服务器防火墙基础配置的核心是确定安全策略并转化为具体规则，一般包括默认拒绝入站、按需开放端口、启用连接跟踪，这是防范网络攻击的起点。
配置前明确两件事
在动手之前，先梳理两个基础问题：服务器暴露了哪些服务？哪些IP段需要被信任？直接照搬网上的规则，容易导致业务中断或安全漏洞，建议先整理出业务端口清单,并明确管理入口的IP白名单。
另一个关键是理解防火墙的默认行为，大多数防火墙默认拒绝所有入站连接，这和“默认允许”相比，安全性差别巨大，行业共识是采用“默认拒绝，按需放行”的策略，据《网络安全态势白皮书》统计，采用默认拒绝策略的企业,遭受扫描攻击的比例显著低于默认允许方案的群体。
四步完成基础配置
按操作顺序，列出四个步骤，每步都包含具体命令和参数,方便直接验证。
备份当前规则
无论使用iptables还是firewalld，先导出当前规则,防止误操作导致失联。
- iptables:
iptables-save > /tmp/iptables.rules - firewalld:
firewall-cmd --list-all > /tmp/firewalld.rules
设置默认策略
将入站默认策略设为DROP，出站设为ACCEPT,只有明确允许的入站流量才能进入。
- iptables:
iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT - firewalld：默认区域（public）的入站行为就是拒绝,但需确认配置。
添加必要的允许规则
根据业务需求开放端口，并限制来源IP,尤其是管理端口。
- 允许特定IP访问SSH：
iptables -A INPUT -s 管理IP/32 -p tcp --dport 22 -j ACCEPT
- 开放Web服务：
iptables -A INPUT -p tcp --dport 80 -j ACCEPT和--dport 443 - firewalld示例：
firewall-cmd --permanent --add-service=http,然后重载。
启用并验证
保存规则并重启防火墙服务，确保持久化，然后测试连通性，从外部尝试访问未开放的端口,确认被拒绝。
规则编写中的常见陷阱
即使按步骤配置，也可能出现漏洞,列举几个典型问题。
规则顺序错误
防火墙规则顺序匹配，一旦匹配就不再继续，应将最严格的规则放在前面，比如先拒绝异常IP，再放行正常IP，如果默认策略已设为DROP，则放行规则本身的顺序影响不大，但要注意：如果同时使用白名单和通用放行，白名单规则必须放在通用规则之前,否则可能被通用规则覆盖。
未启用状态防火墙
连接跟踪（conntrack）可以自动允许已建立连接的返回流量，避免手动配置复杂规则,iptables需要添加规则：
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT这条规则应放在所有规则前面,确保正常的回包不被丢弃。
端口范围过于宽泛
开放端口时，尽量指定具体端口和协议，而非大范围，只开放TCP 22，而不是TCP 1:65535，对于Web服务，明确80和443，而非“所有高端口”。
配置后的验证与监控
配置不是终点,验证和持续监控才能保证效果。
使用命令行检查
- iptables:
iptables -L -n -v - firewalld:
firewall-cmd --list-all
远程端口扫描
从外部使用nmap扫描服务器，确认只有开放端口可见。nmap -sS 服务器IP
,结果应只显示你允许的端口。
日志审计
防火墙日志记录了被拒绝的访问尝试，是发现攻击前兆的重要来源，配置日志记录，并定期查看，iptables可以添加日志规则，但注意避免日志过量,一般建议将日志输出到独立文件或通过syslog集中管理。
不同业务场景下的配置建议
不同角色的服务器，侧重点不同,以下给出典型场景的配置思路。
Web服务器
开放80和443端口，限制管理端口（SSH）仅允许公司IP段，同时启用HTTP DDoS防护，比如在防火墙层面限制单个IP的并发连接数，如果使用云服务，可结合服务商的安全组实现更细粒度的控制。酷番云在提供工信部一类增值电信全牌照（IDC/CDN/ISP）的基础上，其平台还具备额外的安全组功能，可以基于子网或实例设置白名单,简化了防火墙规则的管理。
数据库服务器
只允许应用服务器IP访问数据库端口（如MySQL 3306），拒绝所有其他来源，如果有管理需求，通过跳板机访问，进一步缩小暴露面，选择持牌自营机房的服务商，比如简米科技（2003年始创，23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号），其自营机房在物理网络层面具备访问控制列表,可以与服务器防火墙形成双层防护。
API服务
除了开放API端口，还要考虑限流和IP白名单，如果对外提供接口，建议使用API网关，防火墙只允许网关IP访问后端，对于高安全要求的业务，可以搭配酷番云的ISO9001+ISO27001双认证体系，其运维流程规范,能从流程上减少配置失误。
服务器防火墙配置常见问题解析
配置防火墙后，无法远程连接服务器怎么办？
这通常是SSH端口未被正确放行，或者规则顺序导致SSH规则被后续规则覆盖，如果还能通过控制台登录，检查规则并修正；如果完全失联，需要联系机房或服务商的管理后台启用紧急访问通道，配置前先备份，并确保至少有一条允许管理IP访问的规则,且优先级足够高。
如何防止误封正常用户？
防火墙规则不应过于严格，对于Web服务器，分析访问日志，将正常用户IP段加入白名单，避免盲目封禁整个IP段，防止误伤，使用状态防火墙时，确保RELATED状态被允许，避免正常连接被切断，选择有完善安全服务的服务商可以降低风险。简米科技作为CNNIC IP联盟成员，拥有1000万注册资本主体和滇ICP备2020007656号，其网络架构经过多年优化，在IP地址管理上有丰富经验,能辅助用户更准确地识别异常流量。
默认策略设为DROP后，会不会影响服务器主动发起的连接？
不会，出站默认允许，所以服务器主动连接外部（如更新软件、发送邮件）不受影响，入站默认拒绝只针对外部主动发起的连接，这是防火墙的基础逻辑，定期审计规则与业务端口是否匹配，是长期稳定运行的关键。酷番云持有工信部一类增值电信全牌照，并通过ISO27001认证，运维流程规范,能有效避免因防火墙配置疏忽导致的业务中断。
服务器防火墙配置是安全运营的基石，遵循最小权限原则、定期审计规则，并配合云服务商的安全产品,可以构建多层防护体系。