Firewalld防火墙

目录

1.Firewalld概述

2.Firewalld和iptables的关系

3.firewalld网络区域

3.1 firewalld区域简介

3.2 firewalld的9大区域

3.3 firewalld数据包处理流程

4.firewalld的命令操作

5.总结

---

1.Firewalld概述

    firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙。

    firewalld和iptables(属于用户态)都是用来管理防火墙的工具来定义防火墙的各种规则功能，内部结构都指向netfilter(属于内核态)网络过滤子系统来实现包过滤防火墙功能。

    firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。 它支持IPv4、IPv6防火墙设置以及以太网桥，并且拥有两种配置模式：运行时配置与永久配置。

注意： 规则定义到区域,区域与网卡或源地址绑定.

2.Firewalld和iptables的关系

iptables主要是基于接口，来设置规则，从而判断网络的安全性。
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。

iptables在/etc/sysconfig/iptables中储存配置，而firewalld将配置储存在/etc/firewalld/（优先加载）和 /usr/lib/firewalld/（默认的配置文件）中的各种XML文件里。

使用 iptables 每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables 里读取所有新的规则。（规则修改后会立即生效）
使用 firewalld 却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内， 改变设置而不丢失现行连接。

iptables 防火墙类型为静态防火墙，firewalld 防火墙类型为动态防火墙

firewalld和iptables的区别

3.firewalld网络区域

3.1 firewalld区域简介

firewalld区域的概念：

firewalld防火墙为了简化管理，将所有网络流量分为多个区域（zone）。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。

firewalld检查数据包的源地址的规则：
1.若源地址关联到特定的区域（即源地址或接口绑定的区域有冲突），则执行该区域所制定的规则。
2.若源地址未关联到特定的区域（即源地址或接口绑定的区域没有冲突），则使用传入网络接口的区域并执行该区域所制定的规则。
3.若网络接口也未关联到特定的区域（即源地址或接口都没有绑定特定的某个区域），则使用默认区域并执行该区域所制定的规则。

3.2 firewalld的9大区域

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口。
默认情况下，public区域是默认区域，包含所有接口（网卡）

3.3 firewalld数据包处理流程

• 要激活某个区域，需要先将区域与 源地址或网卡接口 关联绑定（一个区域可以关联绑定多个网卡接口或源地址，一个网卡或源地址只能关联绑定一个区域）

• 检查数据来源的源地址.

• 若源地址关联到特定的区域，则执行该区域所指定的规则.

• 若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则.

• 若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则.

4.firewalld的命令操作

firewalld防火墙的配置方法：

1、使用firewall-cmd 命令行工具。
2、使用firewall-config 图形工具。
3、编写/etc/firewalld/中的配置文件。

1、使用firewall-cmd 命令行工具

常用的firewall-cmd 命令选项

注意：一个区域可以关联多个网卡或源地址,一个网卡或源地址只能关联一个区域;

--get-default-zone ：显示当前默认区域
--set-default-zone=<zone> ：设置默认区域
--get-active-zones ：显示当前正在使用的区域及其对应的网卡接口
--get-zones ：显示所有可用的区域

--get-zone-of-interface=<interface> ：显示指定接口绑定的区域
--zone=<zone> --add-interface=<interface> ：为指定接口绑定区域
--zone=<zone> --change-interface=<interface> ：为指定的区域更改绑定的网络接口
--zone=<zone> --remove-interface=<interface> ：为指定的区域删除绑定的网络接口

--zone=<zone> --add-source=<source>[/<mask>]	：为指定源地址绑定区域
--zone=<zone> --change-source=<source>[/<mask>] ：为指定的区域更改绑定的源地址
--zone=<zone> --remove-source=<source>[/<mask>] ：为指定的区域删除绑定的源地址

--list-all-zones ：显示所有区域及其规则
[--zone=<zone>] --list-all ：显示指定区域的所有规则，省略--zone=<zone>时表示仅对默认区域操作
[--zone=<zone>] --list-services ：显示指定区域内允许访问的所有服务
[--zone=<zone>] --add-service=<service> ：为指定区域设置允许访问的某项服务
[--zone=<zone>] --remove-service=<service> ：删除指定区域已设置的允许访问的某项服务

添加多个连续服务

firewall-cmd --add-service={http,https,ftp}  --zone=public #使用{}内用“，”分隔

[--zone=<zone>] --list-ports ：显示指定区域内允许访问的所有端口号
[--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol> ：为指定区域设置允许访问的某个/某段端口号（包括协议名）
[--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocol> ：删除指定区域已设置的允许访问的端口号（包括协议名）

添加多个不连续端口 

firewall-cmd --add-port={80,443,111}/tcp  #添加多个不连续端口使用{}，内用“，”进行分隔

[--zone=<zone>] --list-icmp-blocks ：显示指定区域内拒绝访问的所有 ICMP 类型
[--zone=<zone>] --add-icmp-block=<icmptype> ：为指定区域设置拒绝访问的某项 ICMP 类型
[--zone=<zone>] --remove-icmp-block=<icmptype> ：删除指定区域已设置的拒绝访问的某项ICMP类型
firewall-cmd --get-icmptypes ：显示所有 ICMP 类型

让配置永久生效两种方法

永久配置（不会立即生效，需要重新加载配置或重启firewalld服务）
firewall-cmd ....  --permanent
firewall-cmd --reload   或   systemctl restart firewalld

运行时配置（会立即生效，但firewalld服务重启或重载配置后即失效）
firewall-cmd ....
firewall-cmd --runtime-to-permanent       将之前的运行时配置都转换成永久配置

设置地址转换

（1）设置 SNAT

（2）设置 DNAT

5.总结

9大预定义区域

public(默认只允许ssh,dhcp协议数据包传入)
home(默认只允许ssh,dhcp,samba,mdns协议数据包传入)
work(默认只允许ssh,dhcp协议数据包传入)
internal(默认只允许ssh,dhcp,samba,mdns协议数据包传入)
external(默认只允许ssh协议数据包传入，传出数据包会做地址伪装转换MASQUERADE)
dmz(非军事区域，默认只允许ssh协议数据包传入)
trusted(允许所有)
block(拒绝所有，有响应消息)
drop(丢弃所有，无响应消息)

firewalld 命令行操作管理

查

firewall-cmd --get-default-zone                 查看当前默认区域
             --get-active-zones                 查看当前已激活的区域
			 --get-zones                        查看所有可用的区域
			 --list-all-zones                   查看所有区域的规则
			 --list-all --zone=区域名           查看指定区域的规则
			 --list-services --zone=区域名      查看指定区域允许访问的服务列表
			 --list-ports --zone=区域名         查看指定区域允许访问的端口列表
			 --get-zone-of-interface=网卡名     查看与网卡绑定的区域
			 --get-icmptypes                    查看所有icmp类型

 增

firewall-cmd --add-interface=网卡名 --zone=区域名                    给指定区域添加绑定的网卡
             --add-source=源地址 --zone=区域名                       给指定区域添加源地址
			 --add-service=服务名 --zone=区域名                      给指定区域添加允许访问的服务
			 --add-service={服务名1,服务名2,...} --zone=区域名       给指定区域添加允许访问的服务列表
			 --add-port=端口/协议 --zone=区域名                      给指定区域添加允许访问的端口
			 --add-port=端口1-端口2/协议 --zone=区域名               给指定区域添加允许访问的连续的端口列表
			 --add-port={端口1,端口2,...}/协议 --zone=区域名         给指定区域添加允许访问的不连续的端口
			 --add-icmp-block=icmp类型 --zone=区域名                 给指定区域添加拒绝访问的icmp类型

删

firewall-cmd --remove-service=服务名 --zone=区域名        从指定区域里删除绑定的服务
             --remove-port=端口/协议 --zone=区域名       从指定区域里删除绑定的端口/协议
             --remove-icmp-block=icmp类型 --zone=区域名  从指定区域里删除绑定的icmp类型
             --remove-interface=网卡名 --zone=区域名     从指定区域里删除绑定的网卡
             --remove-source=源地址 --zone=区域名        从指定区域里删除绑定的源地址

改

firewall-cmd --set-default-zone                           修改当前默认区域
             --change-interface=网卡名 --zone=区域名       修改/添加网卡 绑定给指定区域
             --change-source=源地址 --zone=区域名          修改/添加源地址 绑定给指定区域

运行时配置（会立即生效，但firewalld服务重启或重载配置后即失效）
firewall-cmd ....
firewall-cmd --runtime-to-permanent       将之前的运行时配置都转换成永久配置

永久配置（不会立即生效，需要重新加载配置或重启firewalld服务）
firewall-cmd ....  --permanent
firewall-cmd --reload   或   systemctl restart firewalld

ICMP协议是默认放通所有，拒绝个别，服务协议是放通个别，拒绝所有。