从CentOS 6到CentOS 7的防火墙迁移：双系统共存与无缝切换指南

当企业服务器环境同时存在CentOS 6和CentOS 7系统时，防火墙管理往往会成为系统管理员最头疼的问题之一。一边是熟悉的iptables脚本规则库，一边是firewalld带来的新概念和操作方式，这种技术断层常常导致运维效率下降和安全策略不一致。本文将带你深入理解两种防火墙的异同，并提供一套完整的迁移方案，让你在混合环境中游刃有余。

1. 技术演进与核心差异

1.1 从iptables到firewalld的进化之路

iptables作为Linux内核Netfilter的用户空间工具，已经服务了Linux系统近二十年。它的直接规则配置方式给予了管理员极大的灵活性，但也带来了几个显著问题：

• 规则管理复杂：随着业务增长，规则集可能变得庞大且难以维护
• 缺乏状态保存：重启后规则丢失是常见痛点
• 配置分散：规则可能分布在多个脚本中，缺乏统一视图

firewalld的出现正是为了解决这些问题。它本质上仍然是基于iptables/Netfilter，但引入了几个关键改进：

• 动态管理：无需重启服务即可应用配置变更
• 区域(zone)概念：根据网络环境预设不同安全级别
• 服务(service)抽象：用语义化的服务名替代端口号
• 运行时与永久配置分离：避免意外丢失生产配置

1.2 架构对比：底层相似，上层迥异

虽然操作方式不同，但两种防火墙共享相同的底层架构：

特性	iptables	firewalld
底层引擎	Netfilter	Netfilter
配置方式	直接规则	抽象服务
动态更新	不支持	支持
默认配置	空规则链	预定义zone/service
最佳适用场景	简单/专用环境	复杂/多变环境

理解这点很重要——你并不是在学习一个全新的防火墙，而是在掌握一种更高效的管理方式。

2. 混合环境管理策略

2.1 查看firewalld背后的iptables规则

firewalld虽然抽象了底层细节，但在调试时我们仍需要查看它生成的iptables规则：

# 查看firewalld生成的nat表规则
iptables -t nat -L -n --line-numbers

# 查看特定zone的规则（如public）
firewall-cmd --zone=public --list-all

一个典型的输出可能显示：

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources: 
  services: ssh dhcpv6-client
  ports: 80/tcp 443/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

2.2 双防火墙共存方案

在某些特殊场景下，你可能需要在CentOS 7上临时切换回iptables：

# 停止并禁用firewalld
systemctl stop firewalld
systemctl disable firewalld

# 安装iptables服务
yum install iptables-services -y

# 启用iptables
systemctl start iptables
systemctl enable iptables

注意：这种切换应该作为临时方案，长期混合使用可能导致规则冲突和安全漏洞。

3. 规则迁移实战指南

3.1 将iptables脚本转换为firewalld配置

假设你有一个典型的web服务器iptables规则：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT

对应的firewalld配置步骤：

1. 创建自定义zone（可选）：

   firewall-cmd --permanent --new-zone=webserver
   firewall-cmd --reload
   

2. 添加服务到zone：

   firewall-cmd --zone=webserver --add-service=http --permanent
   firewall-cmd --zone=webserver --add-service=https --permanent
   

3. 添加精细规则：

   firewall-cmd --zone=webserver --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept' --permanent
   

4. 应用配置：

   firewall-cmd --reload
   

3.2 常用端口操作对照表

以下是一些常见操作的两种实现方式对比：

操作需求	iptables命令	firewalld等效命令
开放TCP端口	iptables -A INPUT -p tcp --dport 8080 -j ACCEPT	firewall-cmd --add-port=8080/tcp --permanent
允许IP访问	iptables -A INPUT -s 192.168.1.100 -j ACCEPT	firewall-cmd --add-source=192.168.1.100 --permanent
端口转发	iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080	firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 --permanent
删除规则	iptables -D INPUT 3	firewall-cmd --remove-port=8080/tcp --permanent

4. 高级技巧与故障排查

4.1 使用nftables作为中间层

从CentOS 8开始，nftables逐渐取代iptables成为默认后端。理解这三者的关系很重要：

1. iptables：直接操作Netfilter钩子
2. firewalld：通过D-Bus接口管理规则
3. nftables：新一代的包过滤框架

查看当前使用的后端：

firewall-cmd --get-backend

4.2 常见问题解决方案

问题1：迁移后服务无法访问

• 检查zone是否正确分配给了接口：

  firewall-cmd --get-active-zones
  

• 验证服务是否已正确添加：

  firewall-cmd --list-services --zone=public
  

问题2：规则不生效

• 检查是否遗漏了--permanent参数
• 确认是否执行了firewall-cmd --reload
• 查看完整规则集：

  firewall-cmd --list-all-zones
  

问题3：需要调试复杂规则

• 使用--direct选项直接添加iptables规则：

  firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -p tcp --dport 9090 -j ACCEPT
  

• 查看生成的规则：

  iptables-save | grep 9090
  

在实际迁移过程中，我建议先在测试环境验证所有规则，特别是那些涉及NAT和复杂转发的配置。曾经有一个案例，由于忽略了firewalld默认zone的变更，导致生产环境网络中断了半小时。现在我会在每次重大变更前执行firewall-cmd --runtime-to-permanent保存当前运行配置作为回滚点。