要配置linux防火墙需先确认使用的是iptables还是firewalld。1.查看当前防火墙工具：运行systemctl status firewalld或systemctl status iptables确定；2.用firewalld开放端口：如添加80端口执行sudo firewall-cmd --permanent --add-port=80/tcp并重载；3.用iptables开放端口：如允许22端口执行sudo iptables -a input -p tcp --dport 22 -j accept及保存规则；4.常见问题排查顺序：检查服务监听、防火墙规则、其他安全策略。理解规则逻辑和保存机制是关键。
配置Linux防火墙其实不难，但得搞清楚自己用的是哪个工具。常见的两种是iptables和firewalld，它们的使用方式不太一样。先说结论：如果你用的是CentOS 7或更新版本，默认一般用的是firewalld；而老一点的系统可能还在用iptables。下面我分几个常用场景来说明怎么操作。
如何查看当前使用的防火墙工具？
你可以先运行以下命令看看有没有安装firewalld：
systemctl status firewalld
如果提示找不到服务，那可能是用的iptables。也可以检查是否有iptables服务在运行：
systemctl status iptables
确定好用的是哪个之后，再按对应的工具来配置。别混着用，容易出问题。
怎么用firewalld开放端口？
firewalld的好处是支持动态配置，不需要重启服务就能生效。比如你想让外部访问你的Web服务（80端口），可以这样操作：
sudo firewall-cmd --permanent --add-port=80/tcp sudo firewall-cmd --reload
上面第一条命令是永久添加规则，第二条是重新加载生效。如果不加--permanent，重启后规则就没了。
常见错误：忘了加协议（tcp/udp），或者没执行reload，改完没生效还以为写错了。
iptables怎么设置允许特定端口？
如果你还在用传统的iptables，比如在CentOS 6或者某些Debian系统上，可以用下面的方法添加规则。比如开放22端口SSH：
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT sudo iptables -A INPUT -j DROP
第一行是允许22端口进来的流量，第二行是默认拒绝其他所有入站请求。注意顺序很重要，因为iptables是按规则顺序匹配的。
保存配置也很关键，否则重启就没了：
sudo service iptables save
常见问题：为什么设置了规则还是不通？
这通常不是防火墙没配对，而是顺序写错了、没重载、或者被其他安全策略挡住了。比如：
- firewalld里开了80端口，但SELinux或者AppArmor拦了；
- iptables规则顺序不对，前面一条DROP直接把包丢了；
- 没有保存配置，重启后还原了；
- 用了docker等容器工具，自动修改了iptables规则。
遇到这种情况，建议一步步排查：先确认服务本身正常监听端口，再查防火墙是否放行，最后看是否有其他安全机制拦截。
基本上就这些。不管是用firewalld还是iptables，关键是理解规则的逻辑顺序和保存机制。别急着一顿操作，先想清楚要放哪些流量，再测试验证一遍，基本就不会出错。
