linux 防火墙（firewall）

一 ： 介绍

1.1

防⽕墙是保护机器不受来⾃外部的、不需要的⽹络数据的⼀种⽅式。它允许⽤⼾通过定义⼀组防

⽕墙规则来控制主机上的⼊站⽹络流量。这些规则⽤于对进⼊的流量进⾏排序，并可以阻断或允

许流量。

1.2

firewalld 是⼀个防⽕墙服务守护进程，其提供⼀个带有 D-Bus 接⼝的、动态可定制的、

基于主机的防⽕墙。如果是动态的，它可在每次修改规则时启⽤、修改和删除规则，⽽不需要在

每次修改规则时重启防⽕墙守护进程。

1.3（区别）

1.3.1

firewalld :使⽤ firewalld 实⽤程序进⾏简单防⽕墙⽤例。此⼯具易于使⽤，并

涵盖了这些场景的典型⽤例

1.3.2

nftables :使⽤ nftables 实⽤程序设置复杂和⾼性能的防⽕墙，如为整个⽹络设

置。

1.3.3

iptables :Red Hat Enterprise Linux 上的 iptables ⼯具使⽤ nf_tables 内

核 API ⽽不是 legacy 后端。 nf_tables API 提供了向后兼容性，以便使⽤

iptables 命令的脚本仍可在 Red Hat Enterprise Linux 上⼯作。对于新的防⽕墙脚

本，红帽建议使⽤ nftables

1.4（联系）

RHEL 7 中使⽤ firewalld 服务作为⽤⼾配置防⽕墙规则的⼯具，iptables 作为实现防⽕墙规则的⽤⼾空间实现，因此通过 firewall-cmd 与 iptables 命令⾏均可实现防⽕墙的配置。RHEL 8 中也使⽤ firewalld 服务，但其后端默认通过 nftables 实现防⽕墙规则，iptables也可作为其后端，但为⾮默认配置可通过⼿动⽣效

1.5（Zones 分区）

可以根据⽤⼾对该⽹络中的接⼝和流量设置的信任程度，使⽤ fi rewalld 来将⽹络划分为不同的区。⼀个连接只能是⼀个区的⼀部分，但⼀个区可以被⽤来进⾏很多⽹络连接。

1.5.1（分区工具）

NetworkManager 通知接⼝区的 firewalld 。您可以为接⼝分配区：

fi rewall- confi g 图形化⼯具

fi rewall- cmd 命令⾏⼯具

后 三 个 只 能 编 辑 适 当 的 NetworkManager 配 置 ⽂ 件 。 如 果 您 使 ⽤ web 控 制 台

fi rewall- cmd 或 fi rewall- confi g 来 更 改 接 ⼝ 的 区 ， 则 请 求 将 被 转 发 到

NetworkManager ，且不是由 fi rewalld 来处理。

预定义的区存储在 /usr/lib/fi rewalld/zones/ ⽬录中，并可⽴即应⽤到任何可⽤的⽹

络接⼝。只有在修改后，这些⽂件才会被拷⻉到 /etc/fi rewalld/zones/ ⽬录中

预定区默认配置有：

block ：任 何 传 ⼊ 的 ⽹ 络 连 接 都 会 被 拒 绝 ， 并 报 IPv4 的 icmp-host-prohibited 消息和

IPv6 的 icmp6-adm-prohibited 消息 。只有从系统启动的⽹络连接才能进⾏。