Linux防火墻如何配置才能更安全

Linux 防火墻的配置對于確保系統安全至關重要。以下是一些關鍵步驟和建議，幫助你提升 Linux 防火墻的安全性。

選擇合適的防火墻工具

• iptables：Linux 內核自帶的強大命令行工具，適用于細粒度流量控制。
• firewalld：動態管理防火墻的工具，提供高級功能和簡化命令接口。
• nftables：iptables 的后繼者，性能和可擴展性更優。

基礎配置步驟

1. 安裝防火墻工具（如未安裝）：

   sudo apt-get install iptables # Debian/Ubuntu
   sudo yum install iptables # CentOS/RHEL
   

2. 配置防火墻規則：

   • 使用 iptables 設置允許 SSH 連接的規則：

     sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
     

   • 使用 firewalld 允許 SSH 服務：

     sudo firewall-cmd --permanent --add-service=ssh
     sudo firewall-cmd --reload
     

   • 使用 nftables 添加簡單的過濾表和鏈：

     sudo nft add table inet filters
     sudo nft add chain inet filter input { type filter hook input }
     

3. 持久化配置：

   • 使用 iptables-save 和 iptables-restore 保存和恢復規則。
   • 使用 firewall-cmd --runtime-to-permanent 將運行時配置轉換為永久配置。

安全加固建議

1. 限制 SSH 遠程登錄：

   • 修改 SSH 配置文件 /etc/ssh/sshd_config：

     PermitRootLogin no
     PasswordAuthentication no
     

   • 重啟 SSH 服務：

     sudo systemctl restart sshd
     

2. 修改 SSH 默認端口：

   • 編輯 SSH 配置文件，修改端口為一個較高的值（如 10000 以上），以減少被惡意掃描到的概率。

3. 禁用 SSH 協議版本 1：

   • 編輯 SSH 配置文件，注釋掉或刪除 protocol 2,1 這一行：

     protocol 2
     

4. 禁止空密碼登錄：

   • 確保 SSH 配置文件中 PermitEmptyPasswords no 這一行未被注釋。

5. 禁止 ping 請求：

   • 通過以下命令禁止服務器響應 ping 請求：

     echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all
     

6. 用戶和用戶組安全管理：

   • 遵循最小權限原則，刪除不必要的默認用戶和用戶組。

   • 設置文件權限，防止信息泄露：

     chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow
     

7. 日志審計：

   • 確保 rsyslog 服務已啟用，記錄日志用于審計：

     sudo systemctl enable rsyslog
     sudo systemctl start rsyslog
     

注意事項

• 在進行任何配置更改后，建議先在測試環境中驗證其效果。
• 定期審查和更新防火墻規則，以應對新的安全威脅。
• 保持系統和防火墻工具的更新，以利用最新的安全修復和功能增強。

通過上述步驟和建議，你可以顯著提升 Linux 防火墻的安全性，保護你的系統免受網絡威脅。