Linux防火墙实战：firewalld与ufw命令行配置与排错指南

1. 项目概述：为什么我们需要命令行防火墙？

在Linux世界里，防火墙不是一道可有可无的墙，而是你服务器或工作站的“门卫”。想象一下，你的系统是一个繁忙的办公室，各种网络数据包就像来来往往的访客。没有门卫，任何人都能随意进出，这显然不安全。而防火墙，就是这个负责检查“访客”证件、决定谁可以进入、谁必须离开的智能门卫。

我见过太多因为防火墙配置不当引发的“血案”：刚部署的Web服务死活访问不了，排查半天发现是端口没开；远程连接突然中断，原来是误操作把SSH端口给禁了；更有甚者，为了图省事直接关闭防火墙，结果系统被当成了“肉鸡”。这些问题的根源，往往是对命令行防火墙操作不熟悉。

命令行操作防火墙，听起来有点“极客”，但它却是Linux系统管理的核心技能。无论是云服务器、本地虚拟机，还是家里的树莓派，只要你跑的是Linux，就绕不开它。图形化工具固然直观，但在服务器环境、远程SSH会话或者自动化脚本中，命令行才是唯一可靠且高效的选择。它能让你精准地控制每一股数据流，实现从“允许所有”到“仅允许必要”的安全策略转变。

市面上主流的Linux发行版，防火墙方案主要有两派：一派是以Red Hat系（CentOS, RHEL, Fedora, AlmaLinux等）为代表的firewalld，另一派是以Debian系（Ubuntu, Debian）为代表的ufw。当然，还有经典的iptables作为底层基石。这篇文章，我就带你彻底搞懂如何在命令行下，像老手一样玩转这些防火墙工具，从查看状态、放行服务到复杂规则排错，一步步拆解，让你不仅能配置，更能理解背后的逻辑。

2. 核心工具解析：firewalld、ufw与iptables的关系

在动手之前，我们必须理清这几个工具之间的关系，否则很容易陷入“用A工具的命令去操作B工具”的混乱。你可以把它们想象成汽车的不同操控界面：iptables是原始的机械传动杆，功能强大但操作复杂；firewalld和ufw则是现代的自动变速箱和方向盘，让驾驶（管理防火墙）变得更简单。

2.1 iptables：强大但原始的底层引擎

iptables是Linux内核中Netfilter框架的用户空间命令行工具。它直接操作内核中的规则表，功能极其强大和灵活，可以构建非常复杂的网络过滤与NAT规则。它的规则结构像一条条链（Chain），数据包在这些链上被逐一检查。

然而，它的复杂性也是出了名的。一条简单的放行Web端口的命令可能长这样：iptables -A INPUT -p tcp --dport 80 -j ACCEPT。这还只是冰山一角，涉及到规则顺序、表（filter, nat, mangle）的选择时，新手很容易犯错。更重要的是，iptables规则默认是临时的，重启后就会丢失，需要额外保存（iptables-save）和恢复（iptables-restore）操作。

注意：虽然现在很多发行版默认用firewalld或ufw，但它们最终都会将规则翻译成iptables命令交给内核执行。理解iptables的基本概念，对于深度排错和理解防火墙行为至关重要。

2.2 firewalld：面向服务的动态防火墙管理器

firewalld是Red Hat系列发行版的“亲儿子”，它为了解决iptables的痛点而生。它的核心设计思想是“区域（Zone）”和“服务（Service）”。

• 区域（Zone）：这是一个非常棒的设计。你可以为不同的网络环境（如家里、咖啡馆、公司）预定义不同的信任级别。比如，你有一张网卡连接公司内网（internal区域，高信任），另一张连接公网（public区域，低信任）。firewalld可以根据网络连接自动切换区域，应用不同的规则。
• 服务（Service）：firewalld预定义了许多常见的服务（如ssh,http,https）。放行一个服务，实际上就是放行了该服务所需的所有端口和协议。这比记忆端口号安全得多，因为服务定义包含了完整的端口-协议映射。

firewalld的规则是动态的，修改后无需重启服务即可生效（通过--reload）。所有配置通过firewall-cmd命令完成，并且默认就是持久化的。

2.3 ufw：简单易用的防火墙前端

ufw(Uncomplicated Firewall) 正如其名，旨在简化防火墙配置。它是Debian/Ubuntu世界的默认选择（虽然需要手动安装启用）。它的语法非常直观，接近于自然语言。

例如，允许SSH就是sudo ufw allow ssh， 允许特定端口是sudo ufw allow 8080/tcp。ufw在底层也是生成iptables规则，但它帮你处理了规则的顺序、持久化等繁琐细节。对于大多数桌面用户和简单服务器场景，ufw提供了绝佳的易用性和足够的安全性。

三者关系总结：iptables是底层标准，firewalld和ufw都是基于它构建的高级封装。firewalld胜在动态管理和区域概念，适合复杂的网络环境；ufw胜在极致简单，适合快速上手和基础防护。作为管理员，你应该根据你的发行版和实际需求，主攻其中一个，但了解另一个和底层iptables原理，能让你在遇到问题时游刃有余。

3. 实战操作：从零开始配置你的防火墙

理论说再多，不如动手做一遍。下面我将分别以firewalld和ufw为例，演示一套完整的、安全的防火墙配置流程。请记住一个黄金法则：“先放行，后启用”。尤其是在远程操作服务器时，贸然开启防火墙而没放行SSH端口，你会立刻失去连接，只能通过服务商的控制台VNC去救场。

3.1 使用 firewalld 进行配置（CentOS/RHEL/AlmaLinux/Fedora）

首先，确认你的系统安装了firewalld并查看状态。

# 检查firewalld是否安装 sudo systemctl status firewalld # 如果未安装，则安装 sudo yum install firewalld -y # CentOS 7/AlmaLinux 8 # 或 sudo dnf install firewalld -y # CentOS 8+/Fedora

第一步：在启用前，先放行关键服务（至关重要！）假设我们正在管理一台Web服务器，需要SSH远程管理和提供HTTP/HTTPS服务。

# 1. 将SSH服务永久添加到默认区域（通常是public） sudo firewall-cmd --permanent --add-service=ssh # 2. 将HTTP和HTTPS服务永久添加 sudo firewall-cmd --permanent --add-service=http sudo firewall-cmd --permanent --add-service=https # 3. 如果你有自定义端口，比如一个运行在8080的Node.js应用 sudo firewall-cmd --permanent --add-port=8080/tcp

这里的--permanent参数表示将规则写入永久配置，否则重启服务后规则会丢失。但注意，--permanent的规则不会立即生效，需要重载或重启服务。

第二步：重载防火墙并启用

# 重载防火墙，使永久配置生效 sudo firewall-cmd --reload # 现在可以安全地启动firewalld服务了 sudo systemctl start firewalld # 设置开机自启 sudo systemctl enable firewalld

执行完这些，你的SSH连接不会中断，因为规则已经生效。

第三步：验证和查看规则

# 查看防火墙运行状态 sudo firewall-cmd --state # 查看默认区域的所有规则（非常有用！） sudo firewall-cmd --list-all # 输出示例： # public (active) # target: default # icmp-block-inversion: no # interfaces: eth0 # sources: # services: ssh dhcpv6-client http https # ports: 8080/tcp # protocols: # masquerade: no # forward-ports: # source-ports: # icmp-blocks: # rich rules:

--list-all是你最好的朋友，它清晰地展示了当前区域允许的服务、端口、绑定的网卡等信息。

第四步：更精细的控制（端口范围、IP限制）

# 允许一个端口范围，例如用于FTP被动模式 sudo firewall-cmd --permanent --add-port=50000-51000/tcp # 仅允许特定IP（如192.168.1.100）访问SSH sudo firewall-cmd --permanent --remove-service=ssh # 先移除之前的宽泛规则 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept' # 重载生效 sudo firewall-cmd --reload

rich-rule（富规则）提供了更强大的表达能力，可以实现基于源IP、时间、接口等条件的复杂规则。

3.2 使用 ufw 进行配置（Ubuntu/Debian）

在Ubuntu上，ufw默认是安装但未启用的。同样遵循“先放行，后启用”原则。

第一步：安装与初始放行规则

# 更新包列表并安装ufw（如果未安装） sudo apt update && sudo apt install ufw -y # 在启用前，先放行SSH。这是救命的一步！ sudo ufw allow ssh # 或者直接放行22端口 # sudo ufw allow 22/tcp # 放行HTTP/HTTPS sudo ufw allow http sudo ufw allow https # 放行自定义端口 sudo ufw allow 8080/tcp

第二步：启用ufw

# 启用防火墙，系统会提示可能中断现有连接，输入 y 确认 sudo ufw enable # 设置开机自启（通常enable已包含） sudo systemctl enable ufw

因为我们已经放行了SSH，所以启用过程不会断开当前的连接。

第三步：验证和查看规则

# 查看状态和规则列表（编号显示非常利于管理） sudo ufw status numbered # 输出示例： # Status: active # # To Action From # -- ------ ---- # [ 1] 22/tcp ALLOW IN Anywhere # [ 2] 80/tcp ALLOW IN Anywhere # [ 3] 443/tcp ALLOW IN Anywhere # [ 4] 8080/tcp ALLOW IN Anywhere # [ 5] 22/tcp (v6) ALLOW IN Anywhere (v6) # [ 6] 80/tcp (v6) ALLOW IN Anywhere (v6) # [ 7] 443/tcp (v6) ALLOW IN Anywhere (v6) # [ 8] 8080/tcp (v6) ALLOW IN Anywhere (v6)

status numbered会给每条规则加上编号，这在删除或修改特定规则时非常方便。

第四步：更精细的控制

# 允许特定IP访问所有端口（谨慎使用） sudo ufw allow from 192.168.1.100 # 允许特定IP访问特定端口 sudo ufw allow from 192.168.1.100 to any port 22 # 允许一个网段 sudo ufw allow from 192.168.1.0/24 to any port 3306 # 拒绝某个IP（会覆盖允许规则） sudo ufw deny from 203.0.113.51 # 删除一条规则（通过编号） sudo ufw delete 2 # 删除上面列表中的第二条规则（80/tcp）

3.3 临时关闭与彻底禁用

在排查网络问题时，有时需要临时关闭防火墙来确认是否是防火墙规则导致。

# firewalld 临时关闭 sudo systemctl stop firewalld # firewalld 禁用（开机不启动） sudo systemctl disable firewalld # 注意：stop只是停止服务，disable是禁止开机启动。排查完记得重新启用。 # ufw 禁用（相当于关闭并禁止开机启动） sudo ufw disable # ufw 完全重置所有规则（谨慎！） sudo ufw reset

重要提示：在生产环境中，除非绝对必要，否则不要禁用防火墙。临时关闭测试后，务必立即重新启用。ufw reset会清空所有规则并禁用防火墙，操作前请确保你有其他方式（如控制台）能访问服务器。

4. 高级技巧与深度排错指南

掌握了基本操作，你就能应对90%的场景。但剩下的10%才是区分新手和老手的关键。下面分享一些高级技巧和踩坑经验。

4.1 理解“区域”并灵活运用（firewalld专属）

firewalld的区域概念是其精髓。你可以为不同网卡分配不同区域。

# 查看所有可用区域 sudo firewall-cmd --get-zones # 查看默认区域 sudo firewall-cmd --get-default-zone # 查看指定网卡（如eth1）所属区域 sudo firewall-cmd --get-zone-of-interface=eth1 # 将网卡eth1绑定到internal区域 sudo firewall-cmd --permanent --zone=internal --change-interface=eth1 # 为internal区域单独添加规则（比如允许Samba服务） sudo firewall-cmd --permanent --zone=internal --add-service=samba sudo firewall-cmd --reload

实操心得：我通常会把连接内部管理网络的网卡放到trusted或internal区域（允许几乎所有流量），而把面向公网的网卡放在public区域（仅开放必要端口）。这样既能保证内部管理的便利，又能严格管控外部风险。

4.2 规则优先级与冲突处理

防火墙规则是有顺序的，通常先匹配的规则生效。这有时会导致一些令人困惑的现象。

• 在ufw中：规则是按添加顺序执行的。你可以用sudo ufw status numbered查看顺序。如果你想插入一条更高优先级的规则，需要先删除再添加，或者使用更精确的规则（如指定IP）来覆盖宽泛规则。
• 在firewalld中：直接通过--add-service添加的规则，其顺序由系统管理。但对于rich-rule，你可以使用priority参数设置优先级（数字越小优先级越高）。

  sudo firewall-cmd --permanent --add-rich-rule='rule priority="32767" family="ipv4" source address="192.168.1.0/24" service name="ssh" reject'

• 在iptables层面：这是最根本的。firewalld和ufw的规则最终都转化为iptables规则链。你可以用sudo iptables -L -n -v查看最终的规则链和匹配计数，这对于深度排错至关重要。如果firewalld或ufw的规则没有生效，查看iptables链往往能找到答案（比如是否有其他脚本直接修改了iptables）。

4.3 云服务器环境下的双重防火墙问题

这是新手最容易踩的大坑！在阿里云、腾讯云等云平台上，你的ECS实例实际上受两层防火墙保护：

1. 云平台安全组：这是虚拟网络层面的防火墙，在物理机Hypervisor层面实现。流量首先经过这里。
2. 操作系统防火墙：即我们上面操作的firewalld或ufw。

很多人在服务器上配置了半天端口，外网还是访问不了，根本原因就是忘了在云控制台配置安全组规则。两者是“与”的关系，必须同时放行，流量才能通过。

排查顺序：

1. 第一站：云控制台安全组。登录云服务商控制台，找到你的实例所属的安全组，添加入方向规则，允许相应的端口（如80, 443, 22）和源IP（0.0.0.0/0表示所有IP，但生产环境建议限制）。
2. 第二站：系统内部防火墙。使用本文的firewall-cmd --list-all或ufw status确认端口已放行。
3. 第三站：服务本身。使用ss -tunlp | grep :80或netstat -tunlp | grep :80命令，确认你的Web服务（如Nginx, Apache）是否真的在80端口上监听（LISTEN状态）。

4.4 常见问题与排查命令实录

问题1：执行firewall-cmd或ufw命令提示“command not found”

• 原因：防火墙管理软件未安装。
• 解决：
  • RHEL/CentOS/Fedora:sudo yum install firewalld -y或sudo dnf install firewalld -y
  • Ubuntu/Debian:sudo apt update && sudo apt install ufw -y

问题2：服务端口已放行，但依然无法访问

• 排查步骤：
  1. 确认服务监听地址：sudo ss -tunlp | grep :<端口号>。如果看到127.0.0.1:<端口号>或::1:<端口号>，说明服务只监听在本地回环地址，外部无法访问。需要修改服务配置（如Nginx的listen指令）为0.0.0.0:<端口号>。
  2. 检查是否有其他进程占用端口：sudo lsof -i :<端口号>。
  3. 临时关闭系统防火墙测试：sudo systemctl stop firewalld或sudo ufw disable。如果关闭后能访问，说明防火墙规则有问题，仔细检查规则是否添加正确，是否有冲突的拒绝规则。
  4. 检查云平台安全组：如上所述。
  5. 检查SELinux（仅限RHEL系）：SELinux可能会阻止网络服务绑定端口。临时测试可sudo setenforce 0，如果问题解决，则需要为服务配置正确的SELinux上下文或端口标签。

问题3：如何备份和恢复防火墙规则？

• firewalld：规则默认保存在/etc/firewalld/目录下。可以直接备份整个目录。或者导出所有区域配置：sudo firewall-cmd --runtime-to-permanent（将当前运行时规则转为永久规则）。
• ufw：规则保存在/etc/ufw/下的配置文件中。user.rules和user6.rules是主要的用户规则文件。备份这些文件即可。
• iptables（通用）：这是最底层的备份方式，兼容所有前端工具。

  # 备份 sudo iptables-save > ~/iptables-backup-$(date +%Y%m%d).rules sudo ip6tables-save > ~/ip6tables-backup-$(date +%Y%m%d).rules # 恢复 sudo iptables-restore < ~/iptables-backup-<日期>.rules sudo ip6tables-restore < ~/ip6tables-backup-<日期>.rules # 要使恢复的规则持久化，需保存到系统配置（取决于发行版） # 例如在Ubuntu上使用iptables-persistent sudo netfilter-persistent save

问题4：配置了防火墙，但内部服务间无法通信（如Web服务器连不上数据库）

• 原因：防火墙可能默认阻止了内部网卡（如docker0,veth*）或本地回环（lo）的流量。
• 解决：
  • firewalld：确保相关接口在正确的区域。对于Docker，通常需要将docker0网桥接口放入trusted区域：sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0。
  • 通用：检查规则是否过于严格，误伤了本地流量。可以使用sudo iptables -L -n -v查看数据包计数，看是否在INPUT或FORWARD链有大量被拒绝的内部流量。

命令行操作防火墙，初看是一堆命令的集合，但本质上是一种安全思维的实践。它要求你清晰地知道你的系统需要哪些服务，来自哪里的流量是可信的。从“全部允许”到“最小化授权”，这个转变过程就是系统管理员安全素养的提升。我个人的习惯是，在任何一个新系统上线后，防火墙配置是仅次于用户和密码安全的第一要务。花十分钟理清端口和规则，可能避免未来十个小时的紧急故障排查。最后，别忘了善用--permanent参数和定期备份规则，这些小事能在关键时刻救你于水火。