在CentOS系统中限制端口流量是保障服务器安全与优化网络资源的重要手段，通过合理的配置，可以有效防止恶意访问、控制带宽使用，并确保关键服务的稳定性,以下将介绍几种常用的方法及其具体操作步骤。
使用iptables限制端口流量
iptables是Linux系统中最常用的防火墙工具，通过它可以实现精细化的端口流量控制，首先需要安装iptables服务，若系统中未安装，可通过yum install iptables-services命令进行安装，安装完成后，启动服务并设置开机自启：systemctl start iptables和systemctl enable iptables。
限制特定端口的访问频率是常见需求，例如限制单个IP对80端口的每分钟连接数不超过10次，可以使用以下命令：
iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j DROP
该命令会丢弃超过限制的连接请求，还可以通过limit模块限制流量速率，例如限制每秒的请求数：
iptables -A INPUT -p tcp --dport 80 -m limit --limit 100/minute --limit-burst 200 -j ACCEPT
使用tc工具进行流量整形
若需要对端口流量进行更精细的带宽控制，可借助Linux的流量控制工具tc，tc是内核层面的流量控制器，支持多种队列规则和调度算法，以下示例限制 eth0 网卡上 80 端口的下行带宽为 1Mbps：
- 添加根规则：
tc qdisc add dev eth0 root handle 1: htb default 10 - 创建类并设置带宽限制：
tc class add dev eth0 parent 1: classid 1:1 htb rate 1mbit - 过滤80端口流量到该类：
tc filter add dev eth0 protocol ip parent 1:0 prio 0 u32 match ip dport 80 0xffff flowid 1:1
使用firewalld管理端口流量
CentOS 7及以上系统默认使用firewalld作为防火墙管理工具，firewalld支持区域（Zone）和服务（Service）的概念，便于动态配置，限制SSH服务的访问IP范围：
- 将当前区域设置为public：
firewall-cmd --set-default-zone=public - 仅允许特定IP访问SSH端口：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100/32" service name="ssh" accept' - 重新加载防火墙配置：
firewall-cmd --reload
监控与日志记录
配置流量限制后，需定期监控规则效果，可通过iptables -L -n -v查看实时统计信息，或使用journalctl -u iptables查看日志，对于firewalld，可执行firewall-cmd --list-all查看当前规则及流量统计。
相关问答FAQs
Q1: 如何查看iptables中已设置的端口限制规则？
A1: 使用以下命令可列出所有规则及其详细信息：
iptables -L -n -v
-n表示以数字形式显示IP和端口，-v显示详细统计，包括数据包数量和字节数。
Q2: 如何删除iptables中已设置的流量限制规则？
A2: 首先通过iptables -L --line-numbers -n查看规则的行号，然后使用iptables -D INPUT 行号删除对应规则，删除第5条规则：
iptables -D INPUT 5