在防火墙设置中配置白名单是一项重要的安全措施，它允许管理员指定哪些IP地址或端口可以访问特定的服务或资源。以下是一个详细的防火墙设置白名单的示例，包含步骤和注意事项：
防火墙设置白名单示例
场景描述
假设你负责管理一个服务器，该服务器运行着多个服务，包括Web服务（端口80和443）、数据库服务（端口3306）和应用程序接口（API，端口9089）。为了保障安全，你需要配置防火墙白名单，仅允许特定的IP地址访问这些服务。
步骤一：确认需要配置的端口和服务
首先，你需要确认服务器上运行的所有服务及其对应的端口。在本例中，我们将配置以下端口：
- Web服务：80（HTTP）、443（HTTPS）
- 数据库服务：3306（MySQL）
- API服务：9089
步骤二：登录防火墙管理界面
使用适当的工具（如PuTTY）以root用户身份登录服务器，并访问防火墙管理界面。
步骤三：关闭不必要的端口
为了确保安全，你应该先关闭服务器上所有不必要的端口。例如，如果当前服务器上没有运行任何需要5672端口的服务，你可以关闭该端口：
systemctl enable firewalld
systemctl start firewalld
firewall-cmd --set-default-zone=public
firewall-cmd --zone=public --remove-port=5672/tcp --permanent
步骤四：添加白名单规则
接下来，你需要为允许访问的IP地址添加白名单规则。假设你允许以下IP地址访问上述端口：
- 192.168.1.100（内部Web开发团队）
- 203.0.113.5（外部合作伙伴）
你可以使用以下命令添加规则：
允许192.168.1.100访问80和443端口
firewall-cmd --permanent --add-rich-rule=rule family=ipv4 source address=192.168.1.100 port protocol=tcp port=80 accept
firewall-cmd --permanent --add-rich-rule=rule family=ipv4 source address=192.168.1.100 port protocol=tcp port=443 accept
允许203.0.113.5访问3306和9089端口
firewall-cmd --permanent --add-rich-rule=rule family=ipv4 source address=203.0.113.5 port protocol=tcp port=3306 accept
firewall-cmd --permanent --add-rich-rule=rule family=ipv4 source address=203.0.113.5 port protocol=tcp port=9089 accept
步骤五：重新加载防火墙配置
每次添加或修改规则后，你需要重新加载防火墙配置以使更改生效：
firewall-cmd --reload
注意事项
1.谨慎操作：移除白名单中的端口可能会影响业务功能，因此在执行此类操作时应格外小心。
2.升级防火墙版本：建议将防火墙版本升级到最新版本，以确保所有配置都能正确生效。
3.监控和日志：定期监控防火墙日志，以检测任何未经授权的访问尝试。
4.综合安全策略：白名单只是安全策略的一部分，应结合其他安全措施（如加密、身份验证等）来提高整体安全性。
通过上述步骤，你可以有效地配置防火墙白名单，确保只有合法的IP地址能够访问服务器上的特定服务。
