CentOS 7防火墙实战：三台服务器间，如何用firewalld实现Web服务的IP白名单访问？
CentOS 7防火墙深度实战：基于firewalld构建精细化Web服务访问控制
在企业级服务器管理中，防火墙配置是保障服务安全的第一道防线。本文将深入探讨如何在CentOS 7环境下，利用firewalld实现Web服务的精细化访问控制，特别针对多服务器内网环境下的IP白名单管理。
1. 环境准备与基础概念
在开始配置之前，我们需要明确几个关键概念。firewalld作为CentOS 7默认的防火墙管理工具，相比传统的iptables提供了更高级的抽象和动态管理能力。它引入了"zone"的概念，每个zone可以包含不同的规则集，适用于不同的网络环境。
我们的实验环境包含三台服务器：
- Web服务器：192.168.100.101，运行Nginx服务，监听80端口
- 授权客户端：192.168.100.102，需要访问Web服务
- 非授权客户端：192.168.100.100，不应访问Web服务
首先，我们需要确认firewalld服务已启用并运行：
systemctl status firewalld如果服务未运行，使用以下命令启动并设置开机自启：
systemctl start firewalld systemctl enable firewalld2. 常见错误配置与问题诊断
许多管理员在配置firewalld时会犯一个典型错误：直接在现有开放端口的基础上添加IP限制规则。这种做法实际上不会生效，因为firewalld的规则优先级决定了，一旦端口被全局开放，后续的IP限制规则将被忽略。
让我们通过实验验证这一点：
- 首先在Web服务器上全局开放80端口：
firewall-cmd --zone=public --add-port=80/tcp --permanent firewall-cmd --reload- 然后尝试添加IP白名单规则：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.100.102" port protocol="tcp" port="80" accept' firewall-cmd --reload- 测试访问：
# 在192.168.100.100上测试 curl 192.168.100.101你会发现192.168.100.100仍然可以访问Web服务，这显然不符合我们的安全需求。
3. 正确的配置流程与关键操作
要实现真正的IP白名单控制，必须遵循"先移除、再重建"的原则。以下是详细步骤：
3.1 移除现有全局端口规则
首先，我们需要移除之前全局开放的80端口规则：
firewall-cmd --permanent --zone=public --remove-port=80/tcp firewall-cmd --reload这个步骤至关重要，却常被忽略。移除后，所有对80端口的访问都将被默认拒绝。
3.2 添加精细化的rich规则
现在，我们可以安全地添加IP白名单规则：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.100.102" port protocol="tcp" port="80" accept' firewall-cmd --reload这条规则明确指定只有192.168.100.102可以访问80端口。其他所有IP的访问请求都将被拒绝。
3.3 验证配置效果
使用以下命令验证规则是否生效：
firewall-cmd --list-all你应该看到类似这样的输出：
public (active) target: default icmp-block-inversion: no interfaces: eth0 sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: rule family="ipv4" source address="192.168.100.102" port port="80" protocol="tcp" accept现在，分别在192.168.100.100和192.168.100.102上测试访问：
# 在192.168.100.100上 curl 192.168.100.101 # 应该被拒绝 # 在192.168.100.102上 curl 192.168.100.101 # 应该能够正常访问4. 高级配置与扩展应用
firewalld的rich规则提供了丰富的匹配条件，可以实现更复杂的访问控制策略。
4.1 IP段级别的访问控制
我们可以基于IP段而非单个IP进行控制：
# 允许整个192.168.100.0/24网段访问80端口 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.100.0/24" port protocol="tcp" port="80" accept' # 拒绝特定IP访问80端口 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.100.200" port protocol="tcp" port="80" reject'注意：规则的顺序很重要。如果有冲突的规则，后添加的规则会覆盖前面的规则。
4.2 服务级别的访问控制
除了基于端口，我们还可以基于服务名称进行控制：
# 首先确认服务定义 firewall-cmd --get-services | grep http # 然后添加基于服务的规则 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.100.102" service name="http" accept'4.3 临时规则与永久规则
firewalld区分临时规则和永久规则：
| 规则类型 | 添加方式 | 特点 | 适用场景 |
|---|---|---|---|
| 临时规则 | 不加--permanent | 立即生效，重启后失效 | 临时测试 |
| 永久规则 | 加--permanent | 需要reload才生效，重启后保留 | 生产环境 |
# 添加临时规则 firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.100.103" port protocol="tcp" port="80" accept' # 将临时规则转为永久规则 firewall-cmd --runtime-to-permanent5. 实战经验与排错技巧
在实际运维中，防火墙配置可能会遇到各种问题。以下是一些常见问题及解决方法：
5.1 规则不生效的排查步骤
确认firewalld服务正在运行：
systemctl status firewalld检查当前生效的规则：
firewall-cmd --list-all查看是否有冲突的规则：
firewall-cmd --list-all --zone=public检查系统日志获取更多信息：
journalctl -xe
5.2 规则管理的最佳实践
版本控制：定期备份防火墙规则：
firewall-cmd --list-all > firewall_rules_backup_$(date +%Y%m%d).txt变更管理：每次修改规则前创建还原点：
firewall-cmd --runtime-to-permanent cp /etc/firewalld/zones/public.xml{,.bak}测试验证：添加新规则后，立即从不同客户端测试访问效果。
5.3 性能优化建议
当规则数量较多时，可以考虑以下优化措施：
使用IP集(ipset)管理大量IP地址：
firewall-cmd --permanent --new-ipset=whitelist --type=hash:ip firewall-cmd --permanent --ipset=whitelist --add-entry=192.168.100.102 firewall-cmd --permanent --add-rich-rule='rule source ipset="whitelist" port port="80" protocol="tcp" accept'合理使用zone划分不同安全级别的网络接口。
定期清理不再使用的规则，保持规则集简洁。