Linux--RH254---unit 10 firewalld

1.定义

    动态防火墙后台程序 firewalld 提供了一个 动态管理的防火墙,用以支持网络 “ zones” ,以分配对一个网络及其相关链接和界面一定程度的信任。它具备对 IP v4 和 IP v6 防火墙设置的支持。它支持以太网桥,并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。

    基于用户对网络中设备和交通所给与的信任程度,防火墙可以用来将网络分割成不同的区域。NetworkManager通知firewalld一个接口归属某个区域,新加入的接口被分配到默认区域。

网络区名称 默认配置

trusted(信任) 可接受所有的网络连接

home(家庭) 用于家庭网络,仅接受ssh、mdns、ipp-client、samba-client、或dhcpv6-client服务连接

internal(内部) 用于内部网络,仅接受ssh、mdns、ipp-client、samba-client、dhcpv6-client服务连接

work(工作) 用于工作区,仅接受ssh、ipp-client或dhcpv6-client服务连接

public(公共) 在公共区域内使用,仅接受ssh或dhcpv6-client服务连接,为firewalld的默认区域

external(外部) 出去的ipv4网络连接通过此区域伪装和转发,仅接受ssh服务连接

dmz(非军事区) 仅接受ssh服务接连

block(限制) 拒绝所有网络连接

drop(丢弃) 任何接收的网络数据包都被丢弃,没有任何回复

 

2.开启firewalld

systemctl status firewalld ##查看firewalld状态

systemctl stop iptables ##关闭iptables

systemctl mask iptables ##冻结启动

systemctl start firewalld ##开启firewalld

systemctl enable firewalld ##允许开机启动

 

3.使用命令行接口配置防火墙

firewall-config ##开启图形管理

firewall-cmd --state ##查看firewalld状态

firewall-cmd --get-active-zones ##查看当前活动的区域,并附带一个目前分配给它们的接口列表

firewall-cmd --get-zones ##查看所有可用区域

firewall-cmd --zone=public --list-all ##列出指定域的所有设置

firewall-cmd --get-services ##列出所有预设服务

firewall-cmd --get-default-zone ##查看默认区域

firewall-cmd --set-default-zone=trusted ##设置默认区域

firewall-cmd --permanent --add-source=172.25.254.31 ##设置网络地址到默认区域，--permanent参数表示永久生效设置

firewall-cmd --reload ##重载防火墙，不会中断已经建立的连接

firewall-cmd --list-all ##列出默认区域设置，--list-all-zones列出所有区域的设置

firewall-cmd --permanent --remove-source=172.25.254.31 ##删除默认区域网络地址

firewall-cmd --permanent --zone=trusted --add-source=172.25.254.31 ##设置网络地址到指定的区域

firewall-cmd --zone=trusted --add-interface=eth1 ##添加网络接口

firewall-cmd --zone=trusted --remove-interface=eth1 ##删除网络接口

firewall-cmd --zone=public --add-service=http ##添加服务

firewall-cmd --zone=public --remove-service=http ##删除服务

firewall-cmd --list-ports ##列出端口

firewall-cmd --add-port=53/tcp ##添加端口

 

4.Direct Rules

firewall-cmd --permanent --remove-service=ssh ##删除ssh服务

firewall-cmd --complete-reload ##重载防火墙，中断已经建立的连接

firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -s 172.25.254.31 -p tcp --dport 22 -j ACCEPT ##允许31主机通过ssh连接

firewall-cmd --direct --get-all-rules ##列出规则

firewall-cmd --direct --remove-rule ipv4 filter INPUT 0 -s 172.25.254.31 -p tcp --dport 22 -j ACCEPT ##删除规则

firewall-cmd --direct --add-rule ipv4 filter INPUT 0 ！-s 172.25.254.31 -p tcp --dport 22 -j ACCEPT ##允许31主机以外的主机通过ssh连接

 

5.多语言命令的格式

在这个部分,所有命令都必须以 root 用户身份运行

firewall-cmd --list-rich-rules ##列出所有多语言规则

firewall-cmd --add-rich-rule="rule service name=ftp limit value=1/m accept" ##每分钟允许1个新连接访问ftp服务

firewall-cmd --add-rich-rule="rule protocol value=icmp reject" --timeout=10 ##拒绝所有icmp包，如果指定超时,规则将在指定的秒数内被激活,并在之后被自动移除

 

6.伪装和端口转发

firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toport=22:toaddr=172.25.254.1 ##端口转发

firewall-cmd --add-masqueradef ##添加服务

firewall-cmd --zone=public --add-rich-rule="rule family=ipv4 source address=172.25.254.231 masquerade" ##伪装