燕家猫1. 防火墙管理基础与IP段封禁场景
在Linux服务器运维中，防火墙是保护系统安全的第一道防线。firewall-cmd作为RHEL/CentOS系列默认的防火墙管理工具，相比传统的iptables有着更友好的语法和更完善的区域管理功能。实际运维中常会遇到需要批量封禁恶意IP段的情况，比如：
- 某C段IP持续发起SSH暴力破解
- 特定地区IP频繁扫描Web漏洞
- 竞争对手通过固定IP段发起CC攻击
传统的手动添加单个IP的方式效率低下，而firewall-cmd提供的IP段封禁功能可以一次性解决整个网段的访问控制问题。我在管理电商平台服务器时，曾用这个功能成功阻断了持续三天的DDoS攻击，将服务器负载从90%降到正常水平。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. firewall-cmd核心机制解析
2.1 区域(zone)与规则存储
firewall-cmd通过"区域"概念实现灵活的访问控制。默认情况下有public、trusted、drop等预定义区域，每个网卡可以绑定到不同区域。封禁IP段的规则实际存储在区域的source配置中。
关键特性：
- 运行时(runtime)配置：立即生效但重启后丢失
- 永久(permanent)配置：写入配置文件，需reload生效
- 富规则(rich rule)：支持复杂条件的高级规则语法
2.2 IP段表示方法
支持三种CIDR格式：
- 标准格式：192.168.1.0/24
- 单IP等效格式：203.0.113.5/32
- IPv6格式：2001:db8::/32
经验提示：/24(256个IP)是最常用的封禁粒度，过大的范围可能误封正常用户
3. 完整封禁操作指南
3.1 基础封禁命令
永久封禁整个C段：
bash复制firewall-cmd --permanent --add-source=192.168.1.0/24
firewall-cmd --reload
验证规则是否生效：
bash复制firewall-cmd --list-sources
3.2 指定区域封禁
将IP段加入drop区域实现立即阻断：
bash复制firewall-cmd --permanent --zone=drop --add-source=10.0.0.0/8
firewall-cmd --reload
3.3 富规则高级用法
封禁IP段的同时记录日志：
bash复制firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="172.16.0.0/16" log prefix="BLOCKED_SUBNET" level="notice" drop'
4. 生产环境实用技巧
4.1 自动化封禁方案
结合fail2ban实现自动封禁：
- 安装fail2ban
- 配置/etc/fail2ban/jail.local：
ini复制[sshd]
enabled = true
banaction = firewallcmd-rich-rules
- 设置IP白名单防止误封
4.2 规则持久化验证
检查规则是否真正永久保存：
bash复制cat /etc/firewalld/zones/public.xml
4.3 批量操作技巧
使用for循环封禁多个连续IP段：
bash复制for i in {16..31}; do
firewall-cmd --permanent --add-source=192.168.$i.0/24
done
firewall-cmd --reload
5. 常见问题排查指南
5.1 规则不生效排查步骤
-
确认firewalld服务状态：
bash复制
systemctl status firewalld -
检查运行时与永久配置差异：
bash复制
firewall-cmd --list-all firewall-cmd --list-all --permanent -
验证网络接口绑定区域：
bash复制
firewall-cmd --get-zone-of-interface=eth0
5.2 性能优化建议
当规则超过500条时：
- 改用ipset集合管理
- 合并相邻IP段
- 考虑使用硬件防火墙
5.3 安全注意事项
- 封禁前务必确认IP段归属（通过whois查询）
- 避免封禁云服务商关键IP段（如AWS的DNS服务器）
- 重要操作前备份配置：
bash复制cp -r /etc/firewalld/ /root/firewalld_backup
6. 扩展应用场景
6.1 结合GeoIP数据库
使用geoipupdate工具自动更新国家IP库：
bash复制firewall-cmd --permanent --zone=drop --add-source=country:cn
6.2 动态封禁方案
编写脚本自动处理恶意IP：
bash复制#!/bin/bash
BAD_IPS=$(grep 'Failed password' /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr)
for IP in $BAD_IPS; do
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=$IP reject"
done
firewall-cmd --reload
6.3 可视化监控
配置ELK收集防火墙日志：
- 修改firewalld日志格式
- 配置filebeat收集日志
- Kibana创建封禁IP仪表盘
在实际运维中，合理使用IP段封禁可以显著降低服务器负载。我建议将关键操作写成脚本并加入定时任务，同时配合监控系统实现自动化安全防护。对于大型网络环境，可以考虑使用Ansible批量管理多台服务器的防火墙规则。