Linux系统防火墙与安全配置指南

Linux系统安装后必须立即配置防火墙及安全策略以保障系统安全。首先，选择firewalld或iptables配置防火墙，firewalld适合现代系统，使用区域管理更直观；iptables适用于老旧系统，提供精细控制。接着，强化SSH服务：更改默认端口、禁用root登录、使用密钥认证、限制可登录用户，并重启服务生效。随后，合理管理用户权限：遵循最小权限原则，设置强密码策略，删除无用账户，精细化sudo权限。定期更新系统与内核，使用apt或yum升级软件包。启用SELinux或AppArmor加强访问控制。最后，定期审计系统安全：查看日志文件、部署fail2ban防御暴力破解、使用auditd、lynis、chkrootkit等工具进行安全检测，检查网络状态，执行漏洞扫描与渗透测试，并制定备份策略以应对突发情况。

在Linux系统安装完成之后，配置防火墙和恰当的安全策略是保障系统不受未经授权访问和潜在攻击的关键一步。这就像给你的新房子装上门锁，再规划好监控和防盗系统一样，是系统安全的第一道也是最重要的一道防线。很多人可能觉得，系统刚装好，没什么重要数据，安全问题可以放放。但经验告诉我，正是这种“放一放”的心态，让很多系统在不知不觉中暴露在风险之下。

解决方案

系统安装完毕，首先要做的就是建立起一套基础的安全防护体系。这包括但不限于：启用并配置防火墙，强化SSH服务安全，合理管理用户和权限，以及保持系统更新。这些措施并非孤立存在，它们相互配合，共同构筑起一道坚实的防线。

Linux系统防火墙如何选择与基础配置？

谈到Linux防火墙，绕不开firewalld和iptables。对我来说，如果系统默认是firewalld，我通常会优先使用它，因为它基于区域（zone）的概念，管理起来直观且灵活，特别适合现代Linux发行版。但如果面对的是一些老旧系统或者需要非常精细、底层控制的场景，iptables依然是不可替代的选择，它能提供更强大的规则自定义能力。

firewalld的配置思路：

firewalld的核心是“区域”（zones）。不同的网络接口可以分配到不同的区域，每个区域有其预设的安全级别。例如，public区域通常用于面向外部网络的接口，默认规则比较严格；internal或home区域则可以相对宽松。

启用firewalld：

sudo systemctl enable firewalld
sudo systemctl start firewalld

查看当前默认区域和开放服务：

firewall-cmd --get-default-zone
firewall-cmd --list-all --zone=public

开放常用服务端口，比如SSH（默认22），HTTP（80），HTTPS（443）：

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

如果你需要开放一个非标准端口，例如自定义的Web服务端口8080：

sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --reload

如果想临时测试规则，可以不加--permanent，规则会在firewalld重启后失效。

iptables的配置思路：

iptables的规则是链式（chains）的，主要有INPUT、OUTPUT、FORWARD三条链。我们需要在这些链上添加规则，决定数据包的命运（ACCEPT、DROP、REJECT）。iptables的挑战在于，规则是按顺序匹配的，且默认不持久化，需要额外的工具（如iptables-persistent或保存到文件）来保存。

一个简单的iptables规则示例： 清除现有规则：

sudo iptables -F
sudo iptables -X

设置默认策略为拒绝所有传入流量：

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

允许已建立的连接：

sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

允许SSH连接（假设SSH端口是22）：

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

允许本地回环接口：

sudo iptables -A INPUT -i lo -j ACCEPT

保存iptables规则（以Debian/Ubuntu为例，需要安装iptables-persistent）：

sudo apt install iptables-persistent
sudo netfilter-persistent save

无论选择哪种防火墙，核心都是“最小权限原则”——只开放必要的端口和服务。这能大幅减少被攻击面。

除了防火墙，Linux系统还有哪些关键安全策略？

防火墙是外部防御，但内部安全同样重要。我常常强调，很多安全问题并非来自外部的猛烈攻击，而是内部配置不当或权限滥用。

SSH服务强化： SSH是远程管理Linux服务器的命脉，其安全性至关重要。

• 更改默认端口： 将SSH端口从默认的22更改为其他非标准端口（如22222），这虽然不能阻止有针对性的攻击，但能有效减少自动化扫描和暴力破解的尝试。 修改/etc/ssh/sshd_config文件中的Port 22为Port 22222。
• 禁用root用户登录： 禁用root直接登录，强制使用普通用户登录后再通过sudo提权，可以有效防止root密码被暴力破解。 在/etc/ssh/sshd_config中设置PermitRootLogin no。
• 使用密钥认证： 这是我强烈推荐的认证方式，比密码更安全。禁用密码认证，只允许密钥登录。 在/etc/ssh/sshd_config中设置PasswordAuthentication no。
• 限制可登录用户： 如果服务器只允许特定用户登录，可以使用AllowUsers或AllowGroups指令。 例如：AllowUsers youruser anotheruser。 修改sshd_config后，记得重启SSH服务：sudo systemctl restart sshd。

用户与权限管理：

• 最小权限原则： 为每个用户分配其完成工作所需的最小权限。避免所有用户都拥有root权限。
• 强密码策略： 强制用户使用复杂密码，并定期更换。可以使用chage命令设置密码过期策略。 例如：sudo chage -M 90 username (设置密码90天过期)。
• 删除不必要的账户： 及时清理不再使用的用户账户。
• sudo权限精细化： 使用visudo命令编辑/etc/sudoers文件，精确控制哪些用户或组可以执行哪些命令，而不是简单地赋予所有root权限。

系统更新与打补丁： 这听起来老生常谈，但却是最被忽视也最关键的一环。许多已知的漏洞都有对应的补丁，及时更新系统可以修补这些漏洞，避免成为攻击者的目标。

• Debian/Ubuntu: sudo apt update && sudo apt upgrade -y
• CentOS/RHEL: sudo yum update -y 或 sudo dnf update -y 定期更新内核也是非常重要的，因为很多安全漏洞都可能存在于内核层面。

SELinux/AppArmor： 这些是Linux内核提供的强制访问控制（MAC）安全模块。它们在传统的自主访问控制（DAC）之上，增加了更细粒度的权限控制，即使是root用户也可能受到限制。

• SELinux（Red Hat系列）和AppArmor（Debian/Ubuntu系列）默认启用，它们可以防止应用程序在受损时滥用权限。
• 了解它们的模式（Enforcing, Permissive, Disabled）以及如何查看日志（如audit.log）对排查问题很有帮助。通常，保持Enforcing模式是最佳实践。

如何定期检查和审计Linux系统的安全状况？

系统安全是一个持续的过程，而非一次性配置。定期检查和审计是发现潜在问题、评估安全状况的必要手段。

日志监控与分析：

• 系统日志： 养成查看/var/log/auth.log（认证日志）、/var/log/secure（安全日志，Red Hat系）、journalctl -u sshd等日志的习惯，关注异常登录尝试、权限提升、服务启动/停止等信息。
• fail2ban： 这是一个非常有用的工具，可以自动监控日志文件，发现暴力破解等恶意行为后，自动将攻击者的IP地址添加到防火墙黑名单中。安装配置简单，效果显著。

系统审计工具：

• auditd： Linux审计系统，可以记录几乎所有系统调用和文件访问事件。通过配置规则，可以监控关键文件的修改、用户行为等。 例如，监控/etc/passwd文件的任何修改： sudo auditctl -w /etc/passwd -p wa -k passwd_changes
• lynis： 这是一个开源的审计工具，可以扫描系统以查找潜在的安全漏洞、配置错误和恶意软件。它会生成详细的报告和改进建议。
• chkrootkit或rkhunter： 用于检测系统是否被安装了rootkit或恶意软件。虽然不能保证100%发现，但作为一道防线还是很有价值的。

网络状态检查：

• netstat或ss： 定期检查系统监听的端口和服务，确认没有未经授权的应用程序在运行或监听不必要的端口。 sudo netstat -tulnp 或 sudo ss -tulnp
• nmap： 从外部（另一台机器）对服务器进行端口扫描，验证防火墙规则是否按预期工作，确保只有预期的端口对外开放。

定期漏洞扫描与渗透测试： 对于生产环境，可以考虑使用专业的漏洞扫描工具（如OpenVAS、Nessus）或委托第三方进行渗透测试。这能从攻击者的视角发现系统弱点。

备份策略： 最后，但同样重要的是，建立完善的数据备份和恢复策略。即使安全防护再完善，也无法保证系统100%不被攻破。当最坏的情况发生时，可靠的备份是快速恢复服务的最后一道防线。

总而言之，Linux系统的安全配置是一个动态且需要持续关注的过程。它不仅仅是技术问题，更是一种安全意识和习惯的养成。从安装的那一刻起，就应该把安全融入到系统的每一个配置细节中。