firewalld 防火墙

摆烂的存在

于 2024-06-11 11:44:52 发布

阅读量971

点赞数 9

文章标签：服务器 linux 运维

本文链接：https://blog.csdn.net/2401_83784774/article/details/139160876

版权

Linux 系统中的防火墙有两种：

iptables 防火墙（是centos7以前版本的默认防火墙）
firewalld 防火墙（是centos7之后版本的默认防火墙）

（一）firewalld 防火墙的组成

firewalld 防火墙由 netfilter 和 firewalld 组成

netfilter ：属于内核态的功能体系，是一个内核模块，由多个数据包过滤表组成，其中包含数据包的过滤处理规则集，并根据规则过滤处理IP数据包
firewalld ：属于用户态的管理工具，如同iptables、ufw，是一个防火墙应用管理程序，用来实现防火墙规则集的增删改查

（二）firewalld 与 iptables 有什么区别

iptables是基于接口设置规则，从而判断网络的安全性

firewalld是基于区域设置不同的规则，从而保证网络的安全

iptables 在 /etc/sysconfig/iptables 中储存配置

firewalld 在 /etc/firewalld/ 和 /usr/lib/firewalld/ 中的各种 XML 文件里

iptables 是清除所有旧有的规则并从 /etc/sysconfig/iptables 读取所有新的规则

firewalld 却不会再创建任何新的规则，仅仅运行规则中的不同之处

iptables 防火墙类型为静态防火墙
firewalld 防火墙类型为动态防火墙

（三）firewalld防火墙九大预定义区域

trusted	信任区域	接受所有传入的网络连接
public	初始的默认区域	允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝
external	外部区域	允许与 ssh 预定义服务匹配的传入流量，其余均拒绝
home	家庭区域	允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝
internal	内部区域	默认值时与home区域相同
work	工作区域	允许与 ssh、dhcpv6-client 预定义服务匹配的传入流量，其余均拒绝
dmz	非军事区域	可实现网络隔离，提供对LAN的有限访问，并且只允许指定的传入端口
block	限制区域	所有传入的网络连接都被拒绝，只允许传出的网络连接
drop	丢弃区域	丢弃所有传入的网络连接，并不返回任何应答消息，只允许传出的网络连接

（四）firewalld防火墙的配置方法

1、使用firewall-cmd 命令行工具
2、使用firewall-config 图形工具
3、编写/etc/firewalld/中的配置文件

（五）firewalld 数据包处理原则

要激活某个区域，需要先将区域与源地址或网卡接口关联绑定（一个区域可以关联绑定多个源地址或网卡接口，一个源地址或网卡接口只能关联绑定一个区域）

先检查传入数据包的源地址

若源地址与特定区域绑定，则直接使用该区域的规则过滤处理数据包
若源地址与任何一个区域没有绑定，则使用与入站网卡绑定的特定区域的规则过滤处理数据包
若也没有特定区域绑定网卡接口，则使用默认区域的规则过滤处理数据包

（六）firewalld 命令行操作管理

格式：

firewall-cmd 选项

（1）增

--add-interface=网卡名 --zone=区域名给指定区域添加绑定的网卡
--add-source=源地址 --zone=区域名给指定区域添加源地址
--add-service=服务名 --zone=区域名给指定区域添加允许访问的服务
--add-service={服务名1,服务名2,...} --zone=区域名给指定区域添加允许访问的服务列表
--add-port=端口/协议 --zone=区域名给指定区域添加允许访问的端口
--add-port=端口1-端口2/协议 --zone=区域名给指定区域添加允许访问的连续的端口列表
--add-port={端口1,端口2,...}/协议 --zone=区域名给指定区域添加允许访问的不连续的端口
--add-icmp-block=icmp类型 --zone=区域名给指定区域添加拒绝访问的icmp类型

（2）删

--remove-service=服务名 --zone=区域名
--remove-port=端口/协议 --zone=区域名
--remove-icmp-block=icmp类型 --zone=区域名
--remove-interface=网卡名 --zone=区域名从指定区域里删除绑定的网卡
--remove-source=源地址 --zone=区域名从指定区域里删除绑定的源地址

（3）改

--set-default-zone 修改当前默认区域
--change-interface=网卡名 --zone=区域名修改/添加网卡绑定给指定区域
--change-source=源地址 --zone=区域名修改/添加源地址绑定给指定区域

（4）查

--get-default-zone 查看当前默认区域
--get-active-zones 查看当前已激活的区域
--get-zones 查看所有可用的区域
--list-all-zones 查看所有区域的规则
--list-all --zone=区域名查看指定区域的规则
--list-services --zone=区域名查看指定区域允许访问的服务列表
--list-ports --zone=区域名查看指定区域允许访问的端口列表
--get-zone-of-interface=网卡名查看与网卡绑定的区域
--get-icmptypes 查看所有icmp类型