Linux系统如何关闭防火墙？

在Linux系统中,防火墙是保障系统安全的重要屏障，用于控制进出网络的流量，防止未授权访问和恶意攻击，在某些特定场景下（如内网环境测试、临时调试服务或安全策略配置），可能需要临时关闭防火墙，需要注意的是，关闭防火墙会使系统暴露在潜在的安全风险中，因此操作前务必确认环境的安全性，并建议在完成操作后尽快重新启用防火墙，本文将针对主流Linux发行版（如CentOS/RHEL、Ubuntu/Debian等）的防火墙工具，详细介绍关闭方法及注意事项。

CentOS/RHEL系统：使用firewalld关闭防火墙

CentOS 7及以上版本和RHEL系统默认使用firewalld作为防火墙管理工具，它支持动态规则更新、区域（Zone）管理等高级功能，关闭firewalld需分“临时关闭”和“永久关闭”两种情况，操作步骤如下：

检查防火墙状态

在关闭前,可通过以下命令确认firewalld的运行状态：

systemctl status firewalld

若输出显示“active (running)”，则表示防火墙正在运行；若显示“inactive (dead)”，则已关闭。

临时关闭（当前会话生效，重启后自动恢复）

systemctl stop firewalld

执行后,firewalld服务立即停止，所有防火墙规则失效，允许所有流量通过，但系统重启后，firewalld会随服务自动启动，恢复默认规则。

永久关闭（禁用开机启动，当前关闭且重启后不启动）

若需彻底关闭（不推荐长期使用），可执行以下命令：

systemctl disable firewalld --now

--now参数会同时停止当前运行的服务并禁用开机启动，仅执行systemctl disable firewalld则仅禁用开机启动，当前服务仍需手动停止。

注意事项

• 关闭firewalld后，系统所有端口（如SSH、HTTP等）将直接暴露，若需临时开放特定端口，建议使用firewall-cmd --add-port=端口号/协议 --permanent添加规则，而非直接关闭防火墙。
• 若后续需重新启用,可通过systemctl enable firewalld --now启动并设置开机自启。

Ubuntu/Debian系统：使用iptables或ufw关闭防火墙

Ubuntu和Debian系统的防火墙工具因版本不同而有所差异：Ubuntu 18.04及以下版本默认使用iptables，18.04以上版本默认使用ufw（Uncomplicated Firewall，简化版防火墙）。

（一）使用ufw关闭（Ubuntu 18.04+推荐）

ufw是iptables的前端工具，操作更简单，适合新手。

检查防火墙状态

ufw status

输出可能为“Status: active”（启用）或“Status: inactive”（禁用）。

临时关闭

ufw disable

执行后,ufw立即停止，所有规则失效，重启后仍会保持禁用状态（与firewalld不同，ufw的“禁用”是永久性的，除非手动启用）。

重新启用

若需恢复防火墙,执行：

ufw enable

（二）使用iptables关闭（Ubuntu 18.04及以下版本）

iptables是Linux内核的经典防火墙工具，规则更灵活，但操作相对复杂。

检查防火墙规则

iptables -L -n -v

若链（如INPUT、OUTPUT）的默认策略（Policy）为“ACCEPT”且无规则限制，则防火墙未生效；若为“DROP”或“REJECT”，则表示已启用。

临时关闭（清空规则并设置默认策略为ACCEPT）

关闭iptables需清空所有规则并设置默认允许策略：

# 清空所有链的规则
iptables -F
# 删除用户自定义链
iptables -X
# 设置默认策略为允许所有流量
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

执行后,iptables规则立即失效，但重启后会恢复原有规则（需通过保存命令实现永久关闭）。

永久关闭（保存规则使其重启后生效）

Ubuntu中,iptables规则需手动保存到配置文件：

iptables-save > /etc/iptables/rules.v4

然后编辑该文件,将所有链的默认策略改为“ACCEPT”，并清空规则，或直接删除文件（重启后iptables会使用默认策略，通常为允许所有流量）。

注意事项

• ufw和iptables不建议同时使用，可能造成规则冲突。
• 临时关闭仅适用于测试场景,长期关闭会大幅降低系统安全性。

其他发行版：使用nftables关闭

openSUSE、Fedora等新版本系统可能采用nftables（iptables的替代品，支持更现代的语法），关闭方法如下：

检查状态

systemctl status nftables

临时关闭

systemctl stop nftables

永久关闭

systemctl disable nftables --now

手动清空规则（临时关闭的替代方法）

nft flush ruleset

此命令会立即清空所有nftables规则，但重启后仍会从配置文件恢复。

不同发行版防火墙关闭命令总结

为方便查阅,以下表格总结了主流发行版对应的防火墙工具及关闭命令：

关闭防火墙的安全风险

关闭防火墙相当于移除了系统的“安全门禁”，可能导致以下风险：

1. 未授权访问：攻击者可直接扫描并开放系统端口，获取敏感数据（如SSH、数据库端口）。
2. 恶意攻击：系统易受DDoS攻击、病毒入侵、勒索软件等威胁。
3. 合规性问题：若系统用于生产环境或需满足安全合规要求（如等保），关闭防火墙将违反安全策略。

除非在绝对安全的环境（如完全隔离的内网测试机），否则不建议长期关闭防火墙，若必须关闭，请确保：

• 系统位于受信任的内网,不暴露在公网。
• 仅开放必要的服务端口,并使用iptables或firewalld的端口限制功能替代全局关闭。

相关问答FAQs

Q1：关闭防火墙后如何重新开启？

A：不同发行版需使用对应工具重新启用防火墙：

• CentOS/RHEL（firewalld）：systemctl enable firewalld --now
• Ubuntu 18.04+（ufw）：ufw enable
• Ubuntu 18.04及以下（iptables）：通过iptables-restore < /etc/iptables/rules.v4恢复规则，或手动添加必要规则后保存。
• openSUSE/Fedora（nftables）：systemctl enable nftables --now

Q2：为什么关闭防火墙后某些服务仍然无法访问？

A：即使防火墙关闭，服务无法访问可能由以下原因导致：

1. 服务未启动：检查服务状态，如systemctl status nginx（Web服务）或systemctl status ssh（SSH服务），确保服务正在运行。
2. 端口未监听：使用netstat -tuln | grep 端口号或ss -tuln | grep 端口号，确认服务是否正确监听目标端口（如Nginx默认监听80端口）。
3. 网络策略限制：若系统位于云服务器（如阿里云、AWS），需检查云平台的安全组规则，确认是否已开放对应端口（云安全组相当于“云端防火墙”，需手动配置）。
4. SELinux/AppArmor限制：CentOS的SELinux或Ubuntu的AppArmor可能限制服务访问，可临时关闭（如setenforce 0）或调整策略，而非关闭防火墙。

通过以上方法,可根据不同Linux发行版安全关闭防火墙，但再次强调，操作前务必评估风险，并在完成后尽快恢复防火墙配置，确保系统安全。