在使用香港高防服务器时，配置防火墙规则管理开放/关闭端口是确保服务器安全的重要措施。

1. 为什么需要配置防火墙？

• 防止入侵：通过关闭不必要的端口，减少攻击面，防止黑客利用开放端口入侵服务器。
• DDoS 防护：结合高防服务器的防御能力，通过限制端口访问降低攻击的影响。
• 流量控制：确保只有授权的流量能够通过防火墙访问服务器。

2. 常见防火墙工具

2.1 UFW（Uncomplicated Firewall）

• 常用于 Ubuntu/Debian 系统，操作简单。

2.2 Firewalld

• 默认用于 CentOS/RHEL 系统，支持动态更新规则。

2.3 Iptables

• 更低级的防火墙工具，适用于所有 Linux 发行版，功能强大但配置复杂。

3. 配置防火墙规则：开放/关闭端口

3.1 使用 UFW 开放/关闭端口

3.1.1 启用 UFW

安装并启用 UFW：

sudo apt update
sudo apt install ufw -y
sudo ufw enable

3.1.2 开放指定端口

• 单个端口：

  bash

   

  sudo ufw allow 80/tcp
  

  示例：开放 HTTP（80）端口。

• 多个端口：

  bash

   

  sudo ufw allow 80,443/tcp
  

  示例：同时开放 HTTP（80）和 HTTPS（443）端口。

• 指定端口范围：

  bash

   

  sudo ufw allow 3000:4000/tcp
  

  示例：开放 3000 到 4000 的端口范围。

3.1.3 关闭指定端口

• 关闭单个端口：

  bash

   

  sudo ufw deny 22/tcp
  

  示例：关闭 SSH（22）端口。

• 关闭端口范围：

  bash

   

  sudo ufw deny 5000:6000/tcp
  

3.1.4 查看防火墙状态

sudo ufw status

3.1.5 重置防火墙规则

如果需要清除所有规则：

sudo ufw reset

3.2 使用 Firewalld 开放/关闭端口

3.2.1 启用 Firewalld

安装并启用 Firewalld：

sudo yum install firewalld -y
sudo systemctl start firewalld
sudo systemctl enable firewalld

3.2.2 开放指定端口

• 单个端口：

  bash

   

  sudo firewall-cmd --permanent --add-port=80/tcp
  

  示例：开放 HTTP（80）端口。

• 多个端口：

  bash

   

  sudo firewall-cmd --permanent --add-port=80/tcp
  sudo firewall-cmd --permanent --add-port=443/tcp
  

• 端口范围：

  bash

   

  sudo firewall-cmd --permanent --add-port=3000-4000/tcp
  

3.2.3 关闭指定端口

• 关闭单个端口：

  bash

   

  sudo firewall-cmd --permanent --remove-port=22/tcp
  

• 关闭端口范围：

  bash

   

  sudo firewall-cmd --permanent --remove-port=5000-6000/tcp
  

3.2.4 重新加载规则

每次修改规则后，需重新加载生效：

sudo firewall-cmd --reload

3.2.5 查看防火墙状态

• 查看所有开放端口：
  bash

   

  sudo firewall-cmd --list-ports
  

3.3 使用 Iptables 开放/关闭端口

3.3.1 检查并启用 Iptables

安装并启用 Iptables：

sudo yum install iptables-services -y
sudo systemctl start iptables
sudo systemctl enable iptables

3.3.2 开放指定端口

• 单个端口：

  bash

   

  sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  

  示例：开放 HTTP（80）端口。

• 端口范围：

  bash

   

  sudo iptables -A INPUT -p tcp --dport 3000:4000 -j ACCEPT
  

3.3.3 关闭指定端口

• 单个端口：
  bash

   

  sudo iptables -A INPUT -p tcp --dport 22 -j DROP
  

  示例：关闭 SSH（22）端口。

3.3.4 保存规则

修改完成后保存规则以防重启失效：

sudo service iptables save

3.3.5 查看规则

列出所有规则：

sudo iptables -L -n -v

4. 配置高防服务器的推荐防火墙规则

结合香港高防服务器的特点（如防御 DDoS 攻击），以下是常见的防火墙配置建议：

4.1 开放必要端口

• HTTP/HTTPS 服务：
  bash

   

  sudo ufw allow 80/tcp
  sudo ufw allow 443/tcp
  

• SSH 远程管理：
  • 如果需要远程管理，可开放 SSH（22）端口，但建议修改默认端口。
  bash

   

  sudo ufw allow 2222/tcp
  

4.2 限制访问来源

• 仅允许指定 IP 地址访问 SSH：
  bash

   

  sudo ufw allow from <your-ip-address> to any port 22
  

  示例：只允许本地 IP 192.168.0.1 登录：
  bash

   

  sudo ufw allow from 192.168.0.1 to any port 22
  

4.3 防止恶意扫描

• 禁止 Ping（ICMP）请求：
  bash

   

  sudo ufw deny proto icmp
  

• 阻止特定 IP 或网段：
  bash

   

  sudo ufw deny from <malicious-ip>
  

4.4 限制登录失败次数

• 安装 Fail2Ban，防止暴力破解：
  bash

   

  sudo apt install fail2ban -y
  sudo systemctl enable fail2ban
  

5. 防火墙配置示例

以下是一个完整的防火墙配置示例，适用于香港高防服务器：

# 启用防火墙
sudo ufw enable

# 开放 HTTP 和 HTTPS
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# 修改 SSH 默认端口为 2222 并开放
sudo ufw allow 2222/tcp

# 只允许特定 IP 登录 SSH
sudo ufw allow from 192.168.1.100 to any port 2222

# 禁止 Ping 请求
sudo ufw deny proto icmp

# 查看防火墙规则
sudo ufw status

6. 注意事项

1. 防火墙生效后远程连接问题：

   • 在关闭或修改 SSH 端口时，确保至少有一种方式可以访问服务器（如 KVM 或控制面板）。

2. 定期审查规则：

   • 定期检查防火墙规则，关闭不必要的端口，避免安全漏洞。

3. 与高防服务结合：

   • 使用高防 IP 或 DDoS 防护服务时，确保防火墙规则与服务配置一致。

4. 测试规则：

   • 每次修改防火墙后，测试关键端口的连通性，避免误操作导致服务器无法访问。

通过合理配置防火墙规则，结合香港高防服务器的抗攻击能力，可以显著提高服务器的安全性和运行稳定性。