalld.conf）

# firewalld主配置文件
# 位于/etc/firewalld/firewalld.conf

# 默认区域设置
DefaultZone=public
# 解释：未指定区域的接口将使用public区域

# 最小化标记（yes/no）
MinimalMark=100

# 网络接口更新时是否自动重新加载
CleanupOnExit=yes
# 解释：服务停止时是否清理规则

# 日志拒绝消息的级别（off/unicast/broadcast/multicast/all）
LogDenied=off
# 解释：设置拒绝连接的日志记录级别，off表示不记录

# 自动添加的 helper 模块（yes/no）
AutomaticHelpers=yes

# IPv4 转发（yes/no）
IPv4Forwarding=no

# IPv6 转发（yes/no）
IPv6Forwarding=no

# 单个区域中可以绑定的最大接口数
MaxZoneInterfaces=

# 防火墙使用的模块
FirewallBackend=nf_tables
# 解释：指定防火墙后端，nf_tables是新一代后端，替代传统的iptables

修改主配置文件后，需要重启 firewalld 服务才能生效：

sudo systemctl restart firewalld

3.3 XML 配置文件语法详解

firewalld 使用 XML 格式的文件定义区域、服务等配置。XML 是一种标记语言，具有自我描述性，适合存储结构化数据。

3.3.1 XML 基本结构

<?xml version="1.0" encoding="utf-8"?>
<!-- 根元素，根据配置类型可以是<zone>、<service>等 -->
<root-element>
  <!-- 子元素，包含具体配置 -->
  <child-element attribute="value">内容</child-element>
</root-element>


<?xml version="1.0" encoding="utf-8"?>：XML 声明，指定版本和编码
<!-- 注释 -->：注释内容，不会被解析元素由开始标签
<element>和结束标签
</element>组成元素可以包含属性
attribute="value"元素可以嵌套

3.3.2 服务定义文件详解

服务定义文件描述了一个网络服务需要的端口和协议等信息，位于
/usr/lib/firewalld/services/（系统默认）和
/etc/firewalld/services/（用户自定义）目录下，扩展名为
.xml。

示例：自定义 Web 服务（
/etc/firewalld/services/myweb.xml）

<?xml version="1.0" encoding="utf-8"?>
<!-- 服务定义的根元素 -->
<service>
  <!-- 服务的短名称，用于显示 -->
  <short>My Web Service</short>
  
  <!-- 服务的详细描述 -->
  <description>Custom web service running on ports 8080 (HTTP) and 8443 (HTTPS)</description>
  
  <!-- 定义服务使用的端口和协议 -->
  <port protocol="tcp" port="8080"/>
  <!-- 解释：
       protocol：指定协议，可以是tcp或udp
       port：指定端口号，可以是单个端口（如8080）或端口范围（如8000-9000）
  -->
  
  <port protocol="tcp" port="8443"/>
  
  <!-- 指定需要加载的内核模块 -->
  <module name="nf_conntrack_http"/>
  <!-- 解释：
       某些服务需要特定的内核模块来跟踪连接状态
       HTTP服务通常需要nf_conntrack_http模块
  -->
</service>

创建自定义服务文件后，需要重新加载防火墙配置：

sudo firewall-cmd --reload

3.3.3 区域配置文件详解

区域配置文件定义了一个区域包含的接口、允许的服务、端口和规则等，位于
/usr/lib/firewalld/zones/和
/etc/firewalld/zones/目录下。

示例：自定义 DMZ 区域（
/etc/firewalld/zones/mydmz.xml）

<?xml version="1.0" encoding="utf-8"?>
<!-- 区域定义的根元素 -->
<zone target="DROP">
  <!-- 解释：
       target属性：指定默认策略，可选值为ACCEPT、DROP或REJECT
       ACCEPT：默认允许所有未明确拒绝的流量
       DROP：默认丢弃所有未明确允许的流量，不发送任何响应
       REJECT：默认拒绝所有未明确允许的流量，发送拒绝响应
  -->
  
  <!-- 区域的短名称 -->
  <short>My DMZ</short>
  
  <!-- 区域的详细描述 -->
  <description>Custom DMZ zone for public-facing services</description>
  
  <!-- 绑定到该区域的网络接口 -->
  <interface name="eth1"/>
  <!-- 解释：name属性指定网络接口的名称 -->
  
  <!-- 允许的服务 -->
  <service name="ssh"/>
  <service name="http"/>
  <service name="https"/>
  <!-- 解释：name属性指定服务名称，对应服务定义文件 -->
  
  <!-- 允许的端口 -->
  <port protocol="tcp" port="8080"/>
  
  <!-- 富规则定义 -->
  <rich-rule>
    <rule family="ipv4">
      <!-- 源地址限制 -->
      <source address="192.168.1.0/24"/>
      
      <!-- 允许访问的端口 -->
      <port protocol="tcp" port="2222"/>
      
      <!-- 动作：允许 -->
      <accept/>
    </rule>
  </rich-rule>
  
  <!-- 端口转发规则 -->
  <forward-port port="80" protocol="tcp" to-port="8080" to-addr="10.0.0.10"/>
</zone>

四、命令行工具全面解析（firewall-cmd）

4.1 基础语法与选项

firewall-cmd 是 firewalld 的命令行管理工具，基本语法如下：

firewall-cmd [--zone=区域名称] [--permanent] 命令 [参数]

核心选项解析：


--zone=区域名称：指定操作的区域，省略则使用默认区域
--permanent：表示操作永久配置，省略则仅影响运行时配置
--reload：重新加载配置，使永久配置生效
--runtime-to-permanent：将当前运行时配置保存为永久配置
--list-all：列出所有配置信息

4.2 区域管理命令详解

4.2.1 查看区域信息

# 查看所有可用区域
sudo firewall-cmd --get-zones
# 输出示例：block dmz drop external home internal public trusted work

# 查看默认区域
sudo firewall-cmd --get-default-zone
# 输出示例：public

# 查看活跃区域（有接口绑定的区域）
sudo firewall-cmd --get-active-zones
# 输出示例：
# public
#   interfaces: eth0

# 查看指定区域的详细配置
sudo firewall-cmd --zone=public --list-all
# 输出解释：
# public (active)：区域名称，(active)表示有接口绑定
#   target: default：默认目标策略
#   icmp-block-inversion: no：是否反转ICMP阻止规则
#   interfaces: eth0：绑定的网络接口
#   sources: ：绑定的源地址
#   services: ssh dhcpv6-client：允许的服务
#   ports: ：允许的端口
#   protocols: ：允许的协议
#   forward: no：是否允许转发
#   masquerade: no：是否启用伪装（NAT）
#   forward-ports: ：端口转发规则
#   source-ports: ：源端口规则
#   icmp-blocks: ：阻止的ICMP类型
#   rich rules: ：富规则

# 查看所有区域的配置
sudo firewall-cmd --list-all-zones

4.2.2 修改默认区域

# 设置默认区域为home
sudo firewall-cmd --set-default-zone=home --permanent
# 解释：
# --set-default-zone=home：将默认区域设置为home
# --permanent：保存到永久配置

# 使配置生效
sudo firewall-cmd --reload

4.2.3 区域与接口绑定

# 将接口eth0绑定到public区域
sudo firewall-cmd --zone=public --add-interface=eth0 --permanent
# 解释：
# --zone=public：指定区域
# --add-interface=eth0：添加接口eth0
# --permanent：永久生效

# 更改接口绑定的区域
sudo firewall-cmd --zone=work --change-interface=eth0 --permanent

# 从区域中移除接口
sudo firewall-cmd --zone=public --remove-interface=eth0 --permanent

# 查看接口绑定的区域
sudo firewall-cmd --get-zone-of-interface=eth0

4.2.4 区域与源地址绑定

除了绑定网络接口，还可以根据源 IP 地址来划分区域：

# 将192.168.1.0/24网段绑定到home区域
sudo firewall-cmd --zone=home --add-source=192.168.1.0/24 --permanent
# 解释：来自192.168.1.0/24网段的流量将应用home区域的规则

# 移除源地址绑定
sudo firewall-cmd --zone=home --remove-source=192.168.1.0/24 --permanent

# 查看区域的源地址绑定
sudo firewall-cmd --zone=home --list-sources

4.3 服务管理命令详解

4.3.1 查看服务信息

# 查看所有可用服务
sudo firewall-cmd --get-services
# 输出示例：ssh dhcpv6-client http https ftp ...

# 查看指定区域允许的服务
sudo firewall-cmd --zone=public --list-services
# 输出示例：ssh dhcpv6-client

# 查看特定服务的详细信息
sudo firewall-cmd --info-service=http
# 输出解释：
# http
#   ports: 80/tcp
#   modules: 
#   destination: 

4.3.2 管理区域中的服务

# 在public区域允许http服务
sudo firewall-cmd --zone=public --add-service=http --permanent
# 解释：
# --add-service=http：允许http服务
# 此命令会开放http服务定义中指定的所有端口（通常是80/tcp）

# 在默认区域允许https服务
sudo firewall-cmd --add-service=https --permanent
# 解释：未指定--zone，使用默认区域

# 从public区域移除http服务
sudo firewall-cmd --zone=public --remove-service=http --permanent

# 临时允许ftp服务（重启后失效）
sudo firewall-cmd --add-service=ftp
# 解释：未使用--permanent，仅在运行时生效

4.4 端口管理命令详解

当需要开放未定义为服务的端口时，可以直接管理端口：

# 在public区域开放8080/tcp端口
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
# 解释：
# --add-port=8080/tcp：指定端口和协议，格式为端口号/协议
# 协议可以是tcp或udp

# 开放端口范围（如9000-9010/tcp）
sudo firewall-cmd --add-port=9000-9010/tcp --permanent

# 查看区域中开放的端口
sudo firewall-cmd --zone=public --list-ports

# 从区域中移除端口
sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent

4.5 协议管理命令详解

除了基于端口的过滤，还可以直接过滤协议：

# 在public区域允许icmp协议（ping）
sudo firewall-cmd --zone=public --add-protocol=icmp --permanent

# 查看区域中允许的协议
sudo firewall-cmd --zone=public --list-protocols

# 从区域中移除协议
sudo firewall-cmd --zone=public --remove-protocol=icmp --permanent

五、富规则（Rich Rules）完全指南

富规则是 firewalld 中最强大的功能之一，允许创建复杂的条件规则，支持源地址、目标地址、端口、协议、日志记录、速率限制等多种条件。

5.1 富规则基本语法

富规则的基本结构如下：

rule [family="ipv4|ipv6"]
    [source address="address[/mask]" [invert="yes"]]
    [destination address="address[/mask]" [invert="yes"]]
    [service name="service_name"]
    [port port="port[:port]" protocol="tcp|udp"]
    [protocol value="protocol"]
    [icmp-block name="icmptype"]
    [icmp-type name="icmptype"]
    [masquerade]
    [forward-port port="port[:port]" protocol="tcp|udp" to-port="port[:port]" to-addr="address"]
    [log [prefix="prefix text"] [level="log_level"] [limit value="rate/duration"]]
    [audit]
    [accept|reject|drop|mark]

各部分解释：


family：指定 IP 协议版本，可选 ipv4 或 ipv6，默认同时适用于两者
source：指定源地址，可以使用 invert=“yes” 表示除指定地址外的所有地址
destination：指定目标地址，用法同 source
service：指定服务名称
port：指定端口和协议
protocol：指定协议
icmp-block/
icmp-type：指定 ICMP 类型
masquerade：启用伪装（NAT）
forward-port：配置端口转发
log：配置日志记录
audit：配置审计动作：
accept（允许）、
reject（拒绝并回复）、
drop（丢弃不回复）、
mark（标记数据包）

5.2 富规则常用示例与解析

5.2.1 允许特定 IP 访问 SSH 服务

sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="192.168.1.100/32"
  service name="ssh"
  accept
' --permanent

解析：


family="ipv4"：仅适用于 IPv4
source address="192.168.1.100/32"：源地址为 192.168.1.100（/32 表示单个 IP）
service name="ssh"：针对 ssh 服务
accept：允许符合条件的流量

5.2.2 拒绝特定网段访问 Web 服务

sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="10.0.0.0/8"
  port port="80" protocol="tcp"
  reject
' --permanent

解析：


source address="10.0.0.0/8"：源地址为 10.0.0.0 网段
port port="80" protocol="tcp"：针对 TCP 80 端口
reject：拒绝符合条件的流量，并发送拒绝响应

5.2.3 允许特定 IP 访问端口范围并记录日志

sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="192.168.2.0/24"
  port port="8000-8010" protocol="tcp"
  log prefix="ALLOWED_WEB_TRAFFIC: " level="info" limit value="10/m"
  accept
' --permanent

解析：


port port="8000-8010" protocol="tcp"：针对 TCP 8000-8010 端口范围

log

：记录日志


prefix：日志前缀，便于识别
level：日志级别（debug, info, notice, warning, err, crit, alert, emerg）
limit：限制日志速率，10/m 表示每分钟最多 10 条


accept：允许符合条件的流量

5.2.4 限制特定端口的访问速率

sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  port port="22" protocol="tcp"
  limit value="3/m"
  accept
' --permanent

解析：


limit value="3/m"：限制速率为每分钟最多 3 个连接此规则可有效防止 SSH 暴力破解攻击

5.2.5 拒绝除特定 IP 外的所有地址访问管理端口

sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="192.168.1.0/24" invert="yes"
  port port="2222" protocol="tcp"
  reject
' --permanent

解析：


invert="yes"：表示除了指定地址外的所有地址此规则拒绝所有非 192.168.1.0/24 网段的地址访问 2222 端口

5.3 富规则管理命令

# 查看区域中的富规则
sudo firewall-cmd --zone=public --list-rich-rules

# 移除富规则（注意规则内容必须与添加时完全一致）
sudo firewall-cmd --zone=public --remove-rich-rule='
  rule family="ipv4"
  source address="192.168.1.100/32"
  service name="ssh"
  accept
' --permanent

六、IP 集（IP Sets）详解

IP 集是一种高效管理多个 IP 地址、网段或端口的机制，可用于创建黑白名单，比单独配置多个规则更高效。

6.1 IP 集的概念与类型

IP 集是一个存储 IP 地址、网段或端口的集合，可以作为一个整体在规则中引用。支持多种类型：

6.2 IP 集管理命令详解

6.2.1 创建与删除 IP 集

# 创建一个存储IP地址的IP集
sudo firewall-cmd --permanent --new-ipset=trusted_ips --type=hash:ip
# 解释：
# --new-ipset=trusted_ips：创建名为trusted_ips的IP集
# --type=hash:ip：类型为存储IPv4地址的哈希表

# 创建一个存储网段的IP集
sudo firewall-cmd --permanent --new-ipset=blacklist --type=hash:net

# 删除IP集
sudo firewall-cmd --permanent --delete-ipset=blacklist

6.2.2 管理 IP 集中的条目

# 向IP集添加条目
sudo firewall-cmd --permanent --ipset=trusted_ips --add-entry=192.168.1.100
# 解释：
# --ipset=trusted_ips：指定IP集名称
# --add-entry=192.168.1.100：添加IP地址

# 向网段IP集添加条目
sudo firewall-cmd --permanent --ipset=blacklist --add-entry=10.0.0.0/8

# 从IP集移除条目
sudo firewall-cmd --permanent --ipset=trusted_ips --remove-entry=192.168.1.100

# 查看IP集中的所有条目
sudo firewall-cmd --permanent --ipset=trusted_ips --get-entries

6.2.3 查看 IP 集信息

# 查看所有IP集
sudo firewall-cmd --permanent --get-ipsets

# 查看特定IP集的详细信息
sudo firewall-cmd --permanent --info-ipset=trusted_ips

6.2.4 在规则中使用 IP 集

# 允许trusted_ips中的所有IP访问所有服务
sudo firewall-cmd --permanent --add-rich-rule='
  rule family="ipv4"
  source ipset="trusted_ips"
  accept
'

# 拒绝blacklist中的所有网段访问SSH服务
sudo firewall-cmd --permanent --add-rich-rule='
  rule family="ipv4"
  source ipset="blacklist"
  service name="ssh"
  reject
'

七、高级功能详解

7.1 端口转发与 NAT

端口转发允许将到达特定端口的流量转发到其他 IP 地址和端口，常用于将内部服务暴露到外部网络。

7.1.1 基本端口转发

# 将本机80端口的流量转发到192.168.1.100的8080端口
sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=192.168.1.100:toport=8080 --permanent
# 解释：
# --add-forward-port：添加端口转发规则
# port=80：源端口
# proto=tcp：协议
# toaddr=192.168.1.100：目标IP地址
# toport=8080：目标端口

7.1.2 启用 IP 伪装（NAT）

要实现从外部网络访问内部服务，需要启用 IP 伪装（网络地址转换）：

# 在external区域启用IP伪装
sudo firewall-cmd --zone=external --add-masquerade --permanent
# 解释：
# --add-masquerade：启用IP伪装，将内部IP地址转换为防火墙的公网IP地址

# 查看是否启用了IP伪装
sudo firewall-cmd --zone=external --query-masquerade

# 禁用IP伪装
sudo firewall-cmd --zone=external --remove-masquerade --permanent

7.1.3 完整的端口转发示例

将外部访问防火墙 80 端口的流量转发到内部 Web 服务器 192.168.1.100 的 80 端口：

# 1. 启用IP伪装
sudo firewall-cmd --zone=external --add-masquerade --permanent

# 2. 添加端口转发规则
sudo firewall-cmd --zone=external --add-forward-port=port=80:proto=tcp:toaddr=192.168.1.100:toport=80 --permanent

# 3. 允许80端口的入站流量
sudo firewall-cmd --zone=external --add-port=80/tcp --permanent

# 4. 重新加载配置
sudo firewall-cmd --reload

7.2 直接规则（Direct Rules）

直接规则允许直接插入 iptables/nftables 规则，用于处理 firewalld 抽象层无法覆盖的复杂场景。

7.2.1 直接规则的层级

直接规则对应 iptables 的层级结构：

表（table）：filter、nat、mangle 等链（chain）：INPUT、OUTPUT、FORWARD 等规则（rule）：具体的匹配条件和动作

7.2.2 直接规则管理命令

# 添加直接规则
sudo firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -p tcp --dport 22 -j ACCEPT
# 解释：
# --direct：使用直接规则模式
# --add-rule：添加规则
# ipv4：IP版本
# filter：表名
# INPUT：链名
# 0：规则优先级（数字越小优先级越高）
# -p tcp --dport 22 -j ACCEPT：iptables规则，允许TCP 22端口的流量

# 查看直接规则
sudo firewall-cmd --direct --get-rules ipv4 filter INPUT

# 移除直接规则（需与添加时完全一致）
sudo firewall-cmd --direct --remove-rule ipv4 filter INPUT 0 -p tcp --dport 22 -j ACCEPT

# 永久添加直接规则
sudo firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 0 -p icmp --icmp-type echo-request -j DROP

7.3 ICMP 类型过滤

ICMP（Internet 控制消息协议）用于网络诊断和错误报告，如 ping 命令使用的就是 ICMP 回显请求。

7.3.1 查看可用的 ICMP 类型

# 查看IPv4的ICMP类型
sudo firewall-cmd --get-icmptypes

# 查看特定ICMP类型的信息
sudo firewall-cmd --info-icmptype=echo-request

7.3.2 配置 ICMP 过滤

# 阻止ICMP回显请求（即禁止ping）
sudo firewall-cmd --zone=public --add-icmp-block=echo-request --permanent

# 允许ICMP目的不可达消息
sudo firewall-cmd --zone=public --add-icmp-type=destination-unreachable --permanent

# 查看区域中的ICMP配置
sudo firewall-cmd --zone=public --list-icmp-blocks
sudo firewall-cmd --zone=public --list-icmp-types

# 移除ICMP阻止规则
sudo firewall-cmd --zone=public --remove-icmp-block=echo-request --permanent

7.4 连接跟踪

firewalld 可以跟踪网络连接的状态，基于连接状态应用不同的规则。

7.4.1 连接状态类型

NEW：新的连接请求ESTABLISHED：已建立的连接RELATED：与已建立连接相关的新连接（如 FTP 数据连接）INVALID：无效的连接

7.4.2 基于连接状态的规则

# 允许已建立的和相关的连接
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  connection-state=ESTABLISHED,RELATED
  accept
' --permanent

# 仅允许新连接访问SSH服务
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  service name="ssh"
  connection-state=NEW
  accept
' --permanent

八、日志与监控

8.1 配置日志记录

# 全局设置日志拒绝的连接
sudo firewall-cmd --set-log-denied=all --permanent
# 解释：
# --set-log-denied：设置拒绝连接的日志记录
# 可选值：off（关闭）、all（所有）、unicast（单播）、broadcast（广播）、multicast（组播）

# 在富规则中配置日志
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  port port="22" protocol="tcp"
  log prefix="SSH_ATTEMPT: " level="warning" limit value="5/m"
  accept
' --permanent

8.2 查看防火墙日志

# 实时查看firewalld日志
sudo journalctl -f -u firewalld
# 解释：
# journalctl：系统日志查看工具
# -f：实时跟踪新日志
# -u firewalld：仅显示firewalld服务的日志

# 查看内核防火墙日志
sudo journalctl -k | grep -i firewall

# 查看特定时间范围内的日志
sudo journalctl --since "2023-07-01 00:00:00" --until "2023-07-01 23:59:59" -u firewalld

8.3 监控规则命中情况

# 查看iptables规则及命中计数
sudo iptables -nvL
# 解释：
# -n：不解析IP地址和端口为名称
# -v：详细输出，包括数据包计数和字节计数
# -L：列出所有规则

# 查看特定链的规则
sudo iptables -nvL INPUT

# 对于使用nf_tables后端的系统
sudo nft list ruleset

九、故障排除与诊断

9.1 常见问题与解决方法

9.1.1 规则不生效

# 检查规则是否已添加到运行时配置
sudo firewall-cmd --list-all

# 检查永久配置
sudo firewall-cmd --list-all --permanent

# 确保已重新加载配置
sudo firewall-cmd --reload

# 检查是否有冲突的规则
sudo iptables -nvL | grep -i reject

9.1.2 服务无法访问

# 检查目标端口是否开放
sudo firewall-cmd --zone=public --list-ports

# 检查服务是否允许
sudo firewall-cmd --zone=public --list-services

# 检查是否有IP集或富规则阻止了访问
sudo firewall-cmd --list-rich-rules
sudo firewall-cmd --get-ipsets

# 检查网络连接
telnet 目标IP 端口号

9.2 高级诊断命令

# 查看firewalld的详细状态和配置
sudo firewall-cmd --debug=10 --list-all

# 检查D-Bus通信
sudo busctl introspect org.fedoraproject.FirewallD1 /org/fedoraproject/FirewallD1

# 查看连接跟踪状态
sudo conntrack -L
# 解释：conntrack工具用于查看和管理连接跟踪表

# 检查网络接口与区域的绑定
sudo nmcli device status

十、性能优化

10.1 规则优化策略

规则顺序优化

频繁命中的规则应放在前面范围小的规则（如单个 IP）应放在范围大的规则（如网段）前面

规则合并

将多个连续端口规则合并为一个范围规则

# 优化前
sudo firewall-cmd --add-port=8080/tcp --add-port=8081/tcp --add-port=8082/tcp

# 优化后
sudo firewall-cmd --add-port=8080-8082/tcp

使用 IP 集替代多个源地址规则

# 优化前
sudo firewall-cmd --add-rich-rule='rule source address="192.168.1.100" accept'
sudo firewall-cmd --add-rich-rule='rule source address="192.168.1.101" accept'

# 优化后
sudo firewall-cmd --new-ipset=trusted --type=hash:ip --permanent
sudo firewall-cmd --ipset=trusted --add-entry=192.168.1.100 --permanent
sudo firewall-cmd --ipset=trusted --add-entry=192.168.1.101 --permanent
sudo firewall-cmd --add-rich-rule='rule source ipset="trusted" accept' --permanent

10.2 连接跟踪优化

# 调整连接跟踪表大小
sudo sysctl -w net.netfilter.nf_conntrack_max=1048576

# 调整TCP连接超时时间
sudo sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=86400

# 保存sysctl配置
sudo sysctl -p

10.3 防火墙后端选择

firewalld 支持两种后端：


nf_tables：新一代 Linux 防火墙子系统，性能更好
iptables：传统防火墙子系统

# 查看当前后端
sudo firewall-cmd --get-backend

# 切换到nf_tables后端
sudo firewall-cmd --set-backend=nf_tables --permanent

# 重启服务使更改生效
sudo systemctl restart firewalld

十一、企业级配置案例

11.1 Web 服务器防火墙配置

场景：公开的 Web 服务器，需要开放 HTTP (80) 和 HTTPS (443)，仅允许特定 IP 管理服务器。

# 1. 设置默认区域为public
sudo firewall-cmd --set-default-zone=public --permanent

# 2. 允许HTTP和HTTPS服务
sudo firewall-cmd --add-service=http --permanent
sudo firewall-cmd --add-service=https --permanent

# 3. 创建IP集存储管理IP
sudo firewall-cmd --new-ipset=admin_ips --type=hash:ip --permanent
sudo firewall-cmd --ipset=admin_ips --add-entry=192.168.1.100 --permanent
sudo firewall-cmd --ipset=admin_ips --add-entry=10.0.0.50 --permanent

# 4. 允许管理IP访问SSH
sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  source ipset="admin_ips"
  service name="ssh"
  accept
' --permanent

# 5. 记录所有被拒绝的连接
sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  log prefix="FIREWALL_DENY: " level="warning" limit value="10/m"
  drop
' --permanent

# 6. 重新加载配置
sudo firewall-cmd --reload

11.2 数据库服务器防火墙配置

场景：内部数据库服务器，仅允许应用服务器访问数据库端口，限制连接速率防止攻击。

# 1. 设置默认区域为internal
sudo firewall-cmd --set-default-zone=internal --permanent

# 2. 创建应用服务器IP集
sudo firewall-cmd --new-ipset=app_servers --type=hash:net --permanent
sudo firewall-cmd --ipset=app_servers --add-entry=192.168.2.0/24 --permanent

# 3. 允许应用服务器访问MySQL(3306)
sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  source ipset="app_servers"
  port port="3306" protocol="tcp"
  limit value="100/m"
  accept
' --permanent

# 4. 允许管理员IP访问SSH和数据库
sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  source address="192.168.1.100/32"
  service name="ssh"
  accept
' --permanent

sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  source address="192.168.1.100/32"
  port port="3306" protocol="tcp"
  accept
' --permanent

# 5. 拒绝所有其他入站连接
sudo firewall-cmd --zone=internal --set-target=DROP --permanent

# 6. 重新加载配置
sudo firewall-cmd --reload

11.3 防火墙服务器配置（NAT 网关）

场景：作为内部网络的网关，提供 NAT 和端口转发服务。

# 1. 配置外部区域（连接公网的接口）
sudo firewall-cmd --zone=external --change-interface=eth0 --permanent
sudo firewall-cmd --zone=external --add-masquerade --permanent

# 2. 配置内部区域（连接内网的接口）
sudo firewall-cmd --zone=internal --change-interface=eth1 --permanent

# 3. 端口转发：将外部80端口转发到内部Web服务器
sudo firewall-cmd --zone=external --add-forward-port=port=80:proto=tcp:toaddr=192.168.1.10:toport=80 --permanent
sudo firewall-cmd --zone=external --add-port=80/tcp --permanent

# 4. 端口转发：将外部443端口转发到内部HTTPS服务器
sudo firewall-cmd --zone=external --add-forward-port=port=443:proto=tcp:toaddr=192.168.1.10:toport=443 --permanent
sudo firewall-cmd --zone=external --add-port=443/tcp --permanent

# 5. 允许内部网络访问外部
sudo firewall-cmd --zone=internal --set-target=ACCEPT --permanent

# 6. 启用IPv4转发
sudo sed -i 's/^IPv4Forwarding=no/IPv4Forwarding=yes/' /etc/firewalld/firewalld.conf

# 7. 重新加载配置
sudo firewall-cmd --reload
sudo systemctl restart firewalld

十二、备份与恢复

12.1 配置备份

# 方法1：将运行时配置保存为永久配置
sudo firewall-cmd --runtime-to-permanent

# 方法2：备份配置文件
sudo cp -r /etc/firewalld/ /backup/firewalld-$(date +%Y%m%d)

# 方法3：导出配置
sudo firewall-cmd --list-all-zones > /backup/firewalld-zones-$(date +%Y%m%d).txt

12.2 配置恢复

# 方法1：从备份文件恢复
sudo rm -rf /etc/firewalld/
sudo cp -r /backup/firewalld-20230701 /etc/firewalld/
sudo systemctl restart firewalld

# 方法2：重置为默认配置
sudo firewall-cmd --complete-reload
# 警告：此命令将清除所有自定义配置，恢复为默认状态

十三、最佳实践与安全建议

遵循最小权限原则

默认拒绝所有入站连接仅开放必要的端口和服务限制源地址范围

采用白名单策略

优先使用允许特定源的规则谨慎使用 “允许所有” 的规则

定期审计与更新

# 定期导出配置进行审计
sudo firewall-cmd --list-all-zones > firewalld-audit-$(date +%Y%m%d).txt

# 比较配置变化
diff firewalld-audit-20230601.txt firewalld-audit-20230701.txt

结合其他安全措施

防火墙只是安全策略的一部分配合 SELinux、入侵检测系统等使用定期更新系统和防火墙规则

测试规则有效性

新规则应用后进行测试模拟攻击场景验证防护效果检查日志确保规则按预期工作

十四、附录：常用命令速查表

通过本指南，你已经掌握了 firewalld 的全部核心功能和高级用法。从基础的区域配置到复杂的企业级防火墙策略，firewalld 提供了灵活而强大的工具集来保护你的网络安全。记住，安全是一个持续的过程，定期更新和审计你的防火墙配置是保持网络安全的关键。

#############################################################################################

Rocky Linux firewalld 完全指南（增强版）：企业级生产环境适配

针对原教程在企业级场景中的不足，本增强版补充了动态规则管理、高可用配置、容器集成、性能测试及合规性方案，形成覆盖全场景的实战指南。

新增章节：十五、动态规则管理与大规模配置优化

15.1 运行时与永久配置的深层差异

firewalld 的配置分为
运行时（runtime）和
永久（permanent）两层，在大规模规则场景下（如千级以上规则），两者的交互机制可能引发性能问题：

大规模规则优化策略：

避免频繁使用
--runtime-to-permanent（千级规则下可能耗时 > 10s）优先通过
/etc/firewalld/目录直接修改 XML 配置，再执行
--reload（减少 D-Bus 通信开销）启用
nf_tables后端（较 iptables 后端规则加载速度提升 300%+）

15.2 nftables 后端的直接操作实践

当规则量超过 500 条时，直接使用
nft命令操作内核表可显著提升性能（绕过 firewalld 的抽象层）。

15.2.1 firewalld 与 nftables 的协作模式

firewalld 的
nf_tables后端会在内核中创建专用链（如
firewalld-filter），可通过
nft直接操作但需避免冲突：

# 查看firewalld创建的nft表
sudo nft list tables inet firewalld

# 示例：直接添加一条高性能规则（比firewall-cmd快10倍+）
sudo nft add rule inet firewalld filter_INPUT tcp dport 8080 counter accept

15.2.2 大规模规则的批量加载

通过 nft 脚本批量导入规则（适合千级以上规则）：

# 创建nft规则脚本（/tmp/batch_rules.nft）
cat <<EOF > /tmp/batch_rules.nft
table inet firewalld {
  chain filter_INPUT {
    tcp dport 8000-9000 counter accept
    udp dport 53 counter accept
  }
}
EOF

# 批量加载（毫秒级生效）
sudo nft -f /tmp/batch_rules.nft

15.2.3 动态规则的原子性更新

使用
nft的事务机制确保大规模更新的原子性（避免部分规则生效导致的安全漏洞）：

# 启动事务
sudo nft -e '
  add rule inet firewalld filter_INPUT tcp dport 2222 counter accept;
  delete rule inet firewalld filter_INPUT tcp dport 22 counter accept;
'
# 解释：-e确保两条规则要么同时生效，要么都不生效

新增章节：十六、高可用集群与规则同步方案

16.1 Keepalived 与 firewalld 的联动配置

在主从集群中，防火墙规则需与 VIP（虚拟 IP）同步，避免故障转移时出现规则不一致。

16.1.1 集群规则同步原理

主节点修改规则后，通过
vrrp_script触发从节点同步利用
firewalld-cmd --runtime-to-permanent固化配置，再通过文件同步工具分发

16.1.2 配置示例（Keepalived + firewalld）

主节点 Keepalived 配置（
/etc/keepalived/keepalived.conf）：

vrrp_instance VI_1 {
  state MASTER
  interface eth0
  virtual_router_id 51
  priority 100
  advert_int 1
  
  # 同步防火墙规则的脚本
  vrrp_script sync_firewall {
    script "/usr/local/bin/sync_firewall.sh"
    interval 5
    weight 2
  }
  
  track_script {
    sync_firewall
  }
  
  virtual_ipaddress {
    192.168.1.100/24 dev eth0
  }
}

规则同步脚本（
/usr/local/bin/sync_firewall.sh）：

#!/bin/bash
# 主节点：保存运行时配置并同步到从节点
firewall-cmd --runtime-to-permanent
rsync -avz /etc/firewalld/ root@192.168.1.2:/etc/firewalld/
ssh root@192.168.1.2 "firewall-cmd --reload"

16.2 Ansible 自动化规则同步方案

通过 Ansible 实现多节点规则一致性，支持千级节点集群：

Ansible Playbook（
firewall_sync.yml）：

- hosts: firewall_nodes
  become: yes
  tasks:
    - name: 确保firewalld配置文件一致
      copy:
        src: /etc/firewalld/
        dest: /etc/firewalld/
        directory_mode: yes
        force: yes

    - name: 重新加载防火墙配置
      command: firewall-cmd --reload

执行同步：

ansible-playbook -i inventory.ini firewall_sync.yml -f 50  # 50并发节点

新增章节：十七、容器网络与 firewalld 隔离方案

17.1 容器网络命名空间与 firewalld 集成

Podman/Docker 的容器网络基于 Linux 命名空间，需通过
firewalld为容器创建独立安全域。

17.1.1 为容器创建专用区域

# 创建容器专用区域
sudo firewall-cmd --new-zone=container --permanent
sudo firewall-cmd --zone=container --set-target=DROP --permanent  # 默认拒绝

# 允许容器访问外部DNS和HTTP
sudo firewall-cmd --zone=container --add-service=dns --permanent
sudo firewall-cmd --zone=container --add-service=http --permanent

17.1.2 绑定容器接口到专用区域

# 查找容器接口（假设容器ID为abc123）
CONTAINER_IFACE=$(podman inspect abc123 --format '{{.NetworkSettings.InterfaceName}}')

# 绑定接口到容器区域
sudo firewall-cmd --zone=container --add-interface=$CONTAINER_IFACE --permanent

# 允许宿主机与容器通信（双向）
sudo firewall-cmd --zone=container --add-rich-rule='
  rule family="ipv4"
  source address="172.17.0.0/16"  # 容器网段
  accept
' --permanent

17.2 CNI 网络的自动化防火墙配置

通过 CNI 插件钩子（hook）实现容器启动时自动配置防火墙：

CNI 钩子脚本（
/etc/cni/net.d/firewall-hook.sh）：

#!/bin/bash
# 当容器启动时，自动将其接口绑定到container区域
if [ "$CNI_COMMAND" = "ADD" ]; then
  CONTAINER_IFACE=$CNI_IFNAME
  firewall-cmd --zone=container --add-interface=$CONTAINER_IFACE
fi

配置 CNI 使用钩子（
/etc/cni/net.d/87-podman-bridge.conflist）：

{
  "cniVersion": "0.4.0",
  "name": "podman",
  "plugins": [
    {
      "type": "bridge",
      "bridge": "cni0",
      "isGateway": true,
      "ipMasq": true
    },
    {
      "type": "firewall-hook",  # 引用钩子脚本
      "path": "/etc/cni/net.d/firewall-hook.sh"
    }
  ]
}

新增章节：十八、性能基准测试与后端选型

18.1 nftables vs iptables 后端性能对比

在百万级连接场景下，两种后端的性能差异显著（测试环境：Rocky Linux 9.2，Kernel 5.14，8 核 16G）：

测试工具与命令：

# 连接数测试（使用tcpcopy模拟并发）
tcpcopy -x 80-192.168.1.100:80 -s 10.0.0.1 -c 192.168.1.0/24 --count 1000000

# 吞吐量测试
iperf3 -c 192.168.1.100 -P 10 -t 60  # 10并行流，持续60秒

18.2 高并发场景的优化参数

针对百万级连接，需调整内核与 firewalld 参数：

# 调整连接跟踪表大小（默认65536）
sudo sysctl -w net.netfilter.nf_conntrack_max=2097152
sudo sysctl -w net.netfilter.nf_conntrack_buckets=524288

# 优化nftables哈希表大小
sudo nft set inet firewalld my_set { type ipv4_addr; size 1048576; flags dynamic; }

# 调整firewalld连接跟踪超时
sudo firewall-cmd --permanent --set-timeout=established=86400  # 持久连接超时24小时

新增章节：十九、合规性配置模板（PCI-DSS/HIPAA）

19.1 PCI-DSS 支付卡行业合规配置

PCI-DSS 要求防火墙实现严格的端口限制、日志审计和访问控制：

# 1. 仅开放必要端口（80/443/3306）
sudo firewall-cmd --add-service={http,https} --permanent
sudo firewall-cmd --add-port=3306/tcp --permanent

# 2. 限制数据库访问仅允许应用服务器（白名单）
sudo firewall-cmd --new-ipset=app_servers --type=hash:net --permanent
sudo firewall-cmd --ipset=app_servers --add-entry=10.0.1.0/24 --permanent
sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  source ipset="app_servers"
  port port="3306" protocol="tcp"
  accept
' --permanent

# 3. 启用详细日志（满足审计要求）
sudo firewall-cmd --set-log-denied=all --permanent
sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  log prefix="PCI-LOG: " level="info" limit value="1/m"
  port port="3306" protocol="tcp"
  accept
' --permanent

19.2 HIPAA 医疗行业合规配置

HIPAA 要求对电子病历（ePHI）的访问进行严格控制，防火墙需实现：

# 1. 拒绝所有外部直接访问ePHI服务器
sudo firewall-cmd --zone=internal --set-target=DROP --permanent

# 2. 仅允许授权终端通过VPN访问（假设VPN网段10.10.0.0/24）
sudo firewall-cmd --zone=internal --add-rich-rule='
  rule family="ipv4"
  source address="10.10.0.0/24"
  service name="ssh"
  accept
' --permanent

# 3. 日志保留6个月（配合rsyslog归档）
sudo firewall-cmd --add-rich-rule='
  rule family="ipv4"
  log prefix="HIPAA-LOG: " level="warning"
  reject
' --permanent

新增：配置验证矩阵与版本适配

配置验证矩阵（关键功能验证）

版本适配表

新增：firewalld 三层架构图（mermaid）

网络接口默认区域

规则匹配用户/服务请求区域层（Zones）全局层（Global）规则层（Rules）默认区域/日志设置/IP集富规则（源地址/端口/日志）直接规则（nftables/iptables）端口转发/NAT允许/拒绝/标记动作内核Netfilter框架

总结：企业级场景优先级实践

通过本增强版指南，可实现从基础配置到企业级生产环境的全场景覆盖，兼顾安全性、性能与合规性。