Firewalld防火墙基础

煤五千

已于 2024-05-29 15:10:05 修改

阅读量773

点赞数 25

文章标签： linux 安全服务器

于 2024-05-28 13:50:30 首次发布

本文链接：https://blog.csdn.net/2401_83331026/article/details/139264953

版权

一、Firewalld概述

二、Firewalld和iptables的关系

2.2 iptables与firewalld的区别

三. firewalld区域

3.1 firewalld区域的概念

3.2 firewalld的九个区域

3.3 firewalld区域介绍和区域优先级

永久配置（不会立即生效，需要重新加载配置或重启firewalld服务）

区域管理

服务管理

同时添加httpd、https 服务到默认区域，设置成永久生效

一、Firewalld概述

支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具
支持IPv4、IPv6防火墙设置以及以太网桥
支持服务或应用程序直接添加防火墙规则接口
拥有两种配置模式
运行时配置
永久配置

二、Firewalld和iptables的关系

netfilter

位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态

Firewalld/iptables

CentOS7默认的管理防火墙规则的工具(Firewalld)
称为Linux防火墙的“用户态

2.2 iptables与firewalld的区别

区别一：

iptables主要是基于接口，来设置规则，从而判断网络的安全性。
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。

区别二：

iptables 在 /etc/sysconfig/iptables 中储存配置，
firewalld 将配置储存在 /etc/firewalld/（优先加载）和 /usr/lib/firewalld/（默认的配置文件）中的各种 XML 文件里。

区别三：

使用 iptables 每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables 里读取所有新的规则
使用 firewalld 却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld 可以在运行时间内,改变设置而不丢失
现行连接。

三. firewalld区域

3.1 firewalld区域的概念

firewalld防火墙为了简化管理，将所有网络流量分为多个区域(zone)。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。
这些区域配置文件存在于/usr/lib/firewalld/zones目录中，还有一个目录/etc/firewalld/zones。firewalld使用规则时，会首先到/etc/firewalld/目录中查找，如果可以找到就直接使用，找不到会继续到/usr/lib/firewalld/目录中查找。

3.2 firewalld的九个区域

区域	作用
trusted（信任区域）	允许所有的传入流量。
public（公共区域）	允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。
external（外部区域）	允许与ssh预定义服务匹配的传入流量其余均拒绝。
home（家庭区域）	允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其他均拒绝。
internal（内部区域）	默认值与home区域相同。
work（工作区域）	允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其他均拒绝
dmz（隔离区域也称非军事区域）	允许与ssh预定义服务匹配的传入流量，其他均拒绝。
block（限制区域）	拒绝所有传入流量。
drop（丢弃区域）	丢弃所有传入流量，并且不产生包含icmp的错误响应。

3.3 firewalld区域介绍和区域优先级

firewalld区域介绍

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口。
默认情况下，public区域是默认区域，包含所有接口（网卡）。

firewalld数据处理流程

检查数据来源的源地址：

若源地址关联到特定的区域，则执行该区域所指定的规则
若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则
若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则

区域优先级：源地址绑定的区域 > 网卡绑定的区域 > 默认区域（只要没有绑定过指定区域的网卡，都适用于于默认区域的规则。默认区域可自定义，不修改则为public）

3.4 firewalld防火墙的配置方法

1、使用firewall-cmd 命令行工具。
2、使用firewall-config 图形工具。

3、编写/etc/firewalld/中的配置文件。

Firewalld 会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配置。

/etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/ 中拷贝
/usr/lib/firewalld/ ：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/ 中的配置

四. fiewall-cmd命令行使用

4.1 默认区域的查看与设置

不指定区域时，则对默认区域进行操作（默认区域可自定义，不修改则为public）

格式：

firewall-cmd:

--get-default-zone ：显示当前默认区域
--set-default-zone=<zone> ：设置默认区域

[root@localhost ~]# firewall-cmd --get-default-zone
public
[root@localhost ~]# firewall-cmd --set-default-zone=work
success
[root@localhost ~]# firewall-cmd --get-default-zone
work
####
首先，使用firewall-cmd --get-default-zone命令查看当前的默认防火墙区域，输出结果为"public"。然后，使用firewall-cmd --set-default-zone=work命令将默认防火墙区域设置为"work"，并显示"success"表示设置成功。最后，再次使用firewall-cmd --get-default-zone命令查看当前默认防火墙区域，输出结果为"work"。

4.2 对指定网卡进行操作

格式：

firewall-cmd:

--get-active-zones ：显示当前正在使用的区域及其对应的网卡接口
--get-zones ：显示所有可用的区域
--get-zone-of-interface=<interface> ：显示指定接口绑定的区域
--zone=<zone> --add-interface=<interface> ：为指定接口绑定区域
--zone=<zone> --change-interface=<interface> ：为指定的区域更改绑定的网络接口
--zone=<zone> --remove-interface=<interface> ：为指定的区域删除绑定的网络接口

[root@localhost ~]#firewall-cmd --get-zones
 
[root@localhost ~]#firewall-cmd --get-active-zones
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=home --add-interface=ens33
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=work --add-interface=ens33
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=home --change-interface=ens33
 
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=home --remove-interface=ens33
 
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33

4.3 对源地址进行操作

格式：

firewall-cmd:

--add-source=xxxxxx --zone=<zone> //增加源地址指定区域
--remove-source=xxxxxx --zone=<zone> //删除源地址指定区域

[root@localhost ~]# firewall-cmd --add-source=2.2.2.2  --zone=home
success
[root@localhost ~]# firewall-cmd --get-active-zone
home
  sources: 2.2.2.2
work
  interfaces: ens33
[root@localhost ~]# firewall-cmd --remove-source=2.2.2.2  --zone=home
success
[root@localhost ~]# firewall-cmd --get-active-zone
work
  interfaces: ens33
###

4.4 服务管理

查

firewall-cmd --list-service
#查看默认区域内允许访问的所有服务

增

[root@localhost ~]# firewall-cmd  --add-service=http
success
[root@localhost ~]# firewall-cmd  --add-service={ftp,https}
success
[root@localhost ~]# firewall-cmd --list-service
dhcpv6-client ftp http https ssh

查看public 区域已配置规则

[root@localhost ~]# firewall-cmd --list-all --zone=public
public
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: 
  services: dhcpv6-client ssh
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
###
这是一个Linux命令行操作的记录。使用firewall-cmd --list-all --zone=public命令列出了公共区域的防火墙规则，包括默认目标、接口、源、服务、端口、协议、伪装、转发端口、源端口、ICMP阻止和富规则等信息。其中，服务包括dhcpv6-client和ssh。

删

[root@localhost ~]# firewall-cmd --remove-service=ftp --zone=public
success
[root@localhost ~]# firewall-cmd --list-service --zone=public
dhcpv6-client https ssh

4.5 端口管理

（1）允许TCP的443端口到internal 区域

firewall-cmd --zone=internal --add-port=443/tcp
firewall-cmd --list-all --zone=internal

（2）从internal 区域将TCP的443端口移除

firewall-cmd --zone=internal --remove-port=443/tcp

（3）允许UDP的2048~2050端口到默认区域

firewall-cmd --add-port=2048-2050/udp

firewall-cmd --list-all

永久配置（不会立即生效，需要重新加载配置或重启firewalld服务）

firewall-cmd ....  --permanent
firewall-cmd --reload   或   systemctl restart firewalld

区域管理

firewall-cmd --get-default-zone      //显示当前系统中的默认区域

firewall-cmd --list-all                        // 显示默认区域的所有规则

firewall-cmd --get-active-zones      //显示当前正在使用的区域及其对应的网卡接口



firewall-cmd --set-default-zone=home   //设置默认区域
firewall-cmd --get-default-zone

服务管理

firewall-cmd --list-service                              //查看默认区域内允许访问的所有服务

firewall-cmd --add-service=http --zone=public        //添加httpd 服务到public 区域

firewall-cmd --list-all --zone=public                       // 查看public 区域已配置规则

firewall-cmd --remove-service=http --zone=public         //删除public 区域的httpd 服务

同时添加httpd、https 服务到默认区域，设置成永久生效

firewall-cmd --add-service=http --add-service=https --permanent
firewall-cmd --add-service={http,https,ftp} --zone=internal
firewall-cmd --reload    
firewall-cmd --list-all        
#添加使用 --permanent选项表示设置成永久生效，需要重新启动firewalld服务或执行firewall-cmd --reload命令 重新加载防火墙规则时才会生效。若不带有此选项，表示用于设置运行时规则，但是这些规则在系统或firewalld服务重启、停止时配置将失效。
 
firewall-cmd --runtime-to-permanent：        #将当前的运行时配置写入规则配置文件中，使之成为永久性配置

设置地址转换

firewall-cmd --zone=区域 --direct --passthrough ipv4 -t nat -A POSTROUTING -s 源地址 -j SNAT --to-source 源地址转换地址                       //设置 SNAT

firewall-cmd --zone=区域 --direct --passthrough ipv4 -t nat -A POSTROUTING -s 源地址 -j SNAT --to-source 源地址转换地址                       //设置 SNAT

煤五千

关注

25
点赞
踩
12

收藏

觉得还不错? 一键收藏
打赏
0
评论
Firewalld防火墙基础

牢弟,来个30遍吧
复制链接

扫一扫