需先确认iptables或firewalld服务状态及规则是否为空，再按工具分别配置：iptables清空规则、设默认策略为DROP、放行回环与已建立连接、保存规则；firewalld则启用服务、设置默认区域、添加服务或端口并重载。

如果您在Linux系统中需要对网络流量进行控制，但尚未配置防火墙规则，则可能是由于iptables或firewalld服务未启用、规则为空或服务状态异常。以下是针对iptables与firewalld两种主流防火墙工具的基础配置说明：

一、确认当前使用的防火墙工具

Linux发行版默认采用的防火墙管理工具可能不同：CentOS 7及以后版本、RHEL 7+ 默认使用firewalld；而较老系统或手动部署环境常直接使用iptables。需先识别当前活跃的防火墙服务，避免规则冲突或重复配置。

1、执行命令 systemctl list-unit-files | grep -E "(iptables|firewalld)" 查看服务启用状态。

2、运行 systemctl status firewalld 和 systemctl status iptables 分别检查两者运行状态。

3、使用 iptables -L -n 查看当前iptables规则链是否为空或存在残留规则。

4、执行 firewall-cmd --state 判断firewalld是否正在运行。

二、iptables基础规则配置

iptables是基于内核Netfilter框架的命令行防火墙工具，通过定义链（INPUT、OUTPUT、FORWARD）和规则匹配数据包。所有规则按顺序逐条匹配，一旦命中即执行对应动作，后续规则不再处理。

1、清空现有规则：执行 iptables -F 清除所有链中的规则。

2、设置默认策略为DROP：运行 iptables -P INPUT DROP、iptables -P FORWARD DROP、iptables -P OUTPUT DROP。

3、允许本地回环通信：输入 iptables -A INPUT -i lo -j ACCEPT。

4、允许已建立连接的响应流量：执行 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT。

5、保存规则至开机生效：在CentOS/RHEL中使用 service iptables save；在Debian/Ubuntu中需安装iptables-persistent并运行 iptables-save > /etc/iptables/rules.v4。

三、firewalld区域与服务配置

firewalld采用动态管理模型，通过“区域（zone）”划分网络信任等级，并以“服务（service）”封装常用端口组合。默认区域为public，适用于不可信网络环境。

1、启动并启用firewalld服务：执行 systemctl start firewalld 后立即运行 systemctl enable firewalld。

2、查看当前默认区域：运行 firewall-cmd --get-default-zone。

3、将SSH服务加入默认区域：输入 firewall-cmd --add-service=ssh --permanent。

4、开放自定义端口（如8080）：执行 firewall-cmd --add-port=8080/tcp --permanent。

5、重载配置使永久规则生效：运行 firewall-cmd --reload。

四、禁用firewalld并启用iptables

若系统同时安装了firewalld与iptables，且需统一使用iptables管理，必须先停用firewalld以防止其覆盖或干扰iptables规则。

1、停止firewalld服务：执行 systemctl stop firewalld。

2、禁用firewalld开机自启：运行 systemctl disable firewalld。

3、安装iptables-services（RHEL/CentOS）：使用 yum install iptables-services。

4、启动iptables服务：输入 systemctl start iptables。

5、启用iptables开机自启：执行 systemctl enable iptables。

五、验证防火墙规则生效情况

无论使用iptables还是firewalld，均需通过实际连接测试验证规则是否按预期放行或拦截流量，避免因策略过于严格导致远程管理中断。

1、检查iptables当前规则列表：运行 iptables -L -n -v 查看各链匹配计数。

2、查询firewalld当前开放的服务：执行 firewall-cmd --list-services。

3、查看firewalld当前开放的端口：输入 firewall-cmd --list-ports。

4、从外部主机尝试telnet目标IP及关键端口（如22、80）：观察连接是否被拒绝或超时。

5、在服务器本地执行 ss -tuln | grep :端口号 确认对应端口确有程序监听。