CentOS防火墙到底能防哪些攻击？
在企业服务器安全的实战中，CentOS防火墙扮演着第一道网络边界防线的角色。它基于 Linux 内核的 netfilter 框架，提供 状态检测(stateful inspection)、区域分组和丰富的规则体系，能够对进入服务器的流量进行筛选与控制。
核心能力包括对未授权端口访问的阻断、公开服务的精准暴露、以及对异常连接的快速拒绝。通过合理的区域配置和默认策略，可以将暴露面降到最低，从而降低暴力破解、端口扫描和常见自带漏洞的风险。
然而，需要明确的是，防火墙并不能解决所有问题，特别是应用层攻击、业务逻辑漏洞、以及需要跨主机协同的威胁。防火墙是防护的第一层，仍需结合 IDS/IPS、日志审计和主机强化等手段，形成多层防护。
1.1 网络层与传输层的防护能力
通过设置默认拒绝策略和明确的服务开放范围，网络层的攻击阻断能力可以显著提升。对未授权端口的访问、扫描探测和非法网段的连接尝试，防火墙可以快速将其丢弃。
在传输层层面，状态跟踪允许防火墙区分新建连接、已建立连接和无效连接，从而对异常半打开连接和持续刷流量进行抑制。对 SYN 洪泛等现象，防火墙与内核调度共同形成鲁棒的应对策略。
1.2 针对攻击类型的具体防护逻辑
通过区域（zone）和服务名的组合，可以实现对“谁、对哪种服务、在什么时间段”访问的精细控制。区域规划应与网段分布和运维团队的接入方式匹配，以降低误报和漏放的风险。
通过 Rich Rules 和速率限制，可以对特定来源进行限流、限次访问等操作，从而降低暴力破解和滥用服务的概率。
1.3 与日志与告警的协同
开启对拒绝流量的日志记录，有助于运维对异常行为进行追踪。日志等级与告警策略应与 SIEM、告警平台对接，形成可执行的响应流程。
要点包括：对所有拒绝事件的可观测性、对重放攻击的识别能力，以及对误报的持续排查。通过集中化日志，可以在事件发生时快速定位来源、时间和影响范围。
企业服务器安全的实战要点
企业落地的安全要点应围绕“最小暴露、可观测、可控与可复现”展开。CentOS 防火墙只是实现路径之一，综合措施才是关键。
最小暴露原则要求仅开放真正需要的端口和服务，并尽可能将边界服务集中在受控的区域内，降低攻击面。
为实现可观测性，需建立完善的日志、审计与告警机制，并对事件响应进行演练。只有在发生异常时，才能快速定位、处置并减少影响。
2.1 最小暴露原则与访问控制
将公网上的直接暴露降到最低，优先为管理入口设置专用网关、VPN 或跳板机。针对服务器对外提供的 HTTP、HTTPS、SSH 等服务，应以严格的源地址限制和可用性检查来实现最小化暴露。
实践要点包括对 SSH 的源地址白名单、对管理端口的单点暴露以及对不使用的端口的关闭。围绕“谁在访问、访问什么、从何处访问”三要素建立规则，能显著降低被扫描和暴力攻击的概率。
2.2 日志、告警与审计
通过设置防火墙日志记录和告警，同步多源安全信息，提高事件可追溯性。日志集中化、告警分级和回溯能力是达成快速响应的前提。
具体做法包括启用拒绝流量日志、将日志发送到 SIEM、并对异常连接进行告警阈值设置。
2.3 防火墙与主机安全的综合
防火墙需要与主机强化手段协同：禁用 Root 远程登录、使用密钥对认证、并对 SSH 配置进行安全强化。主机侧的强化措施与网络边界防护共同作用，提升整体防御能力。
还应结合 Fail2ban、SSH 登陆策略和 SELinux 策略等，形成多层次的防护网。下面给出一个典型的 SSH 强化配置片段，便于落地执行。
# 编辑 /etc/ssh/sshd_config
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
# 仅允许从受信来源跳板访问
# 需要在防火墙中实现相应来源白名单
systemctl reload sshd
基于CentOS的防火墙配置指南
下面的指南聚焦于将 CentOS 防火墙落地为可操作的配置模板，帮助企业服务器在最短时间内实现可观测、可控的网络边界。
3.1 常用默认策略与区域配置
合理设置默认区域、常用服务和默认拒绝策略，是实现最小暴露的第一步。默认区域与服务清单直接决定服务器对外开放的入口点。
通过以下流程确保配置落地：设定默认区域、逐步添加或移除服务、并在完成后重新载入生效。
# 设置默认区域
firewall-cmd --set-default-zone=public
# 允许 SSH、HTTP、HTTPS 服务
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
# 移除不必要的服务示例
firewall-cmd --permanent --remove-service=ftp
# 重新加载以应用永久变更
firewall-cmd --reload
3.2 服务端口与服务的细粒度控制
对于一线生产环境，按业务需要逐步暴露和收回端口与服务。细粒度控制能显著降低被利用的入口。
结合区域和富规则，可以实现对特定来源、特定服务的精确放行或阻断。
# 仅允许来自特定源 IP 的 SSH 访问
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" service name="ssh" accept'
# 移除对外暴露的 FTP 服务（如不再需要）
firewall-cmd --permanent --remove-service=ftp
# 应用变更
firewall-cmd --reload
3.3 统一入侵检测与事件响应
防火墙只是入口控制，入侵检测与快速响应也是关键。Fail2ban 等工具可以对暴力登陆进行自动封禁，提升对暴力破解的抵抗能力。
结合 fail2ban 与日志分析，可以实现对 SSH、RDP 等常见入口的自动化防护与告警。
# 安装 Fail2ban（以 CentOS 为例）
yum install epel-release -y
yum install fail2ban -y
systemctl enable --now fail2ban
3.4 备份、演练与变更管控
在变更防火墙规则前后，务必进行变更审核、回滚计划和演练。变更前的备份与演练，能在真正的安全事件中快速恢复正常服务。
演练内容包括对策略变更的可用性测试、联动 SOC 的告警测试，以及对核心服务的可用性验证。
3.5 进一步的强化与扩展
如需要更高等级的防护，可以考虑将防火墙与网络分段、流量速率限制、以及应用层网关结合使用。分段与网关化有助于将潜在攻击影响范围限制在较小区域。
同时，定期更新防火墙软件、关注内核与 netfilter 的更新动态，也是长期维护的重要环节。
