Firewalld防火墙知识点

firewalld与iptables的区别

• firewalld可以动态修改单条规则，不需要像iptabes在修改规则后必须得全部刷新才可以生效
• firewalld使用比iptables人性化很多，不明白“四表五链”对于TCP/IP协议不理解也可以实现大部分功能
• firewalld每个服务都需要设置才能放行，默认拒绝所有服务；iptables默认每个服务允许，需要拒绝的才去限制
• firewalld加入区域zone的概念

防火墙区域概述

• 区域是Firewalld预先准备几套防火墙策略集合（策略模板），用户根据生产场景的不同而选择适合的策略集合，从而实现防火墙策略之间的快速切换

• 区域默认规则策略

  区域	默认规则策略
  trusted	允许所有的数据包流入与流出
  home	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6- client服务相关，则允许流量
  internal	等同于home区域
  work	拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
  public	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
  external	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
  dmz	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
  block	拒绝流入的流量，除非与流出的流量相关
  drop	拒绝流入的流量，除非与流出的流量相关

• 默认定义的区域配置文件

  [root@docker ~]# ls /usr/lib/firewalld/zones/
  block.xml  dmz.xml  drop.xml  external.xml  home.xml  internal.xml  public.xml  trusted.xml  work.xml
  [root@docker ~]# cat /usr/lib/firewalld/zones/public.xml 
  <?xml version="1.0" encoding="utf-8"?>
  <zone>
  	<short>Public</short>
  	<description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  	<service name="ssh"/>
   	<service name="dhcpv6-client"/>
  </zone>
  

• 存储规则配置文件

  /etc/firewalld/