如何用Linux防火墙阻止恶意攻击

筑牢防线：如何用Linux防火墙有效抵御恶意攻击

在服务器安全领域，配置一道坚固的防火墙往往是抵御外部恶意流量的第一道，也是至关重要的一道屏障。无论是经典的iptables还是更现代的firewalld，只要策略得当，都能显著提升系统的安全性。下面，我们就来梳理一下配置防火墙的核心步骤与策略。

使用iptables

作为Linux上历史悠久的防火墙工具，iptables以其强大的功能和灵活性著称。掌握其基本配置逻辑，是许多运维人员的必修课。

1. 更新iptables规则：

   工欲善其事，必先利其器。第一步自然是确保你的iptables工具本身是最新版本。在Debian或Ubuntu系统上，一条简单的命令就能搞定：

   • sudo apt update && sudo apt upgrade iptables

2. 设置默认策略：

   安全配置的核心原则之一是“默认拒绝”。这意味着，所有未经明确允许的入站和转发流量都将被丢弃，而出站流量通常可以放行。设置命令如下：

   • sudo iptables -P INPUT DROP
     sudo iptables -P FORWARD DROP
     sudo iptables -P OUTPUT ACCEPT

3. 允许必要的流量：

   “一刀切”的拒绝会阻断所有服务，因此我们需要为合法的业务流量开“绿灯”。

   • 允许SSH连接（以默认端口22为例）： 这是管理服务器的生命线，必须开放。

     sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
     sudo iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

   • 允许HTTP/HTTPS流量： 如果服务器承载Web服务，则需要开放80和443端口。

     sudo iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
     sudo iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT
     sudo iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
     sudo iptables -A OUTPUT -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

4. 限制连接数：

   面对DDoS这类洪水攻击，一个有效的缓解策略是限制单个IP地址的并发连接数，比如将其限制在5个以下：

   • sudo iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 5 -j DROP

5. 保存规则：

   切记，通过命令行配置的iptables规则在重启后会失效。因此，保存规则是收尾的关键一步。在Debian/Ubuntu上，可以借助iptables-persistent工具：

   • sudo apt install iptables-persistent
     sudo netfilter-persistent sa ve
     sudo netfilter-persistent reload

使用firewalld

对于追求配置简化和动态管理能力的用户，firewalld是一个更现代的选择。它通过“区域”和“服务”的概念，让防火墙规则管理变得直观。

1. 安装firewalld：

   如果系统尚未安装，可以通过包管理器轻松获取。例如在Debian/Ubuntu上：

   • sudo apt update && sudo apt install firewalld

2. 启动并启用firewalld：

   安装后，需要启动服务并设置为开机自动运行：

   • sudo systemctl start firewalld
     sudo systemctl enable firewalld

3. 配置默认区域：

   将默认区域设置为drop（与iptables的默认拒绝异曲同工），并确保本地回环接口和地址被信任，这是保证系统内部服务正常通信的基础：

   • sudo firewall-cmd --set-default-zone=drop
     sudo firewall-cmd --permanent --zone=trusted --add-interface=lo
     sudo firewall-cmd --permanent --zone=trusted --add-source=127.0.0.1
     sudo firewall-cmd --reload

4. 允许SSH连接：

   同样，我们需要放行SSH服务。firewalld允许我们直接以服务名称来添加规则：

   sudo firewall-cmd --permanent --zone=trusted --add-service=ssh
   sudo firewall-cmd --reload

5. 允许HTTP/HTTPS流量：

   对于Web服务，操作同样简洁：

   sudo firewall-cmd --permanent --zone=trusted --add-service=http
   sudo firewall-cmd --permanent --zone=trusted --add-service=https
   sudo firewall-cmd --reload

6. 限制连接数：

   需要注意的是，firewalld本身不直接提供连接数限制功能。要实现类似效果，通常需要配合fail2ban这类工具来完成。

其他安全措施

防火墙是安全体系的核心，但绝非全部。要想构建纵深防御，以下几项措施同样不可或缺：

• 使用fail2ban： 这款工具能自动监控日志，一旦发现恶意尝试（如多次密码错误），便会临时封禁对应IP，是防火墙的智能补充。
• 定期更新系统： 老生常谈，但至关重要。及时为操作系统和应用软件打上安全补丁，是堵住已知漏洞最有效的方法。
• 使用强密码和多因素认证： 再坚固的城墙，也怕钥匙被偷。强化账户本身的认证强度，是从源头降低风险。
• 监控和日志记录： 安全是一个持续的过程。定期审查系统日志和安全日志，有助于及早发现异常活动的蛛丝马迹。

总而言之，通过合理配置防火墙，并辅以上述一系列安全最佳实践，你的Linux系统抵御恶意攻击的能力将得到质的提升。安全无小事，从一道精心设置的防火墙开始吧。