| 加固项 | 敏感服务源限定 |
|---|---|
| 适用平台 | Linux（firewalld 0.3.9+） |
| 风险等级 | 高 |
| 基线 | SSH/DB 等仅指定网段可达 |
源网段放行
源网段放行
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.20.0.0/16" port port="22" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.20.30.0/24" port port="3306" protocol="tcp" accept'
firewall-cmd --reload
firewall-cmd --list-rich-rules同区域内富规则的求值顺序是 log → deny → allow（与书写顺序无关）：写一条对 0.0.0.0/0 的 drop 会连想放行的 accept 一并拒掉，限源场景要用区域 target 或只给 deny 限定小范围。