Centos7防火墙高级策略：利用rich-rule实现精细化IP访问控制

1. 为什么需要精细化IP访问控制？

想象一下你家的防盗门——普通防火墙就像给大门装了一把锁，所有人都用同一把钥匙进出。而rich-rule则是给每个访客分配专属钥匙，还能规定谁可以进厨房、谁只能待在客厅。在企业服务器环境中，这种精细化控制尤为关键。去年我负责某金融项目时，就遇到过MySQL数据库被扫描攻击的情况，正是用rich-rule将3306端口锁死在运维IP段，才避免了数据泄露风险。

CentOS7的firewalld自带rich-rule功能，它比基础规则强大在三处：

• 条件组合：能同时限定源IP、目标端口、协议类型
• 动作细分：不仅允许/拒绝，还能设置日志记录、速率限制
• 策略优先级：规则按顺序匹配，类似路由表的匹配机制

实际工作中最常见的三种场景：

1. 只允许跳板机SSH访问（比如限制22端口给10.0.0.5）
2. 数据库端口白名单（如3306仅对应用服务器开放）
3. API接口的IP鉴权（特定IP才能访问8080端口）

2. 基础环境准备与常用命令

在开始前，先用这些命令做个健康检查：

# 确认防火墙状态（active表示运行中） systemctl status firewalld # 查看当前默认区域 firewall-cmd --get-default-zone # 列出所有开放端口 firewall-cmd --zone=public --list-ports

如果遇到防火墙未启动，建议用以下方式处理：

# 启动并设置开机自启（生产环境务必开启） systemctl start firewalld systemctl enable firewalld

重要目录说明：

• /etc/firewalld/zones/：存放各zone的XML配置文件
• /usr/lib/firewalld/zones/：系统预置zone模板
• /etc/firewalld/services/：自定义服务定义文件

建议操作前先备份当前配置：

cp /etc/firewalld/zones/public.xml ~/public.xml.bak

3. rich-rule核心操作实战

3.1 允许特定IP访问端口

假设要允许192.168.1.100访问3306端口，这条命令实测有效：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept'

参数拆解：

• family="ipv4"：支持ipv6时改为ipv6
• source address：支持CIDR格式如192.168.1.0/24
• port protocol：可填tcp/udp/sctp等
• accept：动作类型，还可用reject/drop

易错点：

1. 地址不带引号会报错（错误示例：source address=192.168.1.100）
2. 忘记--permanent参数导致重启失效
3. 协议类型写错（比如把tcp写成http）

3.2 拒绝非法IP的暴力破解

针对SSH暴力破解，可以这样封禁IP：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.45" reject'

进阶用法是配合日志记录：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.45" log prefix="ssh_attacker" level="notice" reject'

日志会出现在/var/log/messages，用这个命令监控：

tail -f /var/log/messages | grep ssh_attacker

3.3 规则管理技巧

查看现有rich-rule（注意zone名称要对应）：

firewall-cmd --list-rich-rules --zone=public

删除规则时建议先查询再操作：

# 先确认规则存在 firewall-cmd --list-rich-rules --zone=public | grep "192.168.1.100" # 精确删除（必须与添加时的参数完全一致） firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept'

临时禁用某条规则（不用删除配置）：

# 先转为临时模式 firewall-cmd --runtime-to-permanent # 移除运行时规则 firewall-cmd --remove-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept' # 需要时再添加回来 firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept'

4. 企业级安全策略设计

4.1 多区域组合方案

生产环境推荐使用"默认拒绝+白名单"模式：

# 设置默认zone为drop（谨慎操作！先确保有管理IP在白名单） firewall-cmd --set-default-zone=drop # 创建运维专用zone firewall-cmd --permanent --new-zone=ops_zone firewall-cmd --permanent --zone=ops_zone --add-source=10.0.0.0/24 firewall-cmd --permanent --zone=ops_zone --add-service=ssh

4.2 时间维度控制

通过cronjob实现上班时间才开放访问：

# 创建开放脚本 cat > /usr/local/bin/open_port.sh <<EOF #!/bin/bash firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="3306" accept' EOF # 创建关闭脚本 cat > /usr/local/bin/close_port.sh <<EOF #!/bin/bash firewall-cmd --remove-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="3306" accept' EOF # 设置定时任务 crontab -e # 工作日8:30开放 30 8 * * 1-5 /usr/local/bin/open_port.sh # 工作日18:00关闭 0 18 * * 1-5 /usr/local/bin/close_port.sh

4.3 审计与监控

建议每周检查防火墙日志：

# 生成rich-rule访问报告 grep "rich-rule" /var/log/messages | awk '{print $1,$2,$3,$12}' | sort | uniq -c

关键监控指标：

• 被拒绝的连接数（可配Zabbix监控）
• 规则匹配次数（用firewall-cmd --get-active-rules）
• 策略变更记录（通过auditd审计）

5. 排错与性能优化

常见故障排查：

1. 规则不生效：

   • 检查firewalld服务状态
   • 确认--permanent参数和--reload配合使用
   • 查看完整配置：firewall-cmd --list-all

2. 连接被拒绝：

   • 测试telnet目标端口
   • 检查conntrack记录：conntrack -L
   • 临时关闭防火墙测试：systemctl stop firewalld

3. 规则冲突：

   • 按优先级检查：firewall-cmd --get-active-rules
   • 查看处理顺序：firewall-cmd --get-policies

性能调优建议：

• 将高频匹配的规则放在前面
• IP段规则优先于单个IP（如用192.168.1.0/24代替多个单IP）
• 大量规则时考虑用ipset：

  firewall-cmd --permanent --new-ipset=trusted_ips --type=hash:ip firewall-cmd --permanent --ipset=trusted_ips --add-entry=192.168.1.100 firewall-cmd --permanent --add-rich-rule='rule source ipset="trusted_ips" accept'

最后提醒，每次重大变更前建议：

# 生成当前规则备份 firewall-cmd --runtime-to-permanent cp /etc/firewalld/zones/* ~/firewalld_backup_$(date +%F)