主机防火墙策略配置<\/strong><\/p>

基本概念与重要性<\/strong>
主机防火墙是安装在单个操作系统内部的一套规则集，用于监控、过滤和控制进出该主机的所有网络流量。它与网络边界防火墙互补，提供纵深防御的最后一层。其核心作用是根据预先定义的规则，允许或拒绝特定的数据包，从而限制不必要的网络访问，缩小攻击面，保护主机免受网络扫描、未授权访问、蠕虫传播等威胁。<\/p> <\/li>

防火墙工作模式与策略默认原则<\/strong>
主机防火墙通常工作在网络层<\/strong>和传输层<\/strong>。关键的策略起点是设置默认规则。一般采用“默认拒绝”原则：<\/p>

默认拒绝入站<\/strong>：所有从外部发往本机的连接请求默认都被拒绝，只有明确允许的服务端口才会放行。<\/li>
默认允许出站<\/strong>：所有从本机发往外部的连接请求默认都被允许，但高安全环境可能对此进行限制。
这个原则确保了只有白名单内的服务对外可见，极大增强了主机的隐蔽性和安全性。<\/li> <\/ul> <\/li>

主要规则配置要素<\/strong>
配置一条防火墙规则，需要明确以下几个核心要素：<\/p>

规则链<\/strong>：决定规则的作用位置。常用链包括INPUT<\/code>（处理进入主机的数据包）、OUTPUT<\/code>（处理主机发出的数据包）、FORWARD<\/code>（处理经主机转发的数据包）。<\/li>
源\/目标地址<\/strong>：可以基于IP地址或网段进行过滤（如：-s 192.168.1.0\/24<\/code>）。<\/li>
协议与端口<\/strong>：指定规则适用的网络协议（TCP、UDP、ICMP等）和具体的端口号（如--dport 22<\/code>表示目标端口22）。<\/li>
匹配动作<\/strong>：对符合规则的数据包执行的操作，主要是ACCEPT<\/code>（允许通过）、DROP<\/code>（丢弃且不通知发送方）、REJECT<\/code>（拒绝并发送拒绝响应）。<\/li> <\/ul> <\/li>
常用配置实践示例（以iptables为例）<\/strong> 以下是一组加固性的基础规则配置思路：<\/p> 设置默认策略<\/strong>：iptables -P INPUT DROP<\/code>， iptables -P FORWARD DROP<\/code>， iptables -P OUTPUT ACCEPT<\/code>。<\/li> 允许本地回环通信<\/strong>：iptables -A INPUT -i lo -j ACCEPT<\/code>， iptables -A OUTPUT -o lo -j ACCEPT<\/code>。<\/li> 允许已建立的及相关连接<\/strong>：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT<\/code>。这是确保由本机主动发起的通信能够收到回复的关键规则。<\/li> 按需开放入站服务<\/strong>：例如，允许外部访问SSH服务（22端口）：iptables -A INPUT -p tcp --dport 22 -j ACCEPT<\/code>。开放Web服务（80、443端口）同理。<\/li> 限制ICMP协议<\/strong>：根据需求，可以完全拒绝或限制特定类型的ICMP包，如iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1\/s -j ACCEPT<\/code>，以限制Ping的速率，防止洪水攻击。<\/li> <\/ul> <\/li> 高级加固与最佳实践<\/strong><\/p> 基于状态的防火墙<\/strong>：优先使用状态检测（-m state<\/code>或-m conntrack<\/code>），它比单纯检查单个数据包更智能、更安全。<\/li> 日志记录<\/strong>：对可疑或拒绝的流量进行日志记录，便于审计和故障排查，如iptables -A INPUT -p tcp --dport 23 -j LOG --log-prefix "Telnet Attempt: "<\/code>。<\/li> 防止常见攻击<\/strong>：如配置规则防止SYN洪水攻击、限制新建连接速率等。<\/li> 规则持久化<\/strong>：通过iptables-save<\/code>将内存中的规则保存到配置文件，并在系统启动时自动加载（如使用iptables-persistent<\/code>包或写入\/etc\/rc.local<\/code>），防止重启后规则丢失。<\/li> 使用更现代化的前端<\/strong>：对于复杂环境，考虑使用firewalld<\/code>（动态管理，支持区域概念）或ufw<\/code>（简化命令行接口）等工具，它们底层仍可能调用iptables\/nftables<\/code>，但提供了更易于管理的抽象层。<\/li> <\/ul> <\/li> 策略验证与审计<\/strong> 配置完成后，必须进行验证：<\/p> 使用iptables -L -n -v<\/code>或nft list ruleset<\/code>等命令查看当前生效的完整规则列表，并检查规则顺序（规则按顺序匹配）。<\/li> 使用nmap<\/code>或telnet<\/code>等工具从其他主机扫描或尝试访问，测试规则是否按预期工作。<\/li> 定期审查防火墙规则集，确保其与当前业务需求保持一致，及时清理过时规则。将防火墙策略文档化，纳入变更管理流程。<\/li> <\/ul> <\/li> <\/ol>