CSF是国外一家小公司开发的linux系统免费防火墙，它基于iptables工作，能有效缓解服务器压力，具有自动屏蔽暴力破解密码IP、管理开放端口、免疫轻量DDos和CC等等功能，同时，安装和使用也极为简便，在我们常用的DA和CP面板还有图形化操作界面，也支持个人普通用户安装于LNMP环境下使用。
yum install perl-libwww-perl perl iptables
第1步：下载CSF源存档
从它的官方网站下载最新的档案CSF的源代码。然后提取源代码。
# cd /opt
# wget http://www.configserver.com/free/csf.tgz
# tar xzf csf.tgz
第2步：安装CSF
CSF提供和bash脚本轻松的在任何操作系统上安装。这个脚本自动检测您的操作系统，并安装CSF。运行install.sh脚本。
# cd /opt/csf
# sh install.sh
第3步：测试iptables模块
运行csftest.pl perl脚本，以验证是否所有所需的iptables模块系统，使上安装是正常的工作。
# perl /usr/local/csf/bin/csftest.pl
Testing ip_tables/iptable_filter...OK
Testing ipt_LOG...OK
Testing ipt_multiport/xt_multiport...OK
Testing ipt_REJECT...OK
Testing ipt_state/xt_state...OK
Testing ipt_limit/xt_limit...OK
Testing ipt_recent...OK
Testing xt_connlimit...OK
Testing ipt_owner/xt_owner...OK
Testing iptable_nat/ipt_REDIRECT...OK
Testing iptable_nat/ipt_DNAT...OK
RESULT: csf should function on this server
第4步：启用和重新启动CSF
在系统上成功安装CSF后，您需要更改按照csf.conf设置，启用CSF。
# vim /etc/csf/csf.conf
TESTING=0
现在重新启动防火墙CSF重新加载，使用下面的命令加载新的变化。
# cd /etc/csf
# csf -r
CSF配置文件地址：/etc/csf/csf.conf
白名单：/etc/csf/csf.allow
黑名单：/etc/csf/csf.deny
主要的配置信息，在csf.conf中，包括常用的端口开放，各项设定完成后，将测试模式关闭(TESTING = "0").
卸载CSF:
cd /etc/csf
sh uninstall.sh
防止DDOS攻击
配置CSF + LDF以防止服务器的DDOS攻击。要启用它下面的设置，编辑/etc/csf/csf.conf和更新。
总数从单个主机允许的连接。要禁用此功能，将此设置为0
CT_LIMIT = "20"
在几秒钟内连接跟踪时间间隔。
CT_INTERVAL = "30"
每个发送的电子邮件警报封IP。
CT_EMAIL_ALERT =1
设置为1来阻止IPS永久性的。
CT_PERMANENT = 1
如果您选择了CT临时IP块，再下面是区间 以秒为IP将仍然受阻
CT_BLOCK_TIME = 1800
如果你只想计算特定端口（如22,23,80,443），然后添加端口。否则保持空检查所有端口
CT_PORTS = "22,23,80,443"
禁用测试：
sudo perl -pi -w -e "s/TESTING = \"1\"/TESTING = \"0\"/" /etc/csf/csf.conf
忽略允许列表中的IP地址：
sudo perl -pi -w -e "s/IGNORE_ALLOW = \"0\"/IGNORE_ALLOW = \"1\"/" /etc/csf/csf.conf
安装程序将为你添加systemd服务文件，你可以通过运行来启动它：
sudo systemctl enable --now csf
确认服务状态，运行sudo systemctl status csf命令查看：
CSF使用示例
1、阻止IP或子网：
sudo csf -d 192.168.0.20
sudo csf -d 192.168.0.0/24
输出内容如下：
Adding 192.168.0.20 to csf.deny and iptables DROP…
DROP all opt -- in !lo out * 192.168.0.20 -> 0.0.0.0/0
LOGDROPOUT all opt -- in * out !lo 0.0.0.0/0 -> 192.168.0.20
2、从阻止列表中删除IP/子网：
$ sudo csf -dr 192.168.0.20
Removing rule…
DROP all opt -- in !lo out * 192.168.0.20 -> 0.0.0.0/0
LOGDROPOUT all opt -- in * out !lo 0.0.0.0/0 -> 192.168.0.20
3、在防火墙上允许IP地址：
$ sudo csf -a 192.168.15.15
Adding 192.168.15.15 to csf.allow and iptables ACCEPT…
ACCEPT all opt -- in !lo out * 192.168.15.15 -> 0.0.0.0/0
ACCEPT all opt -- in * out !lo 0.0.0.0/0 -> 192.168.15.15
4、阻止某些国家/地区
编辑CC_DENY行：
# Each option is a comma separated list of CC's, e.g. "US,GB,DE"
CC_DENY = ""
CC_ALLOW = ""
5、参阅侦听连接的端口：
$ sudo csf -p
侦听外部连接的端口以及在其后面运行的可执行文件
6、用户通过ssh登录时发送电子邮件：
LF_SSH_EMAIL_ALERT = "1"
设置警报电子邮件：
LF_ALERT_TO = "[email protected]"
向你自己发送有关安全检查的电子邮件：
csf -m [email protected]
配置访问CSF Web UI的方法
CSF集成了可用于配置的Web UI，在/etc/csf/csf.conf文件上启用UI：
UI = "1"
你还可以为以下项设置自定义值：
# Set this to the port that want to bind this service to
UI_PORT = "6666"
# Leave blank to bind to all IP addresses on the server
UI_IP = ""
UI_USER = "admin"
UI_PASS = "StrongAdminPassword"
然后将IP地址添加到白名单：
sudo echo "YOUR_IP_ADDRESS" >> /etc/csf/ui/ui.allow
启动或重新启动lfd服务：
$ sudo systemctl enable --now lfd
$ systemctl status lfd