在CentOS系统中，firewalld富规则（rich rules）是应对特定网络攻击的关键工具，它允许管理员基于源IP、端口、协议甚至时间等精细条件来定制防火墙策略，直接拦截如DDoS、端口扫描或恶意IP访问等威胁。例如，当服务器遭受来自某个IP段的SYN洪水攻击时，你可以通过一条富规则立即封锁该IP段的所有流量，而无需关闭整个端口服务。下面我将详细解释如何配置这些规则来防御常见攻击类型。
理解firewalld富规则的基础结构
firewalld富规则使用一种类似自然语言的语法，通过XML格式定义，其核心元素包括源地址（source）、目标地址（destination）、端口（port）、协议（protocol）和动作（action）。例如，一条基本规则可能指定从特定IP访问SSH端口的行为。在CentOS 7及以上版本中，firewalld默认集成，你可以通过命令行工具firewall-cmd来管理规则。富规则的优势在于它能组合多个条件，实现比普通区域（zone）规则更精准的控制，比如只允许办公网络在上班时间访问数据库端口，从而减少攻击面。
拦截DDoS攻击：限制连接速率和封锁IP段
DDoS攻击往往通过大量请求淹没服务器，导致服务瘫痪。使用firewalld富规则，你可以设置连接速率限制来缓解这种攻击。例如，针对HTTP服务（端口80），你可以限制每个IP地址每分钟最多建立10个新连接，超出部分将被丢弃。这能有效减缓洪水流量，同时保持正常用户的访问。配置命令如下：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="80" protocol="tcp" limit value="10/m" accept'
这条规则允许来自192.168.1.0/24网段的TCP连接，但每分钟不超过10次。对于更激进的攻击，你可以直接封锁恶意IP段：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" drop'
这会将所有来自10.0.0.0/8的流量丢弃，适用于已知的攻击源。注意，规则添加后需重载生效：firewall-cmd --reload。
防御端口扫描：隐藏服务并记录可疑尝试
端口扫描是攻击者探测服务器漏洞的前奏，firewalld富规则可以通过记录和拦截扫描行为来应对。你可以设置规则，当某个IP在短时间内尝试连接多个端口时，自动将其加入黑名单。例如，记录所有被拒绝的SSH连接尝试：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="0.0.0.0/0" port port="22" protocol="tcp" log prefix="ssh_denied" level="notice" reject'
这条规则会拒绝SSH连接，并在系统日志中标记为"ssh_denied"，方便后续分析。结合日志监控工具，你可以快速识别扫描模式。此外，通过限制端口暴露，例如只允许可信IP访问管理端口，能进一步降低扫描风险。
阻止恶意IP访问：基于时间和协议的精细控制
对于持续攻击的特定IP，firewalld富规则支持时间条件，增强拦截灵活性。假设攻击常在夜间发生，你可以设置规则在晚上10点到早上6点封锁某个IP：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.5" service name="http" time start="22:00" stop="06:00" drop'
这条规则在指定时间段内丢弃来自203.0.113.5的HTTP流量。同时，针对协议层面的攻击，如ICMP洪水（ping攻击），你可以限制ICMP请求速率：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" protocol value="icmp" limit value="5/s" accept'
这每秒只接受5个ICMP包，超出部分被忽略。这种精细控制确保服务器资源不被耗尽。
应对应用层攻击：结合服务和模块增强安全
firewalld富规则不仅处理网络层攻击，还能通过集成服务模块防御应用层威胁，如SQL注入或暴力破解。例如，对于MySQL数据库，你可以限制连接频率并只允许内部网络访问：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="3306" protocol="tcp" limit value="20/m" accept'
这每分钟最多接受20个来自192.168.1.100的MySQL连接。对于Web应用，结合mod_security等工具，firewalld可以前置过滤恶意HTTP请求，但需注意富规则本身不解析应用数据，因此最好作为多层防御的一部分。
管理和优化富规则的最佳实践
为确保规则高效且不影响性能，建议定期审计和清理。使用firewall-cmd --list-rich-rules查看当前规则，并按攻击类型分类管理。例如，将DDoS规则分组到单独区域（如"external"区域），并通过脚本自动化更新。此外，避免规则冲突：firewalld按顺序处理规则，因此应将具体规则（如封锁单个IP）放在通用规则之前。监控日志文件/var/log/firewalld来评估规则效果，并根据攻击趋势调整策略。记住，富规则是动态工具，在测试环境中验证后再部署到生产服务器至关重要。
总结：构建主动防御体系
CentOS的firewalld富规则提供了一种灵活、强大的方式来拦截特定网络攻击，从DDoS到端口扫描，都能通过精细配置实现主动防御。关键在于结合连接限制、IP封锁和时间控制等多维条件，并持续监控优化。作为系统管理员，掌握这些规则不仅能提升服务器安全，还能减少误封正常流量的风险。在实际应用中，将firewalld与其他安全工具（如IDS/IPS）结合，可构建更全面的防护网，确保服务稳定运行。
