centos7 之 firewalld 详细介绍配置

目录

一．FirewallD 是什么？

二.什么是动态防火墙?

三.什么是区域（zone）?

四.区域（zone）说明如下drop（丢弃）

五.什么是服务?

六.其他

---

一．FirewallD 是什么？

FirewallD 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工
具。

二.什么是动态防火墙?

我们首先需要弄明白的第一个问题是到底什么是动态防火墙，为了解答这个问题，我们先来回忆一下iptables service 管理防火墙规则的模式，用户使用命令添加防火墙的规则,如果想让规则永久保存,还需要再执行命令 service iptables reload 使变更的规则保存到配置文件里。在这整个过程的背后， iptables service 会对防火墙的规则列表全部重读一次,加载到内核。
如果我们把这种哪怕只修改一条规则也要进行所有规则的重新载入的模式称为静态防火墙的话，那么firewalld        所提供的模式就可以叫做动态防火墙，它的出现就是为了解决这一问题，任何规则的变更都不需要对整个防火墙规则列表进行重新加载，只需要将变更部分保存并更新到运行中的 iptables 即可。

firewalld 和 iptables 之间有什么关系?
这里有必要说明一下 firewalld 和 iptables 之间的关系， firewalld 提供了一个 daemon 和service，还有命令行和图形界面配置工具，它仅仅是替代了 iptables service 部分，其底层还是使用iptables 作为防火墙规则管理入口，firewalld 自身并不具备防火墙的功能，而是和  iptables 一样需要通过内核的 netfilter 来实现，也就是说 firewalld 和 iptables 一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的 netfilter，只不过firewalld 和 iptables 的结构以及使用方法不一样罢了。

三.什么是区域（zone）?

过滤规则集合：zone
一个 zone 就是一套过滤规则，数据包必须要经过某个 zone 才能入站或出站。不同 zone 中规则粒度粗细、安全强度都不尽相同。可以把 zone 看作是一个个出站或入站必须经过的安检门，有的严格、有的宽松、有的检查细致、有的检查粗略。
firewalld 将网卡对应到不同的区域（zone），zone  默认共有 9 个，block  ,dmz  ,drop  external, home, internal ,public , trusted , work.
不同的区域之间的差异是其对待数据包的默认行为不同，根据区域名字我们可以很直观的知道该区域     的特征，在CentOS7 系统中，默认区域被设置为public。

四.区域（zone）说明如下drop（丢弃）

任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。block（限制）

任何接收的网络连接都被IPv4的icmp-host-prohibited信息和IPv6的icmp6-adm-prohibited信息所拒绝。

public（公共）
在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成危害，只能接收经过选取的连接。

external（外部）
特别是为路由器启用了伪装功能的外部网。您不能信任来自网络的其他计算，不能相信它们不会对您     的计算机造成危害，只能接收经过选择的连接。

dmz（非军事区）
用于您的非军事区内的电脑，此区域内可公开访问，可以有限地进入您的内部网络，仅仅接收经过选择的连接。

work（工作）
用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接。home（家庭）
用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接。internal（内部）
用于内部网络。您可以基本上