如何配置 Linux 防火墙实现多租户间的网络隔离策略-linux运维-PHP中文网

linux防火墙实现多租户网络隔离的核心是将租户身份（接口/ip/命名空间）与策略显式绑定，而非堆砌规则；具体分为四类：firewalld区域分组、nftables标记控制、netns独立协议栈、vrf+策略路由联动，均需开启ip转发并确保接口启用。

如何配置 linux 防火墙实现多租户间的网络隔离策略

Linux 防火墙实现多租户网络隔离，核心不是“加一堆规则”，而是建立按租户边界组织的流量控制逻辑。关键在于把租户身份（接口、IP段、命名空间）与策略规则显式绑定，避免策略混杂、误放行或漏隔离。以下从实操角度分四类主流方式说明：

PyCharm 2026.2.0.1 Linux版

PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。

下载

一、用 firewalld 区域（Zone）做租户级逻辑分组
firewalld 的区域本质是“信任等级+规则模板”，适合租户数量适中、网络拓扑清晰的场景。

把每个租户的网卡或子网分配到独立区域：
firewall-cmd --permanent --zone=tenant-a --change-interface=eth0.10
firewall-cmd --permanent --zone=tenant-b --change-interface=eth0.20
清空各区域默认服务，只开放租户必需项：
firewall-cmd --permanent --zone=tenant-a --remove-service=ssh
firewall-cmd --permanent --zone=tenant-a --add-port=8080/tcp
禁止跨区域转发（最关键的隔离动作）：
firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -i eth0.10 -o eth0.20 -j DROP
firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -i eth0.20 -o eth0.10 -j DROP
所有区域 FORWARD 默认策略设为 DROP，再按需 ACCEPT 出向公网或管理通道。

二、用 nftables 实现细粒度租户路由与状态控制
当租户间存在复杂互通需求（如部分 API 调用）、或需结合 VRF 使用时，nftables 更灵活。

在 inet filter 表中定义租户入口标记：
nft add rule inet filter forward iifname "eth0.10" meta mark set 0x100
nft add rule inet filter forward iifname "eth0.20" meta mark set 0x200
基于标记执行隔离或转发：
nft add rule inet filter forward meta mark 0x100 oifname "eth0.20" drop
nft add rule inet filter forward meta mark 0x200 ct state established,related accept
对外 NAT 也按租户区分：
nft add rule ip nat postrouting ip saddr 192.168.10.0/24 oifname "eth1" masquerade

三、结合网络命名空间（netns）与 iptables/nftables
适用于容器化或多进程租户，每个租户拥有独立协议栈和防火墙上下文。

创建租户 netns 并配置 veth 连通：
ip netns add tenant-a
ip link add veth-a type veth peer name veth-a-br
ip link set veth-a netns tenant-a
在 netns 内单独配置防火墙：
ip netns exec tenant-a iptables -P FORWARD DROP
ip netns exec tenant-a iptables -A FORWARD -i veth-a -o br0 -m state --state ESTABLISHED,RELATED -j ACCEPT
主机侧仅控制 veth-br 接口进出，不干预 netns 内部规则。

四、VRF + 策略路由 + 防火墙联动（高隔离强度场景）
当租户需完全独立路由表、且物理接口复用时（如共享网卡），VRF 是底层基础。

创建 VRF 并绑定接口：
ip link add vrf-tenant-a type vrf table 100
ip link set dev eth0.10 master vrf-tenant-a
启用该 VRF 的转发与反向路径检查宽松模式：
sysctl -w net.ipv4.conf.eth0.10.forwarding=1
sysctl -w net.ipv4.conf.all.rp_filter=2
在 VRF 上运行防火墙（nftables 或 iptables）：
ip vrf exec vrf-tenant-a nft -f /etc/nftables-tenant-a.conf
注意：VRF 本身不带防火墙，必须配合 ip vrf exec 启动规则引擎，否则流量绕过策略。