防火墙是服务器的第一道安全屏障，通过预设规则监控和过滤网络流量。它区分内外网流量，仅允许合法请求通过，阻止非法扫描、暴力破解等攻击。其核心作用包括访问控制、威胁拦截和日志审计，有效降低数据泄露、系统入侵等风险，保障业务连续性。
一、服务器防火墙设置方法
1、Windows服务器防火墙设置
通过控制面板配置
打开控制面板 → 选择“Windows Defender 防火墙” → 点击“启用或关闭Windows Defender 防火墙”，根据需求开启或关闭。
允许程序通过防火墙：在左侧菜单选择“允许应用或功能通过Windows Defender 防火墙”，添加需要放行的程序(如FTP服务、远程桌面等)。
高级设置：点击左侧“高级设置”，可配置入站/出站规则，例如：
开放FTP端口(21)：新建入站规则 → 选择“端口” → 输入“21” → 允许连接 → 完成。
限制SSH访问：仅允许特定IP访问22端口，通过“源IP地址”条件筛选。
通过PowerShell命令
启用防火墙：Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True
开放端口：New-NetFirewallRule -DisplayName "Allow FTP" -Direction Inbound -LocalPort 21 -Protocol TCP -Action Allow
2、Linux服务器防火墙设置
UFW(Ubuntu/Debian)
启用UFW：sudo ufw enable
开放端口：
单个端口：sudo ufw allow 80/tcp(HTTP)
端口范围：sudo ufw allow 3000:3100/tcp
限制IP访问：sudo ufw allow from 192.168.1.100 to any port 22(仅允许IP 192.168.1.100访问SSH)
查看规则：sudo ufw status
Firewalld(CentOS/RHEL)
启用Firewalld：sudo systemctl start firewalld
开放端口：
单个端口：sudo firewall-cmd --permanent --add-port=80/tcp
端口范围：sudo firewall-cmd --permanent --add-port=3000-3100/tcp
允许特定IP访问SSH：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'
应用更改：sudo firewall-cmd --reload
Iptables(高级用户)
开放HTTP端口：sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
限制SSH访问：sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT
保存规则：sudo service iptables save
二、服务器防火墙的核心作用
访问控制
限制外部对服务器端口的访问，例如仅开放80、443、22等必要端口，关闭高危端口。
通过IP白名单功能，仅允许特定IP访问关键服务。
威胁防护
拦截恶意流量：过滤来自已知攻击IP的请求，阻止端口扫描、暴力破解等行为。
深度包检测：识别SQL注入、XSS攻击等应用层威胁。
日志与审计
记录所有入站/出站流量，包括源IP、目标端口、时间戳等信息。
生成安全报告，辅助分析攻击趋势。
三、防火墙如何保护数据安全
数据泄露防护
监控敏感数据传输：拦截包含信用卡号、密码等信息的非法外传请求。
加密流量检测：对SSL/TLS加密流量进行解密检查，防止恶意软件通过加密通道通信。
内部威胁管控
限制内部用户访问高风险网站或下载可疑文件，降低数据泄露风险。
结合用户认证功能，确保只有授权人员能访问敏感资源。
合规性保障
满足等保2.0、GDPR等法规要求，通过日志留存和访问控制功能，提供审计依据。
防止未授权访问，避免因数据泄露导致的法律风险。
防火墙设置最佳实践
最小化开放原则
默认拒绝所有流量，仅开放业务必需端口。
定期审查规则，删除长期未使用的端口开放。
多层次防护
结合入侵检测系统、杀毒软件等工具，构建“防火墙+IDS+终端防护”的立体防御体系。
启用状态检测功能，跟踪连接状态，防止碎片化攻击。
定期更新与维护
及时升级防火墙固件和规则库，修复已知漏洞。
设置自动更新功能，确保特征库实时最新。
配置防火墙需遵循“最小化开放”原则，仅开放业务必需端口。结合状态检测技术，跟踪连接状态，防止碎片化攻击。定期更新规则库以应对新威胁，并启用日志功能记录异常流量。多层次防护可集成IDS、杀毒软件，形成立体防御，提升整体安全性。
