CentOS 7怎么设置防火墙白名单
在CentOS 7里，默认启用的防火墙工具就是firewalld。要做白名单，得走它自己的原生命令这条路：要么用--add-rich-rule把源IP和端口绑定起来，要么新建自定义zone，加入source后再放行业务所需服务。反过来说，直接手动改iptables文件，或者临时执行iptables命
在CentOS 7里，默认启用的防火墙工具就是firewalld。要做白名单，得走它自己的原生命令这条路：要么用--add-rich-rule把源IP和端口绑定起来，要么新建自定义zone，加入source后再放行业务所需服务。反过来说，直接手动改iptables文件，或者临时执行iptables命令，基本都不靠谱，因为firewalld会动态接管并覆盖这些规则。
firewalld 是 CentOS 7 默认启用的防火墙管理工具，直接用 iptables 命令或编辑 /etc/sysconfig/iptables 文件**大概率失效**——因为 firewalld 会动态接管规则链，手动写的 iptables 规则在 reload 或重启后会被覆盖或清空。
所以，设置白名单必须走 firewalld 的原生路径，否则白名单形同虚设。
firewalld rich rule 白名单：只允特定 IP 访问指定端口
这是最常用、也最安全的白名单方式。核心是用 --add-rich-rule 显式绑定源地址 + 协议 + 端口，避免全局开放端口后再加限制（那种写法无效）。
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" port protocol="tcp" port="8080" accept'- 注意单引号必须完整包裹整个 rule 字符串，双引号在内部嵌套；
address可以是单 IP 或 CIDR 段 - 每条规则只控制一个端口，批量开放需重复执行，不能写成
port="8080,8081" - 添加后必须
firewall-cmd --reload才生效，--permanent保证重启后仍存在
firewalld zone + source 白名单：按 IP 段划分信任区域
适合内网多台机器统一授信场景。把白名单 IP 归入一个自定义 zone（比如 trusted），再给该 zone 开放服务，比逐条写 rich rule 更易维护。
- 先创建 zone：
firewall-cmd --permanent --new-zone=trusted-internal - 加入源地址：
firewall-cmd --permanent --zone=trusted-internal --add-source=172.16.0.0/12 - 在该 zone 中开放服务：
firewall-cmd --permanent --zone=trusted-internal --add-service=http - 确认 zone 已激活：
firewall-cmd --get-active-zones，若没显示，需firewall-cmd --set-default-zone=trusted-internal或对接口绑定（如--zone=trusted-internal --change-interface=eth0） - 不推荐把白名单 IP 加进
publiczone —— 它默认策略宽松，容易误放行
误用 iptables 导致白名单失效的典型现象
很多人改完 /etc/sysconfig/iptables 并 systemctl restart iptables，却发现规则没生效，甚至 SSH 都连不上。根本原因不是语法错，而是冲突：
firewalld和iptables-services不能共存；启动iptables服务前必须systemctl stop firewalld && systemctl mask firewalld- 即使停了
firewalld，Docker 等组件仍可能自动写iptables规则，覆盖你手写的白名单链 - 常见错误命令：
iptables -A INPUT -s 1.2.3.4 -j ACCEPT→ 这条规则插在链尾，但前面已有-j REJECT，永远匹配不到 - 正确做法是插入到拒绝规则之前：
iptables -I INPUT 1 -s 1.2.3.4 -j ACCEPT（-I表示 insert，数字 1 指第一行） - 保存时别只用
service iptables sa ve，应确认写入的是/etc/sysconfig/iptables，且文件权限为 600
验证白名单是否真正生效
别只信 firewall-cmd --list-all 输出里有 rich rule 就算成功。真实验证要分两步：
- 从白名单外 IP 尝试连接目标端口：
telnet 服务器IP 22或nc -zv 服务器IP 8080，应超时或被拒绝（不是 Connection refused，而是 No route to host 或 timeout） - 检查实际生效的底层规则：
iptables -t filter -L INPUT -n --line-numbers，确认你的whitelist链或 rich rule 对应的ipset条目确实存在于INPUT链中，且位置在REJECT之前 - 如果用了 Docker，额外检查
iptables -t filter -L DOCKER-USER -n—— 这里可能被 Docker 插入 bypass 规则，绕过你的白名单
firewalld 原生命令管理，全程避免混用 iptables 命令或直接编辑规则文件。 
遇到Docker容器频繁自动重启？本文提供从查看容器日志、解读退出代码到配置Restart Policy的完整排查与修复方案，确保服务稳定性。
学习如何在Linux中使用命令行添加临时静态路由，并通过修改网络配置文件实现重启后依然有效的永久静态路由设置，涵盖CentOS和Ubuntu的不同配置方法。
摄像头连接电脑后不知如何查看画面？本教程演示如何使用Windows自带的“相机”应用快速调取实时视频流，无需下载额外软件，步骤简单直观，适用于大多数USB及内置摄像头。
针对 Windows 11 电脑在无人操作时自动关机或重启的问题，本文详解如何通过任务计划程序禁用更新重启任务，并调整电源睡眠策略，从根源解决非预期的自动关机现象。
详细讲解在Windows电脑上测试摄像头人脸识别功能的步骤，包括开启Windows Hello、录入面部数据、不同环境下的效果验证及常见问题排查，帮助用户确认设备兼容性与识别准确率。
当 Docker 容器启动后立即退出时，不要盲目重启。本文详解如何通过 docker logs 查看标准输出错误，利用 docker inspect 检查挂载与网络配置，并修正入口点脚本权限问题，提供一套高效的因果排查流程。
详解如何利用Windows 10自带功能将安卓手机画面投射至电脑屏幕，涵盖开启步骤、连接技巧及延迟分析，适合临时演示与多屏协作场景。
详细介绍如何在Windows系统中为移动硬盘解除BitLocker加密，包括解锁驱动器、关闭加密功能及监控解密进度的完整操作流程，帮助用户安全移除数据保护。
本文详解Windows 10笔记本耳机无声音的常见原因与解决方法，涵盖物理接口检查、默认播放设备切换、驱动程序更新及音频增强关闭等操作，并分析蓝牙耳机连接异常的例外场景。
Photoshop 2026 是 Adobe 推出的专业图像处理与视觉设计软件，支持 Windows、macOS 和 iPad 等平台，广泛应用于摄影修图、电商设计、平面海报、数字绘画及视觉合成等创作场景。
Blender 是一款免费开源、跨平台的专业 3D 创作软件，集建模、动画、渲染、视频编辑与视觉合成等功能于一体，广泛应用于影视动画、游戏设计和建筑可视化等领域。软件支持 Cycles 物理渲染器与 Eevee 实时渲染引擎，并提供多边形建模、骨骼绑定、物理模拟等专业工具。Blender 兼容 Windows、macOS 和 Linux 系统，安装包轻巧、运行流畅，依托活跃的全球开发者社区持续更新，是从初学者到专业创作者都值得选择的正版 3D 创作工具。
Photoshop 2026 是 Adobe 推出的专业图像处理与视觉设计软件，支持 Windows、macOS 和 iPad 等平台，广泛应用于摄影修图、电商设计、平面海报、数字绘画及视觉合成等创作场景。
Blender 是一款免费开源、跨平台的专业 3D 创作软件，集建模、动画、渲染、视频编辑与视觉合成等功能于一体，广泛应用于影视动画、游戏设计和建筑可视化等领域。软件支持 Cycles 物理渲染器与 Eevee 实时渲染引擎，并提供多边形建模、骨骼绑定、物理模拟等专业工具。Blender 兼容 Windows、macOS 和 Linux 系统，安装包轻巧、运行流畅，依托活跃的全球开发者社区持续更新，是从初学者到专业创作者都值得选择的正版 3D 创作工具。