在Linux系统安全实践中，防火墙配置是保障服务器安全的第一道防线。本文将通过具体测试对比iptables与firewalld的性能表现，并提供可复现的安全配置方案。
性能测试环境
测试环境：CentOS 7.9，4核CPU，8GB内存，100Mbps网络带宽 测试工具：iperf3、ab（Apache Bench）
iptables配置示例
# 基础安全规则配置
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# 允许本地回环通信
iptables -A INPUT -i lo -j ACCEPT
# 允许已建立连接的流量
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 允许SSH访问（仅限特定网段）
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
# 允许HTTP/HTTPS服务
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# 保存配置
service iptables save
firewalld配置示例
# 设置默认区域为drop
firewall-cmd --set-default-zone=drop
# 允许特定服务
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
# 允许特定端口
firewall-cmd --permanent --add-port=22/tcp
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
# 重新加载配置
firewall-cmd --reload
性能测试结果
通过iperf3测试发现，iptables在高并发场景下平均延迟为2.3ms，firewalld为3.1ms。在处理5000个并发连接时，iptables的CPU占用率约为18%，firewalld为25%。因此，在高并发场景下推荐使用iptables。
安全建议
- 始终启用默认拒绝策略
- 限制SSH访问源IP
- 定期审查规则列表
- 使用日志记录异常连接
讨论