如何在 Rocky Linux 9 中配置端口过滤规则来限制网络访问？

在Rocky Linux 9中配置端口过滤规则建议通过firewalld或iptables实现。以下为常用方案：

方案一：firewalld（推荐）

1. 启动服务：systemctl enable --now firewalld
2. 限制特定IP访问端口（示例允许192.168.1.100访问SSH）：

   firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=192.168.1.100 port port=22 protocol=tcp accept'

3. 全局禁止端口（示例禁止3306端口）：

   firewall-cmd --permanent --remove-port=3306/tcp

4. 重载生效：firewall-cmd --reload

方案二：iptables

1. 禁止所有IP访问端口（示例禁止80端口）：

   iptables -A INPUT -p tcp --dport 80 -j DROP

2. 允许指定IP段（示例允许10.0.0.0/24访问443）：

   iptables -A INPUT -p tcp -s 10.0.0.0/24 --dport 443 -j ACCEPT

3. 持久化规则：

   iptables-save > /etc/sysconfig/iptables
   systemctl enable iptables

验证命令：

• 查看生效规则：firewall-cmd --list-all 或 iptables -L -n -v
• 端口扫描测试：nmap -p 端口号 目标IP

在 Rocky Linux 9 中，可使用 firewalld 配置端口过滤规则。例如，限制 SSH 端口仅允许特定 IP 访问：

1. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'
2. firewall-cmd --reload

延伸知识点：firewalld 的富规则（Rich Rules） 富规则允许复杂条件配置：

• family：协议族（ipv4/ipv6）
• source address：源 IP 或网段
• port/protocol：端口及协议类型
• action：accept/reject/drop 例：拒绝 192.168.1.0/24 以外的所有 HTTP 请求： firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source not address=192.168.1.0/24 service name=http drop' 使用 --list-rich-rules 查看规则，--remove-rich-rule 删除规则。