1. 安裝與啟動(dòng)防火墻

CentOS7 默認(rèn)已安裝 firewalld，如果出現(xiàn)意外卸載，可以使用以下命令重新安裝：

yum install firewalld

安裝完成后，使用以下命令啟動(dòng)并設(shè)置開機(jī)自啟：

systemctl start firewalld
systemctl enable firewalld

2. 基本防火墻管理

firewalld 提供了命令行工具 firewall-cmd 來(lái)管理防火墻規(guī)則。常用命令如下：

firewall-cmd --state                     # 查看防火墻狀態(tài)
firewall-cmd --get-active-zones          # 查看當(dāng)前活躍的防火墻區(qū)域
firewall-cmd --get-zones                 # 查看所有可用的防火墻區(qū)域
firewall-cmd --add-port=80/tcp --permanent     # 永久開放80端口
firewall-cmd --reload                    # 重新加載防火墻規(guī)則

3. 自定義防火墻規(guī)則

除了使用 firewall-cmd 命令行工具，您還可以編輯防火墻配置文件來(lái)自定義防火墻規(guī)則。配置文件位于 /etc/firewalld/ 目錄下，主要包括以下幾個(gè)文件：

firewalld.conf： 防火墻全局配置文件

zones/： 防火墻區(qū)域配置文件目錄

services/： 預(yù)定義服務(wù)配置文件目錄

您可以根據(jù)需求修改這些配置文件，添加或刪除規(guī)則，并使用 firewall-cmd --reload 命令重新加載生效。

4. 自定義服務(wù)與端口

除了使用預(yù)定義的服務(wù)，您也可以自定義服務(wù)和端口規(guī)則。在 /etc/firewalld/services/ 目錄下創(chuàng)建自定義服務(wù)配置文件，例如 myservice.xml：

<service>
  <short>MyService</short>
  <description>My Custom Service</description>
  <port protocol="tcp" port="8080"/>
</service>

然后使用 firewall-cmd 命令開啟自定義服務(wù)：

firewall-cmd --permanent --add-service=myservice
firewall-cmd --reload

5. 防火墻日志

firewalld 會(huì)將防火墻日志記錄在 /var/log/firewalld 目錄下。您可以查看日志文件來(lái)排查防火墻相關(guān)的問題。常用命令如下：

journalctl -u firewalld # 查看防火墻服務(wù)日志
tail -n 20 /var/log/firewalld/firewalld.log # 查看最近20條防火墻日志

6. 安全最佳實(shí)踐

為了確保系統(tǒng)安全，建議采取以下最佳實(shí)踐：

6.1. 僅開放必要的端口和服務(wù)

6.2. 定期檢查防火墻日志，及時(shí)發(fā)現(xiàn)和處理異常

6.3. 及時(shí)更新系統(tǒng)和軟件，修復(fù)安全漏洞

6.4. 啟用 SELinux 等安全增強(qiáng)機(jī)制

6.5. 考慮使用 fail2ban 等入侵檢測(cè)和預(yù)防工具

總結(jié)

CentOS7 下的防火墻配置非常靈活和強(qiáng)大。通過(guò)本文的介紹，您可以了解如何安裝和啟動(dòng)防火墻，管理基本的防火墻規(guī)則，自定義服務(wù)和端口，以及如何監(jiān)控防火墻日志。遵循安全最佳實(shí)踐，合理配置防火墻，可以有效保護(hù)您的 CentOS 系統(tǒng)免受網(wǎng)絡(luò)攻擊。