Linux7防火墙临时IP限制与firewalld实战指南

1. Linux7防火墙临时限制IP访问的核心场景

在Linux服务器运维中，防火墙是保护系统安全的第一道防线。CentOS/RHEL 7系统默认使用firewalld作为动态防火墙管理工具，相比传统的iptables，它提供了更灵活的临时规则管理能力。实际工作中常遇到这些典型场景：

• 服务器突然出现异常流量，需要立即阻断特定IP的访问
• 安全扫描发现某个IP正在进行暴力破解尝试
• 临时开放测试环境给指定IP，测试结束后需快速撤销权限
• 迁移业务时需要对特定IP进行访问隔离

关键区别：临时规则（--timeout参数）会在指定时间后自动失效，适合短时操作；永久规则（不加timeout）需手动删除或reload才会失效。生产环境中推荐先添加临时规则测试效果，确认无误后再转为永久规则。

2. firewalld基础操作与IP限制原理

2.1 firewalld核心概念解析

firewalld采用分层架构：

• Zones：预定义的信任级别（如public、dmz、home）
• Services：预定义的服务端口集合（如ssh、http）
• Rich Rules：高级规则语法，支持更复杂的条件匹配

查看当前生效的zone：

bash复制firewall-cmd --get-active-zones

2.2 临时限制IP的三种实现方式

方法一：使用rich rule（推荐）

bash复制# 禁止192.168.1.100访问所有端口
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" reject' --timeout=300

# 仅禁止访问SSH端口
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="22" protocol="tcp" reject' --timeout=300

方法二：通过source地址限制

bash复制# 将IP加入drop zone（立即生效，5分钟后自动移除）
firewall-cmd --add-source=192.168.1.100 --zone=drop --timeout=300

方法三：使用direct规则（兼容iptables语法）

bash复制firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -s 192.168.1.100 -j DROP --timeout=300

实测对比：rich rule语法更易读且支持日志记录，direct规则性能略高但可读性差。建议日常使用rich rule，高性能场景用direct。

3. 高级配置与排错指南

3.1 规则验证与监控

查看当前所有临时规则：

bash复制firewall-cmd --list-all --timed

实时监控防火墙日志：

bash复制journalctl -u firewalld -f | grep -E 'SRC=192.168.1.100'

3.2 典型问题排查

案例1：规则不生效

1. 检查默认zone：firewall-cmd --get-default-zone
2. 确认服务已启动：systemctl status firewalld
3. 查看完整规则集：firewall-cmd --list-all-zones

案例2：Docker影响防火墙
当Docker启用时，它会自动创建iptables规则。解决方案：

bash复制# 在/etc/docker/daemon.json中添加
{
  "iptables": false
}

3.3 黑白名单管理技巧

创建ipset集合实现批量管理：

bash复制# 创建黑名单集合
firewall-cmd --permanent --new-ipset=blacklist --type=hash:ip
firewall-cmd --permanent --ipset=blacklist --add-entry=192.168.1.100

# 应用ipset到规则
firewall-cmd --add-rich-rule='rule source ipset="blacklist" drop'

4. 生产环境最佳实践

4.1 自动化防护方案

结合fail2ban实现自动封禁：

bash复制# /etc/fail2ban/jail.local追加
[sshd]
enabled = true
banaction = firewallcmd-rich-rules

4.2 临时规则转永久规则

将有效的临时规则持久化：

bash复制# 查看临时规则ID
firewall-cmd --list-all --timed

# 转为永久规则
firewall-cmd --runtime-to-permanent

4.3 网络性能优化建议

当需要屏蔽大量IP时：

1. 使用ipset代替单独规则（处理速度提升10倍+）
2. 对/24等网段使用CIDR表示法
3. 避免频繁reload（会导致连接跟踪表清空）

我在实际运维中发现，对于突发DDoS攻击，最快响应方式是：

bash复制# 使用nftables底层命令（需firewalld 0.9.0+）
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -m set --match-set blacklist src -j DROP