SUSE Linux 防火墙查看与管理，从基础到实战，如何高效掌握SUSE Linux防火墙的查看与管理技巧？，想成为SUSE Linux防火墙高手？这份从基础到实战的指南你绝对不能错过！

04-11 7682阅读

在当今网络安全威胁日益严峻的环境下，防火墙作为服务器安全的第一道防线显得尤为重要，SUSE Linux 作为企业级操作系统的代表，提供了多种防火墙解决方案以满足不同场景的安全需求，本文将全面介绍 SUSE Linux 下的防火墙管理方法，包括主流工具的使用技巧、性能优化策略和实际应用案例,帮助您构建坚固的网络安全防护体系。

SUSE Linux 防火墙系统概述

SUSE Linux 提供了多层次的防火墙管理方案,主要包括以下三种工具：

SUSE Linux 防火墙查看与管理，从基础到实战，如何高效掌握SUSE Linux防火墙的查看与管理技巧？，想成为SUSE Linux防火墙高手？这份从基础到实战的指南你绝对不能错过！ 第1张

  1. firewalld：新一代动态防火墙管理工具，采用守护进程模式运行，支持运行时规则修改和区域化管理，是 SUSE Linux 15及以后版本的默认防火墙解决方案，其优势在于支持动态更新而无需重启服务,特别适合需要频繁调整规则的场景。

  2. iptables：传统的Linux内核级防火墙工具，直接操作netfilter框架，适合需要精细控制的场景，虽然配置较为复杂，但功能强大且灵活,能够实现各种复杂的网络流量控制策略。

  3. SuSEfirewall2：SUSE特有的传统防火墙脚本，主要存在于SUSE Linux Enterprise Server(SLES)中，采用配置文件管理模式,适合偏好静态配置的环境。

版本兼容性提示：openSUSE Leap 15+和SUSE Linux Enterprise 15+默认使用firewalld，而较早版本可能仍在使用SuSEfirewall2，在企业环境中,建议优先使用firewalld以获得更好的可管理性和动态更新能力。

防火墙状态检查与管理

检查防火墙运行状态

根据系统使用的防火墙类型,选择相应命令检查状态：

# 检查firewalld状态（现代SUSE版本）
sudo systemctl status firewalld
# 检查SuSEfirewall2状态（传统SLES系统）
sudo systemctl status SuSEfirewall2
# 检查iptables是否活跃（直接规则管理）
sudo iptables -L -n -v | grep -q -v "Chain INPUT (policy ACCEPT)" && echo "iptables有活动规则"
# 综合检测当前活跃的防火墙服务
if systemctl is-active --quiet firewalld; then
    echo "firewalld正在运行"
elif systemctl is-active --quiet SuSEfirewall2; then
    echo "SuSEfirewall2正在运行"
elif sudo iptables -L -n -v | grep -q -v "Chain INPUT (policy ACCEPT)"; then
    echo "iptables规则已配置"
else
    echo "未检测到活动的防火墙服务"
fi

防火墙服务管理

启动/停止防火墙服务：

# firewalld操作（推荐方式）
sudo systemctl start firewalld    # 启动服务
sudo systemctl stop firewalld     # 停止服务（临时禁用防火墙）
sudo systemctl restart firewalld  # 重启服务（应用配置变更）
# SuSEfirewall2操作（传统系统）
sudo systemctl start SuSEfirewall2
sudo systemctl stop SuSEfirewall2

设置开机自启：

# 启用/禁用服务自启动
sudo systemctl enable firewalld    # 启用开机自启
sudo systemctl disable firewalld   # 禁用开机自启
# 验证服务启动状态
sudo systemctl is-enabled firewalld

firewalld 高级管理技巧

核心概念解析

firewalld引入了几个重要概念,理解这些概念对有效管理防火墙至关重要：

  1. 区域(Zone)：定义信任级别的网络环境，每个区域包含一组预定义的规则,常见区域包括：

    • public：公共网络（默认区域）
    • internal：内部受信网络
    • dmz：非军事区（面向外部的服务器）
    • work/home：工作/家庭网络环境

  2. 服务(Service)：预定义的端口/协议组合,简化常见服务的配置。

    • http：80/tcp
    • https：443/tcp
    • ssh：22/tcp

  3. 端口(Port)：直接指定的端口号,用于非标准服务配置。

  4. 富规则(Rich Rules)：复杂的防火墙规则语法，支持源/目标IP、端口范围、协议等高级匹配条件。

常用操作命令

查看完整配置：

# 查看默认区域配置
sudo firewall-cmd --list-all
# 查看指定区域配置
sudo firewall-cmd --zone=internal --list-all
# 详细输出格式（JSON）
sudo firewall-cmd --list-all --output=json

区域管理：

# 获取所有可用区域
sudo firewall-cmd --get-zones
# 获取默认区域
sudo firewall-cmd --get-default-zone
# 设置默认区域
sudo firewall-cmd --set-default-zone=internal
# 获取活动区域（有网络接口绑定的区域）
sudo firewall-cmd --get-active-zones

端口与服务管理

开放标准服务：

# 临时开放HTTP/HTTPS服务（重启后失效）
sudo firewall-cmd --add-service=http
sudo firewall-cmd --add-service=https
# 永久开放服务（需重载生效）
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
# 验证服务是否开放
sudo firewall-cmd --query-service=http

自定义端口管理：

# 开放TCP/UDP端口
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --add-port=10000-20000/udp
# 开放端口范围
sudo firewall-cmd --permanent --add-port=3000-4000/tcp
# 移除端口规则
sudo firewall-cmd --permanent --remove-port=8080/tcp
# 重载配置使变更生效
sudo firewall-cmd --reload
# 验证端口是否开放
sudo firewall-cmd --list-ports

SUSE Linux 防火墙查看与管理，从基础到实战，如何高效掌握SUSE Linux防火墙的查看与管理技巧？，想成为SUSE Linux防火墙高手？这份从基础到实战的指南你绝对不能错过！ 第2张

高级功能应用

创建自定义区域：

# 创建新区域
sudo firewall-cmd --permanent --new-zone=myzone
# 配置区域规则
sudo firewall-cmd --permanent --zone=myzone --add-source=192.168.1.0/24
sudo firewall-cmd --permanent --zone=myzone --add-port=22/tcp
sudo firewall-cmd --permanent --zone=myzone --add-service=http
# 应用配置
sudo firewall-cmd --reload
# 将网络接口绑定到自定义区域
sudo firewall-cmd --zone=myzone --change-interface=eth1

富规则(Rich Rules)应用：

# 允许特定IP访问SSH
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept'
# 拒绝特定子网的ICMP请求
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.0/24" protocol value="icmp" reject'
# 限速规则：每分钟最多25个新连接
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule service name="http" limit value="25/m" accept'
# 日志记录规则
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" log prefix="SUSPECT " level="info" limit value="1/m" accept'

端口转发与NAT：

# 将外部80端口转发到内部服务器的8080端口
sudo firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.100
# 启用IP伪装（NAT）
sudo firewall-cmd --permanent --zone=public --add-masquerade
# 重载配置
sudo firewall-cmd --reload

iptables 深度配置指南

虽然firewalld已成为默认选择，但iptables仍然在某些场景下不可或缺,特别是需要精细控制网络流量的情况。

基础规则管理

查看当前规则：

# 查看过滤表规则（带行号）
sudo iptables -L -n -v --line-numbers
# 查看NAT表规则
sudo iptables -t nat -L -n -v
# 查看规则计数器
sudo iptables -L -n -v -x

基本规则操作：

# 允许SSH访问（插入到INPUT链开头）
sudo iptables -I INPUT -p tcp --dport 22 -j ACCEPT
# 允许已建立的连接通过
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 拒绝特定IP（插入到规则链开头）
sudo iptables -I INPUT -s 192.168.1.100 -j DROP
# 允许PING（ICMP）
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
# 默认策略设置（谨慎操作）
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

规则持久化

在SUSE Linux中保存iptables规则：

# 保存当前规则
sudo /sbin/iptables-save > /etc/sysconfig/iptables
# 恢复规则
sudo /sbin/iptables-restore < /etc/sysconfig/iptables
# 自动保存方案（安装iptables-services）
sudo zypper install iptables-services
sudo systemctl enable iptables
sudo systemctl start iptables

实用规则示例

连接限速：

# HTTP连接限速（每分钟25个新连接，突发100个）
sudo iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
# 限制并发连接数
sudo iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT

SSH防护：

# 防止SSH暴力破解（最近连接模块）
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 3 --name SSH -j DROP
# 允许特定IP段访问SSH
sudo iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPT

日志记录：

# 记录被拒绝的连接
sudo iptables -A INPUT -j LOG --log-prefix "IPTABLES-DROPPED: " --log-level 4
# 限制日志数量（避免日志洪水）
sudo iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "IPTables-Dropped: " --log-level 4

SuSEfirewall2 专业配置

对于仍在使用传统SuSEfirewall2的系统,以下是关键配置方法：

配置文件解析

主配置文件位于/etc/sysconfig/SuSEfirewall2,主要参数包括：

FW_CONFIGURATIONS_EXT=""  # 外部网络配置
FW_SERVICES_EXT_TCP=""    # 对外TCP服务端口
FW_SERVICES_EXT_UDP=""    # 对外UDP服务端口
FW_SERVICES_ACCEPT_EXT="" # 允许的特定IP访问
FW_LOG_DROP_CRIT="no"     # 关键日志记录
FW_PROTECT_FROM_INT="no"  # 内部网络保护
FW_ROUTE="no"             # 路由功能

典型配置示例

开放Web服务端口：

# 编辑配置文件
sudo vi /etc/sysconfig/SuSEfirewall2
# 设置开放端口
FW_SERVICES_EXT_TCP="80 443 8080"
FW_SERVICES_EXT_UDP=""
# 允许特定IP访问数据库
FW_SERVICES_ACCEPT_EXT="0/0,tcp,3306,192.168.1.100"

高级配置选项：

# 启用详细日志记录
FW_LOG_DROP_CRIT="yes"
FW_LOG_DROP_ALL="yes"
# 保护内部网络
FW_PROTECT_FROM_INT="yes"
# 自定义日志前缀
FW_CUSTOMRULES="/etc/sysconfig/scripts/SuSEfirewall2-custom"

SUSE Linux 防火墙查看与管理，从基础到实战，如何高效掌握SUSE Linux防火墙的查看与管理技巧？，想成为SUSE Linux防火墙高手？这份从基础到实战的指南你绝对不能错过！ 第3张

服务管理

# 重新加载配置
sudo systemctl restart SuSEfirewall2
# 检查当前状态
sudo SuSEfirewall2 status
# 详细日志查看
sudo journalctl -u SuSEfirewall2 -f
# 检查配置文件语法
sudo /sbin/SuSEfirewall2 check

宝塔面板在SUSE上的专业部署

宝塔面板作为流行的服务器管理工具,在SUSE系统上的部署需要特别注意兼容性问题。

系统准备

# 更新系统并安装基础依赖
sudo zypper refresh
sudo zypper update -y
sudo zypper install -y wget curl tar gzip python3 python3-pip perl
# 安装编译工具链（部分插件需要）
sudo zypper install -y gcc make automake autoconf libtool
# 解决可能的库依赖问题
sudo zypper install -y libopenssl-devel zlib-devel libicu-devel

兼容性安装方案

标准安装：

# 下载安装脚本
wget -O install.sh http://download.bt.cn/install/install_panel.sh
# 执行安装（可能需要强制模式）
sudo bash install.sh <<< "y"
# 解决特定错误（如遇到）
sudo ln -sf /usr/lib64/libssl.so.1.1 /usr/lib64/libssl.so.10
sudo ln -sf /usr/lib64/libcrypto.so.1.1 /usr/lib64/libcrypto.so.10

Docker方式（推荐）：

# 安装Docker引擎
sudo zypper install -y docker
sudo systemctl start docker
sudo systemctl enable docker
# 创建数据目录
mkdir -p ~/bt_data/{wwwroot,mysql_data,vhost}
# 运行宝塔容器（完整版）
docker run -d --name baota -p 8888:8888 -p 80:80 -p 443:443 -p 20:21 -p 39000-40000:39000-40000 \
-v ~/bt_data/wwwroot:/www/wwwroot -v ~/bt_data/mysql_data:/www/server/data \
-v ~/bt_data/vhost:/www/server/panel/vhost --privileged=true --restart=always btpanel/baota:latest
# 查看初始化密码
docker logs baota | grep "username\|password"

防火墙适配

放行宝塔所需端口：

# 使用firewalld
sudo firewall-cmd --permanent --add-port=8888/tcp    # 面板端口
sudo firewall-cmd --permanent --add-port=888/tcp     # 备用端口
sudo firewall-cmd --permanent --add-port=20-21/tcp   # FTP
sudo firewall-cmd --permanent --add-port=39000-40000/tcp  # FTP被动端口
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
# 使用iptables直接规则
sudo iptables -A INPUT -p tcp --dport 8888 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 888 -j ACCEPT
sudo /sbin/iptables-save > /etc/sysconfig/iptables

安全加固建议：

# 修改默认端口
sudo firewall-cmd --permanent --remove-port=8888/tcp
sudo firewall-cmd --permanent --add-port=56789/tcp
sudo firewall-cmd --reload
# 限制面板访问IP
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="56789" protocol="tcp" accept'
sudo firewall-cmd --reload

企业级安全实践建议

  1. 最小权限原则：

    • 只开放必要的端口和服务
    • 使用firewall-cmd --list-all定期审核开放端口
    • 移除不再需要的规则：sudo firewall-cmd --permanent --remove-port=8080/tcp

  2. 分层防御策略：

    # 边缘防火墙规则示例
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept'
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="0.0.0.0/0" service name="ssh" drop'

  3. 日志监控与分析：

    # 实时监控防火墙日志
sudo journalctl -u fire

相关阅读：

1、VPS服务器遭遇断电危机，应对策略与解决方案揭秘！

2、小内存VPS桌面环境安装指南，轻松搭建操作环境！

3、全球顶级***推荐，寻找最优质的国外VPS服务之旅！

4、阿里云东京VPS购买宝典，轻松选购优质云服务，助力您的业务腾飞！

5、揭秘搬砖瓦工高效VPS连接秘诀，轻松上手，引领便捷操作新潮流！

    高速稳定云服务器25元起
    免责声明：我们致力于保护作者版权，注重分享，被刊用文章因无法核实真实出处，未能及时与作者取得联系，或有版权异议的，请联系管理员，我们会立即处理! 部分文章是来自自研大数据AI进行生成,内容摘自(百度百科,百度知道,头条百科,中国民法典,刑法,牛津词典,新华词典,汉语词典,国家院校,科普平台)等数据,内容仅供学习参考,不准确地方联系删除处理! 图片声明：本站部分配图来自人工智能系统AI生成,觅知网授权图片,PxHere摄影无版权图库和百度，360，搜狗等多加搜索引擎自动关键词搜索配图，如有侵权的图片，请第一时间联系我们，邮箱：ciyunidc@ciyunshuju.com。本站只作为美观性配图使用,无任何非法侵犯第三方意图,一切解释权归图片著作权方,本站不承担任何责任。如有恶意碰瓷者,必当奉陪到底严惩不贷!

    相关阅读

    目录[+]