Debian系统安全配置：使用firewalld配置网络访问策略
在Linux系统安全防护中，网络访问控制是基础且关键的一环。本文将详细介绍如何在Debian系统中使用firewalld配置网络访问策略，以增强系统安全性。
firewalld基础配置
首先确保firewalld服务已安装并启动：
sudo apt update
sudo apt install firewalld
sudo systemctl enable firewalld
sudo systemctl start firewalld
核心安全策略配置
1. 设置默认区域策略
# 查看当前区域
sudo firewall-cmd --get-active-zones
# 设置默认区域为internal
sudo firewall-cmd --set-default-zone=internal
2. 配置服务访问控制
# 允许SSH访问（仅限特定网段）
sudo firewall-cmd --permanent --add-service=ssh --zone=internal
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
# 拒绝HTTP访问（仅允许HTTPS）
sudo firewall-cmd --permanent --remove-service=http
sudo firewall-cmd --permanent --add-service=https
3. 端口访问控制
# 仅允许特定端口访问
sudo firewall-cmd --permanent --add-port=22/tcp --zone=internal
sudo firewall-cmd --permanent --add-port=443/tcp --zone=internal
sudo firewall-cmd --permanent --add-port=53/udp --zone=internal
# 拒绝危险端口
sudo firewall-cmd --permanent --remove-port=135/tcp
sudo firewall-cmd --permanent --remove-port=139/tcp
4. 应用并验证配置
# 重新加载配置
sudo firewall-cmd --reload
# 验证配置
sudo firewall-cmd --list-all
sudo firewall-cmd --list-services --zone=internal
安全最佳实践
- 始终使用
--permanent参数确保配置持久化 - 配置完成后必须重新加载防火墙规则
- 定期审查防火墙规则，移除不必要的端口开放
- 保持与系统管理员的沟通，及时调整安全策略
通过以上配置，可有效限制网络访问范围，降低系统暴露风险。此方案已在多个Debian服务器环境中验证有效，建议在生产环境中部署前先在测试环境进行验证。
讨论