了解防火墙（UFW/firewalld）

请把您的服务器想象成一栋房子。防火墙就像门口的保安，决定谁可以进出。它是服务器安全的重要组成部分。

防火墙通过控制网络流量，阻止未经授权的访问，并保护服务器免受恶意攻击。

防火墙使用一组规则检查传入和传出的网络流量。这些规则基于以下信息：

• 源/目标 IP 地址：流量来自哪里或流向哪里。
• 端口号：服务使用的特定“门”（例如，SSH 使用 22 端口，HTTP 使用 80 端口）。
• 协议：例如 TCP 或 UDP。

对于符合这些规则的流量，防火墙会允许或拒绝其通过。

在 Ubuntu 等基于 Debian 的系统上，最常用的防火墙工具是 UFW，它代表“简单防火墙”。

UFW 的设计理念是易于使用，让初学者能够轻松管理防火墙规则，而不必直接处理复杂的 `iptables` 命令。

默认情况下，UFW 的配置侧重于安全性：

• 拒绝传入连接：除非明确允许，否则会阻止所有传入连接。
• 允许传出连接：您的服务器可以向外部网络发起连接。

这意味着，您需要为希望从互联网访问的服务明确开放端口，例如 Web 服务器或 SSH。

启用 UFW 之前，务必先允许 SSH 访问，否则您可能会把自己锁在服务器之外！允许 SSH 后，您就可以启用 UFW。

请尝试运行以下命令：

如果 /etc/services 中定义了常见服务，UFW 可以按服务名称允许其流量，也可以按端口号进行设置。现在让我们允许 HTTP（Web 流量）和 SSH：

有时您需要开放一个没有标准服务名称的特定端口，例如自定义应用使用的 8080 端口。您还可以指定协议（TCP 或 UDP）。

下面是允许 8080 端口上的 TCP 流量的方法：

在 CentOS 和 Fedora 等基于 Red Hat 的系统上，防火墙管理工具是 firewalld。它是一个动态防火墙守护进程，这意味着您可以更改规则，而无需重启整个防火墙服务。

firewalld 使用“区域”这一概念管理规则，从而提供更灵活的安全管理方式。

firewalld 会将防火墙规则组织到不同的区域中。每个区域都有一组默认规则，并且可以分配给网络接口。

常见区域包括：

• public：用于不受信任的网络（外部接口的默认区域）。
• home/internal：用于受信任的网络。
• trusted：接受所有网络连接。

这样，您就可以根据网络的信任级别应用不同的安全级别。

要使用 firewalld 允许服务，您需要指定服务和区域，并使用 --permanent 标志，使规则在重启后仍然有效。然后，您还需要重新加载 firewalld。

现在让我们在 public 区域中开放 SSH 和 HTTP：

做得很好！您已经了解了防火墙在服务器安全中的重要作用。现在您已经掌握了以下内容：

• 防火墙是什么，以及它为什么必不可少。
• UFW 如何在 Ubuntu/Debian 上工作，包括如何启用它以及允许服务。
• firewalld 如何在 CentOS/RHEL 上工作、区域的概念，以及如何添加服务。

熟练掌握这些工具对于控制网络访问和保护服务器安全至关重要。接下来，我们将深入了解如何管理特定端口及其安全影响！