Linux防火墙规则如何编写_标准流程剖析适用于全部场景【技巧】

Linux防火墙规则编写需遵循“默认拒绝→放行必要→验证效果→持久保存”四步逻辑，核心是理清流量方向、协议端口及状态匹配，并依工具（firewalld/nftables/iptables）正确配置与保存。

Linux防火墙规则编写没有万能模板，但有一套通用逻辑：先明确需求，再选择工具，接着按“默认拒绝→放行必要→验证效果→持久保存”四步走。关键不是记命令，而是理清流量方向、协议端口、状态匹配这些底层要素。

明确你要控制的流量类型

防火墙本质是控制进出主机的数据包。必须先搞清：谁访问谁、用什么协议、走哪个端口、是否需要状态跟踪。比如对外提供Web服务，核心就是放行外部到本机TCP 80/443；如果是数据库只允许内网访问，则限定源IP段+目标端口3306。

• 入站（INPUT）：外部连你，如用户访问网站、SSH登录
• 出站（OUTPUT）：你连外部，如curl请求API、系统更新
• 转发（FORWARD）：仅当本机作网关或容器宿主时需配置

选对工具再写规则——iptables、nftables、firewalld不是随便换

CentOS 7/8、RHEL 8+默认用firewalld，底层可能是nftables；Debian/Ubuntu传统用iptables，新版也逐步切nftables。别硬套旧教程命令：

• firewalld适合策略级管理：用firewall-cmd --permanent --add-port=22/tcp这类语句，自动处理底层规则
• nftables是iptables继任者，语法更简洁：用nft add rule ip filter input tcp dport 22 accept
• iptables仍可用，但新系统建议学nftables，避免未来兼容问题

四步写出安全又可用的规则

跳过“先清空所有规则”这种危险操作。真实环境应增量修改：

标签： linux centos 防火墙 端口 ubuntu 工具 curl