这是防火墙正常工作的表现，目的是为了保护服务器免受恶意攻击和未授权访问。
1、防御网络攻击
DDoS/CC攻击攻击者使用大量虚假或傀儡计算机向您的服务器发送海量请求，试图耗尽服务器资源（如带宽、CPU、内存），防火墙（尤其是云服务商提供的高防服务）会识别这种异常流量并自动拦截攻击源IP。
端口扫描黑客使用工具扫描服务器开放的端口，寻找潜在漏洞，防火墙可以检测到这种密集的、试探性的连接请求并封锁扫描者的IP。
暴力破解针对SSH（22端口）、远程桌面（3389端口）、数据库（3306端口）等服务，攻击者尝试用大量的用户名和密码组合进行登录，防火墙可以设定规则，当同一IP在短时间内登录失败次数过多时，自动封禁该IP一段时间。
2、阻止恶意访问
访问恶意网站/服务器如果服务器本身中毒（例如被植入木马），它可能会向外部的恶意服务器发送数据或请求指令，防火墙可以设置出站规则，阻止服务器访问这些已知的恶意IP或域名。
入侵防御系统（IPS）高级防火墙能识别具体的攻击Payload（载荷），它能检测到SQL注入、跨站脚本（XSS）、远程代码执行等攻击代码，并立即中断该连接。
3、执行访问控制策略
最小权限原则这是安全最佳实践，防火墙只开放绝对必要的端口，其他所有端口默认拒绝。
* Web服务器通常只开放80（HTTP） 和443（HTTPS）。
* 管理服务器只对特定的、可信的管理IP地址开放22（SSH） 或3389（RDP）。
* 任何尝试访问未开放端口（如关闭的FTP端口21、不必要的数据库端口3306）的行为都会被防火墙拒绝。
二、 配置问题原因（导致“误伤”或服务中断）
这些情况通常是由于管理员的配置错误或疏忽，导致防火墙阻止了正常的、合法的流量。
1、规则配置错误
错误的IP地址/网段在设置白名单时，错误地输入了IP地址或子网掩码，导致合法的用户或系统（如CDN、监控系统、API合作伙伴）被拒绝访问。
端口开放遗漏部署了新应用（例如新的数据库服务、新的API端口）后，忘记在防火墙中开放相应的端口，导致应用无法被正常访问。
规则顺序错误防火墙规则是按从上到下的顺序匹配的，如果一条拒绝所有的规则放在了一条允许特定IP的规则之上，那么允许规则永远不会生效。
2、过于严格的策略
地域封锁设置了只允许某个国家或地区的IP访问，但公司有海外员工或客户需要访问，导致他们被拦截。
协议限制过严限制了某些特定的网络协议，可能会影响一些正常应用的功能。
3、软件防火墙 vs 硬件/云防火墙的冲突
* 服务器上可能同时存在云防火墙（如阿里云安全组、AWS安全组）、硬件防火墙（公司网络出口）和软件防火墙（如Linux的iptables/firewalld、Windows防火墙），如果这几者之间的规则配置不一致或相互冲突，就会导致难以排查的网络连通性问题。
4、应用程序行为变更
* 应用程序更新后，可能会使用新的端口或与新的外部服务（IP地址）通信，如果防火墙规则没有随之更新，就会阻断这些新的合法连接。
当遇到网络连接问题时（如“无法连接”、“连接超时”），可以按照以下思路排查：
1、明确现象：是全部用户无法访问，还是特定地区/IP的用户无法访问？是某个特定端口无法访问，还是所有端口都不行？
2、检查云平台安全组：登录您的云服务商控制台，检查服务器关联的安全组规则，确保已放行所需端口和源IP。
3、检查服务器内部防火墙：
Linux使用systemctl status firewalld（或ufw status）查看状态，使用firewall-cmd --list-all 查看详细规则，临时关闭防火墙进行测试（生产环境慎用）：systemctl stop firewalld。
Windows在“控制面板”或“设置”中找到“Windows Defender 防火墙”，检查“高级设置”中的入站/出站规则。
4、使用网络工具诊断：
telnet [IP] [端口]测试到服务器特定端口的TCP连接是否通畅，如果无法连接，很可能是防火墙拦截了。
traceroute（Linux）或tracert（Windows）追踪数据包路径，看在哪一跳中断，可以帮助判断是网络问题还是目标服务器防火墙问题。
5、查看防火墙日志：这是最直接的方式！无论是云安全组还是系统内部的防火墙，通常都有详细的日志功能，查看日志可以清晰地看到是哪个IP、在什么时间、访问哪个端口被DROP（丢弃）或REJECT（拒绝）了，以及拒绝的原因是什么。
总结来说，服务器防火墙发挥作用主要有两类原因：
1、好的原因：它正在积极地、有效地履行其职责，保护您的服务器免受黑客、病毒和网络攻击的侵害。
2、坏的原因：由于人为配置错误或疏忽，错误地阻止了合法的流量，导致了业务中断。
遇到问题时，查看防火墙日志是定位问题根源最快最准确的方法，如果不确定，建议联系您的服务器管理员或云服务商的技术支持。
文章摘自：https://idc.huochengrm.cn/js/15376.html
评论