保障数据的安全性是继保障数据的可用性之后最为重要的一项工作。防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。
1.防火墙管理工具
相较于企业内网，外部的公网环境更加恶劣，罪恶丛生。在公网与企业内网之间充当保护屏障的防火墙虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样一来，就可以保证仅有合法的流量在企业内网和外部公网之间流动了。
iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。换句话说，当前在Linux系统中其实存在多个防火墙管理工具，旨在方便运维人员管理Linux系统中的防火墙策略，我们只需要配置妥当其中的一个就足够了。
2.iptables
在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的firewalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。
2.1 策略与规划链
防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。
iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：
- 在进行路由选择前处理数据包（PREROUTING）；
- 处理流入的数据包（INPUT）；
- 处理流出的数据包（OUTPUT）；
- 处理转发的数据包（FORWARD）；
- 在进行路由选择后处理数据包（POSTROUTING）。
一般来说，从内网向外网发送的流量一般都是可控且良性的，因此我们使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网入侵内网的难度。
iptables 服务的术语有：ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。DROP 是直接将流量丢弃而且不响应；REJECT则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。
2.2 iptables 中基本的命令参数
iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。iptables 中常用参数及作用：
在iptables后加-L查看已有防火墙规则链：
加-F参数清空已有防火墙规则链：
把INPUT规则链的默认策略设置为拒绝：
防火墙策略有两种：通 和 堵。把INPUT链设置为默认拒绝后，就要写入允许策略了，另外，规则链的默认拒绝动作只能是DROP，不能是REJECT。
向INPUT链中添加允许 ICMP 流量进入的策略规则：
在日常运维工作中，经常会使用ping命令来检查对方主机是否在线，而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为。
通过ifconfig命令查看本机ip
删除INPUT链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许：
将INPUT链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有的主机流量：
防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。另外，这里提到的22号端口是ssh服务使用的。
设置完后，使用 IP 地址 在 192.168.122.0/24 网段内的主机访问服务器的22端口：
然后使用IP地址在 上述网段外的主机访问服务器的22端口，就不会显示拒绝了。
向INPUT链中添加拒绝所有人访问本机的12345端口策略：
向INPUT链中添加拒绝 192.168.122.5 主机访问本机 80 端口（Web服务）的策略规则：（需后续添加）
向INPUT链中添加拒绝所有主机访问本机 1000~1024 端口的策略规则：（需后续添加）
使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：service iptables save
3.firewalld
RHEL 7系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。
相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标就可以自动切换了，从而极大地提升了防火墙策略的应用效率。
firewalld中常见的区域名称（默认为public）以及相应的策略规则如下表：
3.1 终端管理工具
firewalld-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的，RHEL 7系统支持部分命令的参数补齐，其中就包含这条命令。也就是说，现在除了能用Tab键自动补齐命令或文件名等内容之外，还可以用Tab键来补齐下表中所示的长格式参数了。
firewalld-cmd命令中使用的参数及作用：
与Linux系统中其他的防火墙策略配置工具一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式设置的策略只有在系统重启之后才能生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。
查看 firewalld 服务当前所使用的区域：
首先ifconfig命令查询网卡名称（这里是ens32），然后开启网卡（使用命令 ifup ens32），查询 ens32 网卡在 firewalld 服务中的区域：
网卡未开启的话结果为 no zone。
把 firewalld 服务中 ens32 网卡的默认区域修改为 external，并在系统重启后生效。分别查看当前与永久模式下的区域名称（结果与本人所学教程不符.........先放这里吧。）：
把firewalld服务的当前默认区域设置为 public：
启动/关闭 firewalld防火墙服务的应急状况模式，阻断一切网络连接：
查询 public 区域是否允许请求 SSH 和 HTTPS 协议的流量：
把 firewalld 服务中请求 HTTPS 协议的流量设置为 永久允许，并立即生效：
把 firewalld 服务中请求 HTTP 协议的流量设置为永久拒绝，并立即生效：
把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：
把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效：
流量转发命令格式为firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
（需后续添加）
3.2 图形管理工具
firewall-config（命令）：firewalld防火墙配置管理工具的GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作。功能如下：
- 选择运行时（Runtime）模式或永久（Permanent）模式的配置。
- 可选的策略集合区域列表。
- 常用的系统服务列表。
- 当前正在使用的区域。
- 管理当前被选中区域中的服务。
- 管理当前被选中区域中的端口。
- 开启或关闭SNAT（源地址转换协议）技术。
- 设置端口转发策略。
- 控制请求icmp服务的流量。
- 管理防火墙的富规则。
- 管理网卡设备。
- 被选中区域的服务，若勾选了相应服务前面的复选框，则表示允许与之相关的流量。
- firewall-config工具的运行状态。
4.服务的访问控制列表
TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。换句话说，Linux系统中其实有两个层面的防火墙，第一种是前面讲到的基于TCP/IP协议的流量过滤工具，而TCP Wrappers服务则是能允许或禁止Linux系统提供服务的防火墙，从而在更高层面保护了Linux系统的安全运行。
TCP Wrappers服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量，也可以编辑拒绝控制列表文件来阻止对服务的请求流量。控制列表文件修改后会立即生效，系统将会先检查允许控制列表文件（/etc/hosts.allow），如果匹配到相应的允许策略则放行流量；如果没有匹配，则去进一步匹配拒绝控制列表文件（/etc/hosts.deny），若找到匹配项则拒绝该流量。如果这两个文件全都没有匹配到，则默认放行流量。
原文地址：https://www.cnblogs.com/achangblog/p/8438551.html