linux系统的防火墙

一，概述

   动态防火墙后台程序 FireWalld提供了一个动态管理的防火墙，用以支持网络的zones，以分配对一个网络及相关连接和界面一定程度的信任；它支持以太网桥，并有分离运行时间和永久行配置选择。

域：firewalld预先准备的几套防火墙的策略，用户可以根据不同的场景选择不同的域。

trusted ：允许所有的数据包

block：拒绝所有网络连接

drop：任何接受的网络数据包都被丢弃，没有任何恢复

public：用于公共区域使用，仅接受ssh，dhcpv6-client等服务

二，防火墙的相关命令

1，开启防火墙，并查看防火墙的状态

查看火墙的状态

查看火墙正在使用的域

查看火墙所有的域

查看public域的信息

查看通过火墙的服务

修改火墙默认的域

火墙的图形化配置工具

2.接口控制

首先查看接口信息

将接口eth0加入到block域中

然后就不能ping通该接口的地址，并且显示的是prohibited（被禁止的）

防火墙策略，可以访问特定的接口

首先将http服务的端口改为8080

然后对防火墙进行策略，将8080接口对外开放

然后就可以通过浏览器访问http服务

禁止某一台特定的主机访问

刚开始200这台主机还可以访问，当将这台主机的ip地址加入block域以后就不能访问

当服务端永久变革时，

[root@localhost ~]# firewall-cmd --reload：这样已经连接的主机不会断开

[root@localhost ~]# firewall-cmd --complete-reload ：这样会立即断开，无法操作

防火墙的访问控制

内核防火墙的三表五链

filter（经过本机内核的数据）	input	output	forward
nat（不经过本机内核的数据）	input	output		prerouting（路由前）	postrouting（路由后）
mangle（所有经过本机上的数据）	input	output	forward	prerouting	postrouting

3.rich rules

地址转换

当有人远程连接109时会转到200的主机上，填写密码时需要200这台主机的密码。

首先要进行防火墙的策略配置，

然后打开masquerade

当在209这台主机上ssh 109时会自动跳转到200这台主机上

伪装：当你去远程连接一台主机时，别人看到的时别的主机在连他

让两个不在统一网段的两台主机通信

首先需要在服务端的两个网卡上设置不同的ip

另外一台客户端的ip地址也要设置成0网段，网关是服务端eth1的地址

然后将服务端内核级的防火墙打开

通过客户端去远程连接200这台主机时，在200上显示的是服务端的eth0在连接他

三，iptables

显示内核三张表的信息

2.表格命令编辑   默认filter表

  iptables -A INPUT -s 172.25.254.100 -j REJECT  添加

  iptables -D INPUT 6  删除INPUT链的第6条

  iptables -I INPUT -s 172.25.254.100 -j REJECT  插入至第1条

  iptables -R INPUT 1 -j ACCEPT   将INPUT第1条规则改为ACCEPT

 【iptables -F   刷新（类似删除）配置，但是重启后配置依然存在

  systemctl restart iptables.service】

 【iptables -F   刷新后保存，重启后配置为空

  service iptables save

  systemctl restart iptables.service】

  iptables -P FORWARD DROP  将FORWARD链规则改为DROP

  iptables -N redhat  新建redhat自定义链

  iptables -E redhat REDHAt  修改自定义链的名称

  iptables -X REDHAt  删除自定义链

3，服务管理

[root@localhost ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
  允许所有主机链接ssh（22）
[root@localhost ~]# iptables -A INPUT -s 172.25.254.8 -p tcp --dport 80 -j ACCEPT
  只允许主机8链接http（80）
[root@localhost ~]# iptables -A INPUT ! -s 172.25.254.8 -p tcp --dport 53 -j REJECT
  除了主机8都拒链接DNS（53）
[root@localhost ~]# iptables -A INPUT -j REJECT

  读取以上规则后，其他所有访问拒绝  （从前到后，逐条读取）