Firewalld防火墙基础

最新推荐文章于 2024-07-21 15:42:37 发布
最新推荐文章于 2024-07-21 15:42:37 发布
阅读量304 收藏 1
点赞数
文章标签： linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mr_XHC/article/details/109751354
版权

文章目录

一、防火墙概述

1、支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具；
2、支持IPv4，IPv6防火墙设置以及以太网桥；
3、支持服务或应用程序直接添加防火墙规则接口；
4、拥有两种配置模式：
运行时配置（一般测试的时候使用）；
永久配置。

补充内容：

1、firewalld是7.0才开始有，6.0一直都是iptables；
2、防火墙工作在第四层传输层，和端口有关TCP、UDP；
3、大型数据中心用的背靠背方式–两个硬防火墙；
4、按区域进行定义：高安全区域和低安全区域（例如公司内部是一个高安全区域，外部是一个低安全区域），此外允许访问的公司服务在dmz区域（非军事化区域）；
低安全级别到高安全级别会经过防火墙过滤；
高安全级别到低安全级别是允许的。
5、运行时配置是临时配置，不会保存。

二、Firewalld防火墙

2.1 Firewalld和iptables的关系

1、netfilter

位于Linux内核中的包过滤功能体系；
称为Linux防火墙的“内核态”（不能）。

2、Firewalld/iptables

Centos7默认的管理防火墙规则的工具（Firewalld）；
称为Linux防火墙的“用户态”；
Firewalld就是iptables的一层封装，为了简化操作；
只有iptables才能和内核态进行交互。

3、区别

Firewalldiptables
配置文件/etc/firewalld /usr/lib/firewalld/etc/sysconfig/iptables
对规则的修改不需要全部刷新策略，不丢失现行连接需要全部刷新策略，丢失连接
防火墙类型动态防火墙静态防火墙

2.2 Firewalld网络区域

区域介绍：
1、区域如同进入主机的安全门，每个区域都具有不同限制程度的规则；
2、可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口；
3、默认情况下，public区域是默认区域，包含所有接口（网卡）。

iptables没有区域的概念，外部流量通过规则进入相应的区域接口（网卡）

Firewall的区域

防火墙为了简化管理，将所有网络流量分为多个区域（zone），然后根据数据包的源ip地址或传入的网络接口条件等将流量传入相应区域，每个区域都定义了自己打开或者关闭的端口和服务列表。其中默认区域为public

区域名称默认配置说明
drop（丢弃）丢弃所有传入流量
block（限制）拒绝所有传入流量
public（公共）允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其余都拒绝，也是新添加网络接口的默认区域
external（外部）允许与ssh预定义服务匹配的传入流量，其余都拒绝；默认将进过此区域转发的ipv4地址传出流量进行地址伪装
dmz（军事区域）允许与ssh预定义服务匹配的传入流量，其余都拒绝
work（工作）允许与ssh、ipp-client、dhcpv6-client预定义服务匹配的传入流量，其余都拒绝
home（家庭）允许与ssh、mdns、ipp-client、samba-client、dhcpv6-client预定义服务匹配的传入流量，其余都拒绝
internal（内部）默认值时与home相同
trusted（信任）允许所有的传入流量

2.3 Firewalld数据处理流程

1、检查数据来源的源地址；
2、若源地址关联到特定的区域，则执行该区域所指定的规则；
3、若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则；
4、若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则。

2.4 Firewalld防火墙的配置方法

1、运行时配置（类似于mount）

1.1、实时生效，并持续至firewalld重新启动或重新加载配置
1.2、不中断现有连接
1.3、不能修改服务配置

2、永久配置（类似于修改fstab文件）

2.1、不立即生效，除非firewalld重新启动或重新加载配置
2.2、中断现有连接
2.3、可以修改服务配置

2.5 Firewalld工具

1、firewall-config图形工具
2、firewall-cmd命令行工具
3、/etc/firewalld中的配置文件
firewalld会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配置
/etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/中拷贝
/usr/lib/firewalld/：默认配置文件，不建议修改，若恢复至默认配置，可以直接删除/etc/firewalld/中的配置

三、firewall-cmd命令行工具

3.1 用法示例:

1.显示可以使用容易理解的名称表示的所有服务

[root@server1 ~]# ls /usr/lib/firewalld/services

在这里插入图片描述
2.查看支持的所有服务名称

[root@server1 ~]# firewall-cmd --get-services

在这里插入图片描述
3.查看所有区域

[root@server1 ~]# firewall-cmd --get-zones

在这里插入图片描述
4.查看当前默认区域

[root@server1 ~]# firewall-cmd --get-default-zone

在这里插入图片描述
5.查看当前指定网卡所处的区域

[root@server1 ~]# firewall-cmd --get-zone-of-interface=ens33

在这里插入图片描述
6.查看指定区域中有没有相关的服务开放
查看public（默认）区域中有没有ssh服务开启（yes/no）

[root@server1 ~]# firewall-cmd --zone=public --query-service=ssh
[root@server1 ~]# firewall-cmd --zone=public --query-service=ftp
[root@server1 ~]# firewall-cmd --zone=public --query-service=dns

在这里插入图片描述
7.查看当前区域开放的服务

[root@server1 ~]# firewall-cmd --list-services（不指定区域，默认与当前网卡区域一样默认区域）

在这里插入图片描述
8.查看所有区域开放的服务

[root@server1 ~]# firewall-cmd --list-all-zones

在这里插入图片描述
9.查看指定区域开放的服务
查看public（默认）区域开放的服务

[root@server1 ~]# firewall-cmd --list-services --zone=public
[root@server1 ~]# firewall-cmd --list-services --zone=home
[root@server1 ~]# firewall-cmd --list-services --zone=work

在这里插入图片描述
10.查看指定区域开放的详细服务
查看public（默认）区域中开放的详细服务

[root@server1 ~]# firewall-cmd --list-all --zone=public
[root@server1 ~]# firewall-cmd --list-all --zone=dmz

在这里插入图片描述
11.防火墙重启（与–permanent配合使用）

[root@server1 ~]# firewall-cmd --reload

在这里插入图片描述

3.2 设置服务或端口放行

1.区域增加http服务
第一种方法（添加服务）

[root@server1 ~]# yum -y install httpd
[root@server1 ~]# echo "this is a tree." > /var/www/html/index.html
[root@server1 ~]# systemctl start httpd
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述
在public（默认）区域开启http服务，永久配置

[root@server1 ~]# firewall-cmd --zone=public --add-service=http --permanent
[root@server1 ~]# firewall-cmd --reload   防火墙重启

查看public区域所有开放的服务
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述
进行验证

[root@client1 ~]# curl http://20.0.0.10

在这里插入图片描述
第二种方法 （添加服务的端口号，协议）
查看http的端口号

[root@server1 ~]# netstat -anpt | grep http  
永久配置，区域public中的服务端口80
[root@server1 ~]# firewall-cmd --zone=public --add-port=80/tcp --permanent
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述
进行验证

[root@client1 ~]# curl http://20.0.0.10

在这里插入图片描述
2.删除区域里开放的服务

[root@server1 ~]# firewall-cmd  --zone=public --remove-service=http --permanent
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述
3.临时配置形式进行删除端口号添加服务配置
运行时配置：临时命令在重启前有效，重启后清空

[root@server1 ~]# firewall-cmd --zone=public --remove-port=80/tcp
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述

3.3 为网卡配置区域

1.为新的网卡配置区域

[root@server1 ~]# ifconfig

在这里插入图片描述

[root@server1 ~]# cd /etc/sysconfig/network-scripts/
[root@server1 network-scripts]# cp ifcfg-ens33 ifcfg-ens37
[root@server1 network-scripts]# vi ifcfg-ens37
[root@server1 network-scripts]# systemctl restart network
[root@server1 network-scripts]# ifconfig

在这里插入图片描述

直接在配置文件中修改服务所在的区域 （public-internal）
在这里插入图片描述
在这里插入图片描述

查看网卡所在区域

[root@server1 ~]# firewall-cmd --get-zone-of-interface=ens37
[root@server1 ~]# firewall-cmd --list-all --zone=internal

在这里插入图片描述
2.通过网卡指定区域

[root@server1 ~]# firewall-cmd --zone=external --change-interface=ens37  --permanent 
[root@server1 ~]# systemctl stop NetworkManager
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --get-zone-of-interface=ens37

在这里插入图片描述

3.4 配置拒绝服务设置

1.禁止访问public区域

[root@server1 ~]# firewall-cmd --zone=public --add-icmp-block=echo-request --permanent
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述

[root@client1 ~]# ping 192.168.40.11

在这里插入图片描述
2.删除禁止访问区域public设置

[root@server1 ~]# firewall-cmd --zone=public --remove-icmp-block=echo-request --permanent
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述

[root@client1 ~]# ping 192.168.40.11

在这里插入图片描述
3.指定主机禁止ssh登录访问区域

[root@client ~]# ssh root@192.168.40.11

在这里插入图片描述

[root@server1 ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.40.12/32" service name="ssh" reject"
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述

[root@client1 ~]# ssh root@192.168.40.11

在这里插入图片描述

3.5 设置默认区域

设置home区域为默认区域（无网卡，源地址配置，处于未激活状态）

[root@server1 ~]# firewall-cmd --set-default-zone=home
设置默认区域
[root@server1 ~]# firewall-cmd --get-default-zone
查看home区域
[root@server1 ~]# firewall-cmd --list-all --zone=home

在这里插入图片描述
激活区域状态为活动状态
在这里插入图片描述

3.6 查看活动区域及端口

查看处于活动状态的区域

[root@server1 ~]# firewall-cmd --get-active-zones

在这里插入图片描述

四、Firewalld防火墙项目

4.1 实验环境

在这里插入图片描述

4.2 需求描述

 禁止主机ping服务器
 只允许192.168.40.12主机访问SSH服务器
 允许所有主机访问Apache服务

4.3 项目流程

1.禁止主机ping服务器

[root@server1 ~]# firewall-cmd --zone=public --add-icmp-block=echo-request  --permanent 
[root@server1 ~]# firewall-cmd --reload
[root@server1 ~]# firewall-cmd --list-all

在这里插入图片描述

[root@server1 ~]# ping 192.168.40.11

在这里插入图片描述
2.只允许192.168.40.12主机访问SSH服务器
设置只有区域public配置192.168.40.12/32用户，关联192.168.40.12地址可登录SSH服务

[root@server1 ~]# firewall-cmd --list-all
[root@server1 ~]# firewall-cmd --zone=public --add-source=192.168.40.12/32 --permanent 

设置默认区域为home
[root@server1 ~]# firewall-cmd --set-default-zone=home

设置网卡ens33关联默认区域
[root@server1 ~]# firewall-cmd --change-interface=ens33 --zone=home --permanent
[root@server1 ~]# systemctl stop NetworkManager
[root@server1 ~]# firewall-cmd --reload

在这里插入图片描述

查看home区域

[root@server1 ~]# firewall-cmd --list-all
删除home区域关联的SSH服务
[root@server1 ~]# firewall-cmd --zone=home --remove-service=ssh --permanent 
[root@server1 ~]# firewall-cmd --reload 
[root@server1 ~]# firewall-cmd --list-all

在这里插入图片描述

[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述
允许192.168.40.12用户访问SSH服务

[root@server1 ~]# firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.40.12" service name="ssh" accept"
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述

[root@server1 ~]# ssh root@192.168.40.11

在这里插入图片描述

[root@client2 ~]# ssh root@192.168.40.11

在这里插入图片描述

按Firewalld数据处理流程
1.若192.168.40.12源地址关联到特定的区域，则执行该区域所指定的规则
2.若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则
3.若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则
源地址关联（1）优先级大于网卡关联（2，3）优先级

3.允许所有主机访问Apache服务

[root@server1 ~]# yum -y install httpd
[root@server1 ~]# echo "good day." > /var/www/html/index.html
[root@server1 ~]# systemctl start httpd
[root@server1 ~]# firewall-cmd --zone=public --add-service=http --permanent 
success

在这里插入图片描述

[root@server1 ~]# firewall-cmd --zone=home --add-port=80/tcp --permanent 
[root@server1 ~]# firewall-cmd --reload 
[root@server1 ~]# firewall-cmd --list-all
[root@server1 ~]# firewall-cmd --list-all --zone=public

在这里插入图片描述
在这里插入图片描述

[root@client1 ~]# curl http://192.168.40.11

在这里插入图片描述

五、firewall-config图形工具介绍

firewalld防火墙还提供了图形管理工具firewall-config，可用于查看和更改firewalld防火墙正在运行时的配置和永久的配置，可以使用firewall-config软件包
进行安装使用，安装好后，可以直接使用firewall-config命令启动图形管理工具，或者从菜单“应用程序”→“杂项”→“防火墙”启动，如图：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
例1：配置防火墙的端口转发功能，将访问本地默认区域的80端口临时转发到8080端口
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

Mr_XHC
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Linux操作系统：Firewalld防火墙
qq_56414082的博客
11-23 6616
当我们想把某个端口隐藏起来的时候，就可以在防火墙上阻止那个端口访问，然后再开一个不规则的端口，之后配置防火墙的端口转发，将流量转发过去。--service= --remove-source-port=[-]/--service= --query-source-port=[-]/--service= --add-source-port=[-]/
[Linux防火墙]一文学会防火墙概念及常用命令
喜欢水星记的博客
05-13 720
防火墙是Linux重要应用，一文概括Linux防火墙常用命令
firewalld防火墙基本配置
qq_57258570的博客
11-16 3975
firewalld防火墙基本配置 1、firewalld的结构 与iptables一样，分为内核态和用户态，firewalld代替了iptables，是iptables的功能增强版。 比iptables增强的功能： 1.增强了对IPv6的支持 2.增加了9个基本安全区域，使基本配置更简单。 3.向下兼容iptables的语法。 4.支持图形化界面配置 2、firewalld数据处理流程 1.将数据包中的源IP地址，定义到指定的安全区域，先执行安全区域的规则。 2.如果源地址未...
信创服务器上firewalld命令详解 _ 统信 _ 麒麟 _ 中科方德
最新发布
鹏大圣运维
07-21 651
Hello，大家好啊！今天给大家带来一篇关于在信创服务器上使用firewalld命令的详解文章。firewalld是Linux系统中常用的防火墙管理工具，它提供了一种动态管理防火墙的方式，可以在不重启防火墙服务的情况下立即应用新的规则。本文将详细介绍firewalld的基本用法和常用命令，帮助大家更好地管理和配置防火墙。欢迎大家分享转发，点个关注和在看吧！
RHCE（firewalld——查看及使用）
金色%夕阳的博客
12-09 1150
1.2. 查看当前状态和设置 firewalld 1.2.1. 查看当前状态 firewalld 防火墙服务 firewalld 被默认安装在系统中。使用 firewalld CLI 界面检查该服务是否正在运行。 [root@kittod ~]# firewall-cmd --state running 有关服务状态的更多信息，请使用 systemctl status 子命令： [root@kittod ~]# systemctl status firewalld ● firewalld.service
Centos7的Firewalld防火墙基础命令详解
09-14
主要介绍了Centos7的Firewalld防火墙基础命令详解，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
Linux防火墙Firewalld基础详细解读.doc
08-19
Linux防火墙Firewalld基础详细解读.doc
Linux服务器配置与管理：linux防火墙基础.pptx
05-01
能够描述firewalld防火墙的组成 【思政目标】 培养学生职业素养和信息安全意识。 防火墙——是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。 它是不同网络或网络...
firewalld防火墙总结
weixin_45190065的博客
09-06 3594
最全firewalld总结
防火墙firewalld
xinxiaoyu_的博客
11-28 1964
RHEL7中有几种防火墙共存：firewalld、iptables、ebtables等。基于iptables的防火墙默认不启动，但仍然可以继续使用。RHEL7默认使用firewalld作为防火墙，管理工具是firewall-cmd。RHEL7的内核版本是3.10，在此版本的内核里防火墙的包过滤机制是firewalld，使用firewalld来管理netfilter，不过底层调用的命令仍然是iptables等。因为这几种daemon是冲突的，所以建议禁用其他几种服务。
CentOS 7.4 firewall 开启http/https 服务及SSL配置
angelo_gs的博客
05-13 2183
###一、配置服务器正常开启HTTP及HTTPS firewall http 服务开启 firewall-cmd --query-service http ##查看http服务是否支持，返回yes或者no firewall-cmd --add-service=http ##临时开放http服务 firewall-cmd --add-service=http --permanent ##永久开放http服务 firewall-cmd --...
firewalld的配置
a18829898663的博客
06-05 4525
firewalld的配置
CentOS7默认防火墙 firewalld简单使用
Shawn Jeon`s blog
11-26 669
CentOS7默认防火墙 firewalld简单使用特点安装启动关闭重启查看状态开机启用开机禁用firewall-cmd命令实例查看指定 public域的所有打开的端口打开[协议 tcp的80端口]同时永久保存删除配置中的[协议 tcp的80端口]同时永久保存查看通过直接模式配置的所有规则拒绝所有 IP访问22端口指定允许的 IP:192.168.2.25访问 端口:22拒绝单一的 IP:192....
Linux下的防火墙
大新软件老杨
05-19 810
firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -s 192.168.10.20 -p tcp --dport 80 -j REJECT //拒绝IP为192.168.10.20的访问tcp的80端口 --direct 规则 --add-rule 添加规则 ipv4 filter 指定为ipv4的filter表 INPUT 链 -s 数据来源 -p采用的协议 --dport 目的地端口 -j 行为动作。版权声明：本文为CSDN博主「不想上课。
firewall-cmd 基础使用
love2377的专栏
09-05 546
说明：转载原文地址：http://blog.csdn.net/dybb8999/article/details/52216893 firewall有几个分区(zone): drop：任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。 block：任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者
firewalld防火墙 禁止/限制 特定用户的IP访问，drop和reject区别
weixin_34367257的博客
03-27 8759
1.drop禁止特定ip连接ssh/22服务firewall-cmd--permanent--zone=public--add-rich-rule="rulefamily=ipv4sourceaddress='x.x.x.x/24'servicename='ssh'drop" firewall-cmd--reload ##重新加载防火墙配置，不然f...
Linux防火墙深度解析：iptables, firewalld与nftables详解
1. 安全技术和防火墙基础：介绍了安全技术的重要性，包括防火墙的分类，以及网络架构的概念。这部分概述了网络安全的基本概念，强调了防火墙在保护系统免受攻击中的关键作用。 2. Linux防火墙简介： - Netfilter：...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值