Linux系统防火墙高级配置学习，涵盖iptables、firewalld和nftables等主流工具，包含实战案例和深度技术解析：
Day 1：防火墙基础回顾
目标：掌握防火墙核心概念与基础操作
- 防火墙类型对比包过滤防火墙 vs 应用层防火墙状态检测防火墙原理
- iptables四表五链
# 查看规则
iptables -L -n -v --line-numbers- firewalld基础
# 查看默认区域
firewall-cmd --get-default-zone
# 添加HTTP服务
firewall-cmd --permanent --add-service=http- 数据包处理流程
PREROUTING -> INPUT/FORWARD -> POSTROUTINGDay 2：高级规则配置
目标：掌握复杂规则编写与优化
- 连接跟踪（conntrack）
# 允许已建立连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT- 限速规则
# 限制SSH连接频率
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 3 -j DROP- 日志记录
# 记录被拒绝的SSH尝试
iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH_DENIED: "Day 3：nftables深度实践
目标：掌握新一代防火墙配置
- nftables优势统一语法更好的性能
- 规则集配置示例
# 创建过滤表
nft add table ip filter
# 创建输入链
nft add chain ip filter input { type filter hook input priority 0 \; }
# 允许SSH
nft add rule ip filter input tcp dport 22 ct state new,established accept- 集合与字典应用
# 创建IP黑名单
nft add set ip filter blacklist { type ipv4_addr \; }
nft add rule ip filter input ip saddr @blacklist dropDay 4：网络地址转换（NAT）
目标：掌握端口转发和地址转换
- SNAT配置
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 203.0.113.5- DNAT实现
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:8080- 端口映射（firewalld）
firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.10Day 5：安全加固与入侵防御
目标：构建主动防御体系
- fail2ban集成
# /etc/fail2ban/jail.local
[sshd]
enabled = true
maxretry = 3
bantime = 1h- 防SYN Flood攻击
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT- 应用层防护
# 阻止HTTP敏感路径访问
iptables -A INPUT -p tcp --dport 80 -m string --string "/etc/passwd" --algo bm -j DROPDay 6：高可用与负载均衡
目标：实现企业级防火墙架构
- 防火墙集群方案Keepalived + iptables
- 负载均衡配置
iptables -t nat -A PREROUTING -p tcp --dport 80 -m statistic --mode random --probability 0.5 -j DNAT --to-destination 10.0.1.2:80
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 10.0.1.3:80Day 7：综合实战与排错
目标：真实场景问题解决
- 复杂网络环境配置多网卡策略路由VLAN间通信控制
- 防火墙性能优化
# 规则排序优化（高频规则前置）
iptables -I INPUT 1 -p tcp --dport 443 -j ACCEPT- 常见故障排查
# 连接跟踪查看
conntrack -L
# 规则匹配测试
iptables -t raw -A OUTPUT -p tcp --dport 80 -j TRACE扩展学习资源
- 官方文档：nftables Wikifirewalld Documentation
- 网络分析工具：tcpdump高级用法Wireshark流量分析
- 安全标准：CIS Linux安全基准NIST网络安全框架
注意事项：
- 生产环境操作前务必在测试环境验证
- 使用iptables-save/firewall-cmd --runtime-to-permanent保存配置
- 定期审计防火墙规则（推荐使用fwcheck等工具）