利用 `iptables`/`firewalld` 配置 Redis 服务器防火墙规则

好的，各位听众朋友们，欢迎来到今天的“防火墙与Redis的爱恨情仇”讲座！我是你们的老朋友，江湖人称“防火墙老司机”的码农小李。今天，咱们就来聊聊如何用iptables和firewalld这两把“尚方宝剑”，守护我们Redis服务器的安全。

开场白：Redis的“裸奔”时代与防火墙的“救赎”

想象一下，你的Redis服务器就像一个赤身裸体的小朋友，毫无防备地暴露在互联网这个充满恶意窥视的“大澡堂”里。任何人只要知道你的IP地址和端口号，就能随意进出，查看、修改甚至删除你的数据，想想都让人菊花一紧😱！

这个时候，防火墙就如同及时赶到的“救生员”，为我们的小朋友穿上了一件坚实的“防弹衣”，抵御各种不怀好意的攻击。防火墙通过配置各种规则，就像设立了重重关卡，只允许特定的“好人”通过，把那些“坏人”拒之门外。

第一章：防火墙的基本概念与作用

在我们深入iptables和firewalld之前，先简单了解一下防火墙的基本概念。

• 什么是防火墙？

  防火墙，顾名思义，就是一道“防火的墙”。它是一种网络安全系统，用于监控和控制进出网络的流量，基于预先定义的规则集，决定是否允许或拒绝特定的网络连接。

• 防火墙的作用：

  • 访问控制： 限制哪些IP地址、端口号可以访问我们的服务器。
  • 防止恶意攻击： 阻止DDoS攻击、端口扫描等。
  • 隐藏内部网络： 隐藏服务器的真实IP地址和网络拓扑结构。
  • 审计与日志记录： 记录网络流量，方便排查问题。

第二章：iptables——“老兵不死，只是渐凋零”

iptables，这位“老兵”，曾经是Linux防火墙的霸主，江湖地位不可撼动。它基于内核的netfilter模块，通过配置各种规则，实现对网络流量的精细控制。

• iptables的原理：

  iptables把网络流量分为不同的“链”（chains），每个链包含一系列的“规则”（rules）。当一个网络包到达时，iptables会按照链的顺序，依次检查每个规则，如果匹配，则执行相应的动作（例如ACCEPT、DROP、REJECT）。

• iptables的常用命令：

  命令	描述
  iptables -L	查看当前防火墙规则。
  iptables -A	在指定链的末尾添加一条规则。
  iptables -I	在指定链的开头插入一条规则。
  iptables -D	删除指定链中的一条规则。
  iptables -F	清空指定链中的所有规则。
  iptables -P	设置指定链的默认策略（例如ACCEPT、DROP、REJECT）。
  iptables -S	显示 iptables 规则,可以重定向文件，方便备份
  iptables -t nat	指定操作的表，例如NAT表

• 配置Redis服务器的iptables规则：

  假设我们的Redis服务器IP地址是192.168.1.100，端口号是6379。

  1. 设置默认策略：

     为了安全起见，我们先设置默认策略为DROP，即默认拒绝所有流量。

     iptables -P INPUT DROP
     iptables -P OUTPUT ACCEPT
     iptables -P FORWARD DROP

     解释：

     • INPUT链：处理进入服务器的流量。
     • OUTPUT链：处理从服务器发出的流量。
     • FORWARD链：处理经过服务器转发的流量（例如作为路由器）。

  2. 允许来自特定IP地址的访问：

     假设我们只允许IP地址为192.168.1.200的客户端访问Redis服务器。

     iptables -A INPUT -s 192.168.1.200 -p tcp --dport 6379 -j ACCEPT

     解释：

     • -A INPUT：在INPUT链的末尾添加一条规则。
     • -s 192.168.1.200：指定源IP地址为192.168.1.200。
     • -p tcp：指定协议为TCP。
     • --dport 6379：指定目标端口号为6379。
     • -j ACCEPT：执行动作：允许通过。

  3. 允许本地回环接口的访问：

     Redis服务器自身也需要访问自己，所以需要允许本地回环接口的流量。

     iptables -A INPUT -i lo -j ACCEPT

     解释：

     • -i lo：指定接口为本地回环接口。

  4. 允许已经建立的连接：

     为了保证已经建立的连接能够正常通信，我们需要允许相关的流量。

     iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

     解释：

     • -m state：使用state模块，用于跟踪连接状态。
     • --state RELATED,ESTABLISHED：指定连接状态为RELATED（相关连接）或ESTABLISHED（已建立连接）。

  5. 保存iptables规则：

     iptables的规则默认保存在内存中，服务器重启后会丢失。我们需要将规则保存到文件中。

     # CentOS/RHEL
     service iptables save
     
     # Debian/Ubuntu
     iptables-save > /etc/iptables/rules.v4

     然后，我们需要配置系统启动时自动加载iptables规则。

     • CentOS/RHEL： 确保iptables服务已启用。

       systemctl enable iptables

     • Debian/Ubuntu： 在/etc/network/interfaces文件中添加以下内容。

       pre-up iptables-restore < /etc/iptables/rules.v4

• iptables的缺点：

  • 配置复杂： 命令行操作，需要记忆大量的参数，容易出错。
  • 可读性差： 规则列表难以理解，维护困难。
  • 动态性差： 修改规则需要手动操作，无法动态调整。

  正因为如此，firewalld应运而生，试图取代iptables的地位。

第三章：firewalld——“后生可畏，后来居上”

firewalld，这位“后起之秀”，是新一代的Linux防火墙管理工具。它基于“区域”（zone）的概念，简化了防火墙的配置和管理。

• firewalld的原理：

  firewalld将网络接口划分为不同的“区域”，每个区域都有自己的安全级别和规则集。当一个网络连接到达时，firewalld会根据连接的网络接口所属的区域，应用相应的规则。

• firewalld的常用命令：

  命令	描述
  firewall-cmd --state	查看firewalld的状态。
  firewall-cmd --get-default-zone	获取默认区域。
  firewall-cmd --set-default-zone=<zone>	设置默认区域。
  firewall-cmd --get-active-zones	获取当前活动的区域。
  firewall-cmd --list-all	列出当前区域的所有规则。
  firewall-cmd --list-all --zone=<zone>	列出指定区域的所有规则。
  firewall-cmd --add-port=<port>/<protocol> --zone=<zone> --permanent	允许指定端口的流量通过（永久生效）。
  firewall-cmd --remove-port=<port>/<protocol> --zone=<zone> --permanent	移除指定端口的允许规则（永久生效）。
  firewall-cmd --add-service=<service> --zone=<zone> --permanent	允许指定服务的流量通过（永久生效）。
  firewall-cmd --remove-service=<service> --zone=<zone> --permanent	移除指定服务的允许规则（永久生效）。
  firewall-cmd --add-source=<ip_address> --zone=<zone> --permanent	允许来自指定IP地址的流量通过（永久生效）。
  firewall-cmd --remove-source=<ip_address> --zone=<zone> --permanent	移除指定IP地址的允许规则（永久生效）。
  firewall-cmd --reload	重新加载firewalld配置，使更改生效。

• 配置Redis服务器的firewalld规则：

  同样，假设我们的Redis服务器IP地址是192.168.1.100，端口号是6379。

  1. 查看默认区域：

     firewall-cmd --get-default-zone

     通常，默认区域是public。

  2. 允许Redis端口的流量通过：

     firewall-cmd --add-port=6379/tcp --zone=public --permanent

     解释：

     • --add-port=6379/tcp：允许TCP协议的6379端口的流量通过。
     • --zone=public：指定应用到public区域。
     • --permanent：表示永久生效，重启后仍然有效。

  3. 允许来自特定IP地址的访问：

     firewall-cmd --add-source=192.168.1.200 --zone=public --permanent

     解释：

     • --add-source=192.168.1.200：允许来自192.168.1.200的流量通过。

  4. 重新加载firewalld配置：

     firewall-cmd --reload

     使更改生效。

  5. 查看当前区域的规则：

     firewall-cmd --list-all --zone=public

     确认规则是否生效。

• firewalld的优点：

  • 配置简单： 基于区域的概念，易于理解和使用。
  • 可读性强： 规则描述清晰，方便维护。
  • 动态性好： 可以动态添加、删除规则，无需重启服务。
  • 支持图形界面： 提供了图形界面管理工具firewall-config，更加友好。

• firewalld的缺点：

  • 学习成本： 需要学习新的概念和命令。
  • 性能损耗： 相比iptables，性能略有损耗。
  • 兼容性： 部分老旧系统可能不支持firewalld。

第四章：iptables与firewalld的对比与选择

特性	iptables	firewalld
配置方式	命令行，规则链	命令行/图形界面，区域
易用性	复杂，需要记忆大量参数	简单，易于理解和使用
可读性	差，规则列表难以理解	强，规则描述清晰
动态性	差，修改规则需要手动操作	好，可以动态添加、删除规则
性能	高	略低
兼容性	好，几乎所有Linux系统都支持	一般，部分老旧系统可能不支持
应用场景	对性能要求高，需要精细控制的场景	对易用性要求高，需要快速配置和管理的场景
适用人群	对Linux系统和网络协议有深入了解的专业人士	普通用户、系统管理员
使用难度	困难	简单

如何选择？

这就像选择兵器一样，没有绝对的好坏，只有适不适合。

• 如果你是Linux高手，对网络协议了如指掌，追求极致的性能和精细的控制，iptables仍然是你的不二之选。
• 如果你是普通用户或者系统管理员，对防火墙的配置不太熟悉，希望快速、简单地配置和管理防火墙，firewalld更适合你。

第五章：安全加固的“锦囊妙计”

仅仅配置防火墙还不够，我们还需要采取一些额外的措施，进一步加固Redis服务器的安全。

• 修改默认端口：

  将Redis的默认端口6379修改为其他端口，增加攻击者扫描的难度。

• 启用密码认证：

  设置Redis的密码，防止未经授权的访问。

  # redis.conf
  requirepass your_password

• 限制访问IP地址：

  在Redis的配置文件中，限制允许访问的IP地址。

  # redis.conf
  bind 127.0.0.1 192.168.1.100

• 禁用危险命令：

  禁用FLUSHALL、FLUSHDB、KEYS等危险命令，防止误操作或恶意攻击。

  # redis.conf
  rename-command FLUSHALL ""
  rename-command FLUSHDB ""
  rename-command KEYS ""

• 定期更新Redis版本：

  及时更新Redis版本，修复已知的安全漏洞。

• 使用SSL加密：

  启用SSL加密，防止数据在传输过程中被窃取。

尾声：安全之路，任重道远

各位朋友们，今天的讲座到这里就告一段落了。希望通过今天的讲解，大家能够对iptables和firewalld有更深入的了解，并能够熟练地运用它们，守护我们Redis服务器的安全。

但是，安全之路，任重道远。网络安全是一个不断演进的过程，我们需要不断学习新的知识，掌握新的技能，才能在这个充满挑战的世界里立于不败之地。

记住，安全不是一蹴而就的，而是一个持续改进的过程。让我们一起努力，打造一个更安全、更可靠的网络环境！

感谢大家的聆听！🙏

最后的彩蛋：

如果大家对iptables和firewalld还有什么疑问，或者想了解更多关于网络安全方面的知识，欢迎在评论区留言，我会尽力为大家解答。😊

希望这篇文章能够帮助到你，祝你编码愉快！🎉