【Linux安全】Firewalld防火墙

最新推荐文章于 2024-08-23 12:02:46 发布
最新推荐文章于 2024-08-23 12:02:46 发布
阅读量1.5k 收藏 32
点赞数 50
分类专栏： Linux安全 文章标签： linux 安全 服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/F12138X/article/details/139135595
版权

目录

一.Firewalld概述

二.Firewalld和iptables的关系

1.firewalld和iptables的联系

2.firewalld和iptables的区别

三.Firewalld区域

1.概念

2.九个区域

3.区域介绍

4.Firewalld数据处理流程

四.Firewalld-cmd命令行操作

1.查看

2.增加

3.删除

4.修改

五.Firewalld防火墙的配置方法

1.运行时配置

2.永久配置

六.编写/etc/firewalld/中的配置文件

补充：DNAT和SNAT也可以通过firewall-cmd设置

1.设置SNAT

2.设置DNAT

一.Firewalld概述

  • firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙
  • firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统（属于内核态）来实现包过滤防火墙功能
  • firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。 它支持IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算）， 并且拥有两种配置模式：运行时配置与永久配置
     

二.Firewalld和iptables的关系

1.firewalld和iptables的联系

netfilter

  • 位于Linux内核中的包过滤功能体系

  • 称为Linux防火墙的“内核态”

Firewalld/iptables

  • CentOS7默认的管理防火墙规则的工具（Firewalld）

  • 称为Linux防火墙的“用户态”

2.firewalld和iptables的区别

firewalld  iptables
配置文件

 /etc/firewalld/       

（优先加载，保存用户自定义的配置）

 /usr/lib/firewalld/   

（默认的初始配置）

/etc/sysconfig/iptables
 
对规则的修改不需要全部刷新策略，不中断现有连接 立即生效，可能中断现有连接
 
防火墙类型

动态防火墙           

（在不同区域设置不同规则，可通过更换区域来更改防护策略）

静态防火墙           

（所有规则都是配置在表的链里，只能通过修改规则来更改防护策略）

三.Firewalld区域

1.概念

  • firewalld防火墙为了简化管理，将所有网络流量分为多个区域（zone）
  • 然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域
  • 每个区域都定义了自己打开或者关闭的端口和服务列表
     

2.九个区域

trusted（信任区域）允许所有的传入流量
public（公共区域）允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域
external（外部区域）允许与ssh预定义服务匹配的传入流量其余均拒绝
home（家庭区域）允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其他均拒绝
internal（内部区域）默认值与home区域相同
work（工作区域）允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其他均拒绝
dmz（隔离区域也称非军事区域）允许与ssh预定义服务匹配的传入流量，其他均拒绝
block（限制区域）拒绝所有传入流量
drop（丢弃区域）丢弃所有传入流量，并且不产生包含icmp的错误响应

3.区域介绍

  • 最终一个区域的安全程度是取决于管理员在此区域中设置的规则
  • 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入
  • 可以根据网络规模，使用一个或多个区域，但是任何一个 活跃区域 至少需要关联 源地址或接口
  • 默认情况下，public区域是默认区域，包含所有接口（网卡）

4.Firewalld数据处理流程

  • 要激活某个区域，需要先将区域与 源地址或网卡接口 关联绑定（一个区域可以关联绑定多个源地址或网卡接口，一个源地址或网卡接口只能关联绑定一个区域）
  • 先检查传入数据包的源地址
  1. 若源地址与特定区域绑定，则直接使用该区域的规则过滤处理数据包
  2. 若源地址与任何一个区域没有绑定，则使用与入站网卡绑定的特定区域的规则过滤处理数据包
  3. 若也没有特定区域绑定网卡接口，则使用默认区域的规则过滤处理数据包

四.Firewalld-cmd命令行操作

1.查看

查看当前默认区域

firewall-cmd --get-default-zone

查看当前已激活的区域

firewall-cmd --get-active-zones

查看所有可用的区域

firewall-cmd --get-zones

查看指定区域的规则

firewall-cmd --list-all --zone=区域名

查看指定区域允许访问的服务列表

firewall-cmd --list-services --zone=区域名

查看指定区域允许访问的端口列表

firewall-cmd --list-ports --zone=区域名

查看与网卡绑定的区域

firewall-cmd --get-zone-of-interface=网卡名

查看所有icmp类型

firewall-cmd --get-icmptypes

2.增加

给指定区域添加绑定的网卡

firewall-cmd --add-interface=网卡名 --zone=区域名

给指定区域添加源地址

firewall-cmd --add-source=源地址 --zone=区域名

给指定区域添加允许访问的服务

firewall-cmd --add-service=服务名 --zone=区域名

给指定区域添加允许访问的服务列表

firewall-cmd --add-service={服务名1,服务名2,...} --zone=区域名

给指定区域添加允许访问的端口

firewall-cmd --add-port=端口/协议 --zone=区域名

给指定区域添加允许访问的连续的端口列表

firewall-cmd --add-port=端口1-端口2/协议 --zone=区域名

给指定区域添加允许访问的不连续的端口

firewall-cmd --add-port={端口1,端口2,...}/协议 --zone=区域名

给指定区域添加拒绝访问的icmp类型

firewall-cmd --add-icmp-block=icmp类型 --zone=区域名

3.删除

根据服务名删除

firewall-cmd --remove-service=服务名 --zone=区域名

 根据端口/协议删除

firewall-cmd --remove-port=端口/协议 --zone=区域名

根据icmp类型删除

firewall-cmd --remove-icmp-block=icmp类型 --zone=区域名

从指定区域里删除绑定的网卡

firewall-cmd --remove-interface=网卡名 --zone=区域名

从指定区域里删除绑定的源地址

firewall-cmd --remove-source=源地址 --zone=区域名

4.修改

修改当前默认区域

firewall-cmd --set-default-zone

修改/添加网卡 绑定给指定区域

firewall-cmd --change-interface=网卡名 --zone=区域名

修改/添加源地址 绑定给指定区域

firewall-cmd --change-source=源地址 --zone=区域名

五.Firewalld防火墙的配置方法

1.运行时配置

  • 实时生效，并持续至Firewalld重新启动或重新加载配置
  • 不中断现有连接
  • 不能修改服务配置
firewall-cmd ....

firewall-cmd --runtime-to-permanent       将之前的运行时配置都转换成永久配置

2.永久配置

  • 不立即生效，除非Firewalld重新启动或重新加载配置
  • 中断现有连接
  • 可以修改服务配置
firewall-cmd ....  --permanent

firewall-cmd --reload   或   systemctl restart firewalld

六.编写/etc/firewalld/中的配置文件

Firewalld会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配置

  • /etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/ 中拷贝
  • /usr/lib/firewalld/ ：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/ 中的配置

补充：DNAT和SNAT也可以通过firewall-cmd设置

1.设置SNAT

firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 

192.168.80.0/24 -j SNAT --to-source 12.0.0.1

2.设置DNAT

firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p 

tcp --dport 80 -j DNAT --to-destination 192.168.80.11
-山海皆可平
关注
专栏目录
Linux防火墙-firewalld
01-09
启动： systemctl start firewalld 查看状态： systemctl status firewalld 停止： systemctl disable firewalld 禁用： systemctl stop firewalld 2、Centos7操作 1、启动一个服务 systemctl start firewalld....
Firewalld防火墙
weixin_60917414的博客
05-23 2874
firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙firewalld与iptables防火墙一样也属于典型的包过滤防火墙或称之为网络层防火墙firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter这一强大的网络过滤子系统（属于内核态）以实现包过滤防火墙功能firewalld防火墙最大的优点在于支持动态更新以及加入了防火墙的‘zone’概念。
firewalld防火墙
gcc001224的博客
05-13 9513
文章目录 Firewalld
Linux防火墙之Firewalld
最新发布
YhMjQx的博客
08-23 834
本篇文章详细讲解Linux系统的防火墙firewalld，包含基础用法，进阶用法以及很多应用场景
firewalld详解
爱死亡机器人
03-16 859
firewalld （1）我应该选用哪个区域? 例如，公共的 WIFI 连接应该主要为不受信任的，家庭的有线网络应该是相当可信任的。根据与你使用的网络最符合的区域进行选择。 如何配置或者增加区域? 你可以使用任何一种 firewalld 配置工具来配置或者增加区域，以及修改配置。工具有例如 firewall-config 这样的图形界面工具， firewall-cmd 这样的命令行工具，以及D-...
【Linux安全管理】Firewalld详解
Linux小白一只~正处于学习阶段，觉得我写的还好的请多多给我点赞呀,谢谢大家！！(๑＞ڡ＜)☆
12-16 5266
1、与iptables不同 2、配置防火墙 3、firewalld区域概念 4、filewalld 配置生效 5、firewalld服务 firewalld 端口映射 富规则 rich-rule 绑定源地址的区域规则> 网卡绑定的区域规则> 默认区域规则。
Linux系统防火墙——firewalld
DY_man的博客
04-25 5535
firewalld概述 firewalld防火墙是CentOS 7系统默认的防火墙管理工具，取代了之前的iptables防火墙,也是工作在网络层，属于包过滤防火墙。 firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfiler网络过滤子系统（属于内核态）来实现包过滤防火墙功能 firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具 支持IPV4、IPV6防火墙设置以及以太网桥(在某些高级服务可能会
firewalld防火墙实操
09-19
### firewalld防火墙实操知识点 #### 一、firewalld防火墙简介 `firewalld` 是一种动态防火墙管理工具，在Linux系统中广泛使用。与传统的`iptables`相比，`firewalld`提供了更为灵活的服务和端口管理方式，并支持...
Firewalld防火墙配置.pdf
04-16
防火墙的一些常用的命令,可以帮助熟悉linux下Firewalld防火墙
Linux防火墙Firewalld基础详细解读.doc
08-19
Linux防火墙Firewalld基础详细解读.doc
linux中iptables防火墙设置
09-02
首先设置禁止所有的数据流传出传入策略，...注意使用centos7及以上版本系统使用该方法时候禁用firewalld防火墙服务，并下载iptables服务 systemctl disable firewalld --now yum install iptables-services iptables -y
Linux进阶篇：firewalld详解——firewalld 的概念&作用以及如何使用
qq_39241682的博客
04-08 2592
firewalld（防火墙守护程序）是Linux发行版中一款用于管理网络防火墙的动态守护程序。它提供了一个命令行和图形用户界面，用于配置和管理系统的防火墙规则。firewalld使用iptables、ip6tables、ebtables和nftables作为后端来处理网络数据包。它允许您在不需要重启防火墙或停止网络服务的情况下，实时更改防火墙规则。本文详细介绍了 Linux 中的 firewalld，包括其基本概念、作用和如何使用它来保护系统。
Firewalld 防火墙详解
热门推荐
shenyuanhaojie的博客
09-19 4万+
文章目录1. firewalld 防火墙简介1.1 firewalld 是什么1.2 什么是动态防火墙1.3 firewalld 和 iptables 之间的关系 1. firewalld 防火墙简介 1.1 firewalld 是什么 firewalld 提供了支持 网络 / 防火墙区域（zone）定义网络链接以及接口安全等级的动态防火墙管理工具。 1.2 什么是动态防火墙   我们首先需要弄明白的第一个问题是到底什么是动态防火墙，为了解答这个问题，我们先来回忆一下 iptables service 管
firewalld防火墙详细介绍
A1100886的博客
05-22 5053
firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙firewalld和iptables都是用来管理防火墙的工具(属于用户态)来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统(属于内核态)来实现包过滤防火墙功能。firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。
Firewalld 防火墙基础
m0_71548847的博客
07-03 2111
firewalld 简介frewalld 的作用是为包过滤机制提供匹配规则(或称为策略)，通过各种不同的规则，告诉netfilter对来自指定源、前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙,firewald 提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。它支持IPv4、IPv6防火墙设置以及以太网桥，并且拥有两种配置模式:运行时配置与永久配置。它还支持服务或应用程序直接添加防火墙规则接日。firewalld和iptables 的关系。
firewalld 详解
YFHCSDN的博客
10-09 1010
firewalld详解
Linux操作系统：Firewalld
m0_51456787的博客
08-09 1963
1 、常用的两张表 : filter、nat , filter用于过滤数据包，nat用于路由转发功能 2 、常用的两条链 : INPUT、OUTPUT 3 、常见的三个行为 : ACCEPT、DROP、REJECT 4 、限制流量的三个特征 : 端口、协议、IP，对应的五元组 : - d - s -- dport -- sport - p 5 、端口转发 : 本机端口、远程端口。......
Firewalld 详解
大漠知秋的加油站
04-18 4650
文章目录Firewalld好处详解zone网络请求如何判断使用哪个 zone 的servicerich langulage rule理解多规则命令常用命令收集关于 zone配置文件关于 source关于 interface（网卡）关于 port关于服务配置文件关于伪装 ip关于转发关于 rich language rule其他配置特殊说明 Firewalld   Linux 上新的防火墙软件，和原...
Firewalld 防火墙配置
来日可期的博客
12-12 1736
firewalld 是一个动态防火墙管理器，作为 Systemd 管理的防火墙前端工具，它为 Linux 操作系统提供了一种方便且灵活的方式来管理网络访问控制。在传统的 iptables 防火墙中，管理员需要手动配置防火墙规则，并将规则保存到静态的配置文件中。这种方式相对复杂且不够动态，特别是在面对频繁变动的网络环境时。而 firewalld 提供了一种更高级、更易用的方式来管理防火墙规则。firewalld 使用基于 “区域”（Zone） 的概念来管理防火墙策略。
linux firewalld防火墙详解
09-24
Firewalld是Linux系统中的一种动态防火墙管理工具。它使用底层工具iptables和ip6tables来控制网络流量，并提供了更加易于使用的命令行界面和图形用户界面，方便设置和管理防火墙规则。 一些关于firewalld的基本使用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值