CentOS防火墙是系统安全的第一道屏障，但许多管理员配置完成后便不再关注。实际上，防火墙的安全防护远不止“开放端口、关闭端口”这么简单——通过组合多种策略，可以有效抵御各类攻击，甚至在DDoS攻击面前构建一道缓冲防线。本文将从实战角度详细拆解这套防护方案。

基础配置步骤

首先搭建好核心框架。如果系统中尚未安装firewalld，使用一条命令即可完成安装：

sudo yum install firewalld

安装完成后启动服务，并设置开机自启，确保重启后防火墙依然生效：

sudo systemctl start firewalld
sudo systemctl enable firewalld

接下来配置关键的防火墙规则。绝大多数场景下，需要放行HTTP（80端口）和HTTPS（443端口）流量，其他非必要端口建议全部关闭：

sudo firewall-cmd --permanent --zone=public --add-port=80/tcp
sudo firewall-cmd --permanent --zone=public --add-port=443/tcp

修改规则后务必重新加载配置，否则变更不会生效：

sudo firewall-cmd --reload

完成上述流程后，基础防护体系便搭建完毕。但请别就此收工——真正的攻击往往不会仅仅扫端口。

防范常见攻击类型

不同攻击类型需要采取针对性的应对策略，下面梳理了几类高频威胁的防护思路。

DDoS攻击。针对分布式拒绝服务攻击，可以借助APF或CSF等软件防火墙，调整内部参数以减缓流量冲击。同时可在iptables层面设置规则，专门拦截SYN泛洪等典型攻击模式。此外，推荐安装DDoS deflate这类工具，它能自动检测异常流量并阻断攻击来源IP。一句话总结：单纯依赖firewalld防御DDoS是不够的，需要组合多种工具协同防护。

SQL注入。防火墙只能管控网络流量，无法干预应用逻辑。SQL注入的防护重点在于及时更新系统和软件，堵住已知漏洞。数据库层面必须使用参数化查询替代拼接字符串，同时严格限制数据库用户的权限——贯彻最小权限原则，即使攻击者进入也难以窃取核心数据。

入侵行为。系统漏洞一直是黑客最青睐的攻击入口。保持系统及时更新是最基础也最易被忽视的防侵入手段。同时应禁用不必要的服务和功能，缩小攻击面。建议额外部署入侵检测系统（IDS）和入侵防御系统（IPS），在防火墙后方构建又一道安全屏障。

增强防火墙安全性的补充建议

防火墙规则并非配置一次就能一劳永逸。需要定期审查并更新规则，以应对新出现的威胁模式。安全防护是一个动态对抗的持续过程。

账号安全同样需要同步强化。强密码策略是基本要求，如果仍在使用弱口令，即便防火墙再坚固也无济于事。SSH密钥认证比密码更安全，强烈建议优先采用。

最后，对于对外提供Web服务的系统，部署一套Web应用防火墙（WAF）能显著降低应用层攻击风险。WAF可拦截SQL注入、XSS等攻击，与网络层防火墙形成互补防护体系。

将上述步骤和建议落实到位，CentOS系统的整体安全水平将大幅提升。防火墙只是一个起点，真正的安全防护来自于层层设防的组合策略。