Linux-防火墙学习总结

概念

Netfilter：数据包过滤机制，三张表五条

• Filter表：过滤数据包
• NAT表：用于网络地址转换(IP、端口)
• Mangle表：修改数据包的服务类型、TTL、并且可以配置路由实现QOS
• INPUT链——进来的数据包应用此规则链中的规则
• OUTPUT链——外出的数据包应用此规则链中的规则
• FORWARD链——转发数据包时应用此规则链中的规则
• PREROUTING链——对数据包作路由选择前应用此链中的规则
• POSTROUTING链——对数据包作路由选择后应用此链中的规则

关于数据包过滤机制有两个软件：firewalld与iptables

• iptables：在配置防火墙规则时，有表格（table）、链（chain）和规则（rule）三个维度。其中table包含多个chain，每个chain包括默认策略和规则。
• firewalld：相对iptables，管理简单些，其中一个重要概念（区域）通过将网络划分成不同的区域，制定出不同区域之间的访问控制策略来控制不同程序区域间传送的数据流。

注意：使用iptables与firewalld控制时，只能二选一

firewalld

配置方法

firewalld的配置方法主要有三种：

1. firewall-config：图形化工具
2. firewall-cmd:命令行工具
3. 直接编辑修改xml文件

配置文件

1. zone目录/usr/lib /firewalld/zones/：
   block.xml、dmz.xml、drop.xml、external.xml、 home.xml、internal.xml、public.xml、trusted.xml、work.xml（常规为9个）
2. 服务目录 /usr/lib/firewalld/services/：
   *.xml…（有多个）
3. 火墙策略规则目录/etc/firewalld/zones：
   public.xml、public.xml.old

firewall-cmd

1. 关闭iptables

stop disable mask
systemctl mask iptables
#锁定iptables服务
ln -s '/dev/null' '/etc/systemd/system/iptables.service'
#通过将服务连接到黑洞中的方式

2. firewall-cmd

firewall-cmd --list-all
public (default, active)		#（默认域，激活域）
  interfaces:					#接口，eth0
  sources: 						#访问源，ip网段<