Firewalld 防火墙基础

Firewalld 概述

firewalld 提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具.支持IPv4、IPv6 防火墙设置以及以太网桥，并且拥有两种配置模式:运行时配置与永久配置,支持服务或应用程序直接添加防火墙规则接口

firewalld 和iptables 的关系

firewald 自身并不具备防火墙的功能，而是和 iptables 一样需要通过内核的 netfilter 来实现

firewalld与iptables service 的区别

iptables service 在 /etc/sysconfig/iptables 中储存配置,而 firewalld 将配置储存在/usr/lib/firewalld/ 和 /etc/firewalld/ 中的各种 XML 文件里

使用 firewalld 却不会再创建任何新的规则:仅仅运行规则中的不同之处,,firewalld 可以在运行时间内,改变设置而不丢失现行连接。

Firewalld 网络区域

trusted(信任区域)   可接收所有的网络连接
public(公共区域)  公共区域内，不能相信网络内的其他计算机不会对计算机造成危害，只能接收经过选择的连接。并且，该区域是新添加网络接口的默认区域
work(工作区域)除非与传出流量相关，或与 ssh、ipp-client、dhcpv6-client 预定义服务匹配，否则拒绝流量传入，用于工作区。相信网络内的其他计算机不会危害计算机，仅接收经过选择的连接
home(家庭区域)  除非与传出流量相关，或与ssh、ipp-client、mdns、samba-client、dhcpv6-client 预定义服务匹配，否则拒绝流量传入，用于家庭网络。信任网络内的其他计算机不会危害计算机，仅接收经过选择的连接
internal(内部区域) 除非与传出流量相关，或与ssh、ipp-client、mdns、samba-client、dhcpv6-client 预定义服务匹配，否则拒绝流量传入，用于内部网络。信任网络内的其他计算机不会危害计算机，仅接收经过选择的连接

external(外部区域)除非与传出流量相关，或与ssh预定义服务匹配，否则拒绝流量传入。通过此区域转发的IPv4 传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络
dmz(隔离区域也称为除非与传出的流量相关，或与ssh预定义服务匹配，否则拒绝流量传入非军事区域)
block(限制区域)除非与传出流量相关，否则拒绝所有传入流量
drop(丢弃区域)除非与传出流量相关，否则丢弃所有传入流量，并且不产生包含ICMP(InternetControl Message Protocol，互联网控制报文协议)的错误响应