能否在Google VPC防火墙的CentOS 7实例上同时使用FirewallD？

核心结论 #

完全可以在GCP默认VPC防火墙的基础上为CentOS 7配置FirewallD，两者不会冲突，反而能形成多层防护体系，是针对你场景的合理方案。

为什么不会冲突？ #

GCP VPC防火墙是网络边界层的防护：所有进入VM的流量首先要经过VPC防火墙的过滤，只有符合规则的流量才能到达VM实例。
FirewallD是主机层的防护：到达VM的流量会再次经过FirewallD的规则校验，进一步过滤恶意流量。
两者属于不同层级的防护，执行顺序是VPC防火墙在前、FirewallD在后，不存在规则冲突的问题，反而能提升整体安全性。

实操注意事项 #

1. 对齐基础端口规则 #

确保FirewallD的放行规则和VPC防火墙保持一致，避免正常流量被误拦截：

• 比如VPC防火墙开放了80、443端口，需要在FirewallD的public zone中开启对应服务：

  firewall-cmd --permanent --zone=public --add-service=http
  firewall-cmd --permanent --zone=public --add-service=https
  firewall-cmd --reload
  

2. 适配Docker网络环境 #

因为你用Docker托管站点，需要确保FirewallD和Docker网络协同正常：

• 开启IP伪装，保证容器能正常联网：

  firewall-cmd --permanent --add-masquerade
  firewall-cmd --reload
  

• 不要手动修改FirewallD中自动生成的Docker相关链（比如docker-*前缀的链），否则可能破坏容器的网络连通性。

3. 高效管理IP黑名单 #

针对大量动态更新的黑名单IP，推荐用ipset配合FirewallD，比单条添加规则效率高得多：

1. 创建一个ipset存储黑名单IP：

   firewall-cmd --permanent --new-ipset=blacklist --type=hash:ip
   

2. 从整合后的IP文件导入黑名单：

   firewall-cmd --permanent --ipset=blacklist --add-entries-from-file=/path/to/your/blacklist.txt
   

3. 添加规则拒绝这个ipset的所有流量：

   firewall-cmd --permanent --zone=public --add-rich-rule='rule source ipset=blacklist drop'
   

4. 重载FirewallD生效：

   firewall-cmd --reload
   

• 后续更新黑名单时，只需更新文件后重新导入并重载即可，操作比修改VPC防火墙规则简便很多。

4. 日志与排查 #

开启FirewallD的拒绝日志，方便排查误拦截问题：

firewall-cmd --permanent --zone=public --set-log-denied=all
firewall-cmd --reload

日志默认会输出到/var/log/firewalld或系统syslog中，可通过日志验证规则是否生效。

5. 测试先行 #

建议先在测试VM上完成配置，验证正常站点访问、恶意IP拦截效果，确认无问题后再部署到生产环境。

额外优化建议 #

• 定期清理过期的黑名单IP，避免ipset过大影响防火墙性能；
• 可以结合fail2ban工具，自动抓取日志中的恶意访问行为并加入FirewallD黑名单，和Drupal的autoban模块形成自动化防护闭环；
• 监控FirewallD的规则状态和流量统计，及时调整规则。

内容的提问来源于stack exchange，提问作者sidgrafix