5154

在管理和维护 CentOS 服务器的过程中，网络配置是至关重要的一环，其中防火墙端口的开放是保障服务正常对外提供的基础操作，无论是部署 Web 应用、数据库服务，还是进行远程管理，都需要精确地控制防火墙规则，允许特定流量通过，本文将详细介绍在 CentOS 系统中，特别是针对不同版本，如何高效、安全地开放多个端口，涵盖现代的 firewalld 和传统的 iptables 两种主流防火墙管理工具，并提供最佳实践与常见问题解答。

使用 firewalld 开放端口（CentOS 7 及以上版本）

从 CentOS 7 开始，firewalld 成为了默认的防火墙管理工具，它引入了“区域”和“服务”的概念，使得防火墙管理更加动态和灵活。firewalld 支持运行时更改，无需重启防火墙服务即可生效，大大提升了管理效率。

1 理解 firewalld 的核心概念

在操作之前,简单理解几个核心概念有助于更好地配置：

• 区域：firewalld 将网络连接划分为不同的信任级别，每个级别对应一个区域，如 public（公共区域，不信任）、trusted（信任区域）、dmz（隔离区）等，默认情况下，网络接口会被分配到 public 区域。
• 服务：预定义的端口和协议集合，http 服务对应 80 端口，https 对应 443 端口，使用服务名比直接使用端口号更易于管理。
• 端口：直接指定需要开放的端口号和协议（TCP/UDP）。

2 基本操作流程

所有对 firewalld 的修改都应遵循“修改-重载-验证”的流程，以确保配置持久化并立即生效。

1. 检查 firewalld 状态：

   systemctl status firewalld

   如果未运行,使用 systemctl start firewalld 启动，并使用 systemctl enable firewalld 设置为开机自启。

2. 查看当前区域和开放的端口：

   firewall-cmd --get-active-zones
   firewall-cmd --zone=public --list-ports

3 开放多个端口的多种方法

firewalld 提供了多种方式来开放多个端口，可以根据实际场景选择最合适的一种。

逐个添加端口

这是最直接的方法,适用于端口数量不多且不连续的情况，使用 --add-port 选项，并配合 --permanent 参数使规则永久生效。

# 开放 80 端口 (HTTP)
firewall-cmd --zone=public --add-port=80/tcp --permanent
# 开放 443 端口 (HTTPS)
firewall-cmd --zone=public --add-port=443/tcp --permanent
# 开放 3306 端口 (MySQL)
firewall-cmd --zone=public --add-port=3306/tcp --permanent

使用端口范围

如果需要开放一段连续的端口,使用端口范围是最高效的方式。

# 开放从 8000 到 8100 的所有 TCP 端口
firewall-cmd --zone=public --add-port=8000-8100/tcp --permanent

使用富规则

富规则是 firewalld 中功能最强大的特性，允许创建更复杂的防火墙规则，例如为特定 IP 地址开放多个端口。

# 允许来自 IP 192.168.1.100 的主机访问本机的 22 (SSH) 和 80 (HTTP) 端口
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="80" accept'

富规则也可以一次性指定多个端口：

# 允许来自 192.168.1.0/24 网段的所有主机访问本机的 80 和 443 端口
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" port="443" accept'

4 重载配置并验证

完成端口添加后,必须重载 firewalld 配置使 --permanent 规则生效。

firewall-cmd --reload

验证端口是否已成功开放：

firewall-cmd --zone=public --list-ports
# 如果使用了富规则，可以用以下命令查看
firewall-cmd --zone=public --list-rich-rules

使用 iptables 开放端口（CentOS 6 及更早版本）

对于仍在使用 CentOS 6 或更早版本的服务器，iptables 是标准的防火墙工具。iptables 的规则是静态的，修改后需要保存才能在重启后依然有效。

1 基本操作流程

1. 检查 iptables 状态：

   service iptables status

2. 查看当前规则：

   iptables -L -n -v

2 开放多个端口的方法

iptables 中开放多个端口主要依赖于 multiport 模块，它允许在一条规则中指定多个不连续的端口。

方法：使用 multiport 模块

这是在 iptables 中开放多个不连续端口的推荐方法，简洁高效。

# 开放 TCP 协议的 80, 443, 3306 端口
iptables -I INPUT -p tcp -m multiport --dports 80,443,3306 -j ACCEPT
# 开放 UDP 协议的 53, 161 端口
iptables -I INPUT -p udp -m multiport --dports 53,161 -j ACCEPT

• -I INPUT：将规则插入到 INPUT 链的顶部（优先匹配）。
• -p tcp：指定协议为 TCP。
• -m multiport：加载 multiport 模块。
• --dports：指定目标端口列表，用逗号分隔。
• -j ACCEPT：匹配规则的动作是“接受”。

3 保存配置

与 firewalld 不同，iptables 的规则在内存中，重启后会丢失，必须手动保存。

service iptables save

这会将当前规则写入 /etc/sysconfig/iptables 文件中，确保系统重启后自动加载。

最佳实践与注意事项

1. 最小权限原则：只开放业务所必需的端口，避免开放过多端口增加安全风险。
2. 优先使用服务名：在 firewalld 中，如果端口对应一个标准服务（如 http, https, mysql），优先使用 --add-service=<服务名> 的方式，这比 --add-port 更具可读性和可维护性。
3. 注意云平台安全组：如果您的 CentOS 服务器部署在阿里云、腾讯云、AWS 等公有云平台上，除了操作系统内部的防火墙，还需要在云平台控制台配置“安全组”规则，允许相应的流量进入，两者需要同时配置。
4. SELinux 的影响：在某些情况下，即使防火墙端口已开放，服务可能仍然无法访问，这可能是 SELinux（Security-Enhanced Linux）的限制，可以使用 getsebool -a | grep <服务名> 查看相关策略，并使用 setsebool -P <策略名>=on 来调整。

firewalld 与 iptables 对比简表

相关问答 (FAQs)

我已经按照文章中的命令开放了端口，但是从外部仍然无法访问，可能是什么原因？

解答： 这是一个常见的排查问题，可能的原因有以下几点：

1. 防火墙未重载：使用 firewalld 时，如果添加规则时使用了 --permanent，必须执行 firewall-cmd --reload 才能使规则生效。
2. 服务未监听：确认您要开放端口对应的服务程序已经启动，并且正在监听正确的 IP 地址和端口，可以使用 ss -tulnp 或 netstat -tulnp 命令来检查。
3. 云平台安全组：如上文最佳实践所述，检查您的云服务商控制台，确保安全组入站规则已允许这些端口的流量。
4. SELinux 限制：检查 SELinux 状态（getenforce），如果是 Enforcing，它可能会阻止服务，可以临时设置为 Permissive 模式（setenforce 0）测试是否为 SELinux 导致，如果是，则需要调整相应的 SELinux 布尔值。
5. 网络链路问题：排查服务器与客户端之间的网络设备，如物理防火墙、路由器等，是否存在访问控制策略。

firewalld 和 iptables 我应该用哪个？它们可以同时使用吗？

解答：

• 选择哪个：这取决于您的 CentOS 版本，对于 CentOS 7 及以上版本，强烈推荐使用系统默认的 firewalld，因为它更现代、更易于管理，并且与 systemd 服务管理器集成得更好，对于 CentOS 6，您只能使用 iptables。
• 能否同时使用：绝对不能。firewalld 和 iptables 是两种不同的防火墙管理工具，它们底层都操作内核的 netfilter 框架，但使用不同的规则集和机制，同时启用两者会导致规则冲突，行为不可预测，最终可能导致防火墙完全失效或出现严重的安全问题，在系统中，应该确保只有一个防火墙服务是激活状态，在 CentOS 7 中，如果您想改用 iptables，需要先停止并禁用 firewalld，然后安装并启用 iptables-services，但对于绝大多数用户来说，坚持使用系统默认的工具是最佳选择。