yum服务器要开哪个防火墙，yum服务器防火墙怎么配置

yum服务器需要开放HTTP或HTTPS服务端口，默认是80或443，如果使用FTP或rsync协议则对应开放21或873端口。

yum作为Linux系统上最常用的包管理工具，其服务器端本质就是一个文件下载服务器，无论是搭建本地仓库镜像，还是提供内部yum源，防火墙规则的核心就是确保客户端能够访问到仓库文件，下面从端口、场景到具体操作，彻底梳理清楚yum服务器的防火墙配置。

yum服务器防火墙到底要开哪个端口

yum服务器通过HTTP、HTTPS、FTP或本地文件系统对外提供仓库文件，绝大多数企业环境使用HTTP或HTTPS，因为配置简单且兼容性最好，端口对应关系如下：

• HTTP/HTTPS 是最主流的选择，防火墙只需开放对应端口。
• 如果仓库使用了自定义端口,比如8080或8443，则需要按实际端口开放。
• 防火墙规则不仅要放行TCP端口,还要确保没有其他规则拦截相关流量。

核心结论：先确认yum仓库的baseurl或mirrorlist指向的URL，根据协议确定端口，然后在防火墙中放行该端口。

不同网络环境下的yum仓库防火墙策略

内网yum仓库防火墙设置

内网环境通常有较高的信任度,但依然需要最小权限原则，配置策略时重点考虑两点：

• 只开放必要端口：仅放行HTTP（80）或HTTPS（443），如果仓库只服务内网，完全不开放外网访问。
• 限制来源IP：使用firewalld的source功能或iptables的source匹配，只允许特定网段访问。

示例命令（firewalld）：

firewall-cmd --permanent --add-source=192.168.1.0/24
firewall-cmd --permanent --add-service=http
firewall-cmd --reload

• 先添加来源网段,再添加服务，确保只有该网段能访问HTTP端口。



• 如果使用iptables,可以写一条规则只允许特定IP访问80端口。

场景描述：假设公司内部办公网段为10.0.0.0/8，开发测试服务器网段为172.16.0.0/12，yum仓库服务器只对内提供服务，此时防火墙规则应只放行这两个网段对80端口的访问，拒绝其他所有来源。

外网yum源服务器安全加固

如果yum仓库需要对外公开,比如提供开源镜像服务，防火墙策略必须更严格。

• 强制使用HTTPS：外网传输必须加密，防止中间人篡改，所以开放443端口。
• 限制访问频率：使用防火墙的limit模块或额外的工具，防止恶意请求。
• 白名单策略：如果服务对象是已知的客户端IP，可以只允许这些IP访问。

常见做法：

• 在firewalld中设置rich-rule，

  firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="1.2.3.4/32" port protocol="tcp" port="443" accept'

• 对于大规模对外服务,通常配合反向代理和CDN，防火墙只对代理节点开放。

行业共识：多数外网yum源服务器会同时开放80和443，但80端口会重定向到443，以保障安全，防火墙层面，80端口只允许重定向流量，真正数据走443。

firewalld还是iptables：对比选择

两个工具没有本质优劣,但使用场景不同：

• 建议：CentOS 7及以上系统直接使用firewalld，符合现代管理习惯。
• 如果服务器上iptables rules有大量历史规则，继续使用iptables也没问题，但注意维护清晰。

实操要点：无论使用哪种工具，最终效果一致，关键是要确保规则生效，并且在重启后依然保留。

手把手配置yum服务器防火墙规则

使用firewalld开放端口

firewalld是主流推荐,步骤清晰：

1. 查看当前默认区域：

   firewall-cmd --get-default-zone

   通常是public。

2. 永久开放HTTP服务：

   firewall-cmd --permanent --add-service=http

   如果需要开放HTTPS：

   firewall-cmd --permanent --add-service=https

3. 如果使用自定义端口,比如8080：

   firewall-cmd --permanent --add-port=8080/tcp

4. 重新加载规则：

   firewall-cmd --reload

5. 验证规则：

   firewall-cmd --list-all

   输出中应能看到services: http或ports: 8080/tcp。

注意：如果yum仓库使用了非标准端口，务必同时检查SELinux，确保httpd相关的布尔值开放。

使用iptables配置yum服务器规则

对于老系统或需要精细控制的场景,iptables是经典方案：

1. 添加放行规则：

   iptables -A INPUT -p tcp --dport 80 -j ACCEPT
   iptables -A INPUT -p tcp --dport 443 -j ACCEPT

2. 限制来源IP（例如只允许192.168.1.0/24访问80端口）：

   iptables -A INPUT -p tcp --dport 80 -s 192.168.1.0/24 -j ACCEPT
   iptables -A INPUT -p tcp --dport 80 -j DROP

   注意顺序,先放行特定IP，再拒绝其他。

3. 保存规则（不同发行版命令不同）：

   service iptables save   # 或
   iptables-save > /etc/iptables/rules.v4

4. 查看规则：

   iptables -L -n -v

关键点：iptables规则有顺序，放行规则必须放在拒绝规则之前，如果默认策略是DROP，要确保放行规则在INPUT链顶部。

验证防火墙规则是否生效

配置完成后,使用客户端测试：

• 从客户端机器使用curl或telnet测试端口：

  

  curl -I http://yum-server-ip/
  telnet yum-server-ip 80

  如果返回正常,说明防火墙已放行。

• 检查防火墙日志（firewalld）：

  journalctl -u firewalld | grep DENY

  如果看到拒绝日志,说明规则未正确放行。

• 对于iptables,可以监控计数器：

  iptables -L -v -n

  看放行规则下方是否有匹配数据包。

yum客户端连不上服务器？先查防火墙

客户端无法连接yum仓库时,排除顺序：

1. 确认客户端能ping通服务器IP。
2. 从客户端用telnet或curl测试服务器端口。
3. 登录服务器,检查防火墙状态：
   • firewalld：systemctl status firewalld
   • iptables：service iptables status
4. 查看是否有其他软件防火墙（如ufw、云平台安全组）干扰。
5. 检查SELinux是否阻止httpd访问文件：

   setsebool -P httpd_read_user_content 1

6. 如果问题依旧,查看服务器httpd或nginx错误日志。

大部分情况是防火墙忘记开放端口，或者开放了但云平台安全组未放行，越来越多的企业使用云服务器，安全组是额外的过滤层，必须同时配置。

yum服务器防火墙配置常见问题

yum服务器需要开放哪些端口？

取决于仓库协议,HTTP开放80，HTTPS开放443，FTP开放21，rsync开放873，如果使用自定义端口，按实际配置开放。建议始终使用HTTP或HTTPS，端口固定，易于管理。

内网yum仓库防火墙怎么设置？

开放80端口,并使用source限制仅内网网段可访问，例如firewalld中先添加source再添加service，或者iptables中针对源IP放行。不要开放0.0.0.0/0，避免不必要的暴露。

yum服务器防火墙规则配置后不生效怎么办？

检查防火墙服务是否在运行,规则是否已reload，永久规则是否已写入，对于firewalld，确认使用–permanent后执行了–reload，对于iptables，确认规则已保存并重启后依然存在，同时查看云平台安全组是否拦截，selinux是否阻止。如果以上都正常，检查客户端本地防火墙是否阻止出站。