理论操作：Linux防火墙firewalld安全设置--------------------------------------以后会不会出防水墙？？

前言

​ centos 7中防火墙FirewallD是一个非常的强大的功能了, FirewallD 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。它支持 IPv4, IPv6 防火墙设置以及以太网桥接，并且拥有运行时配置和永久配置选项。它也支持允许服务或者应用程序直接添加防火墙规则的接口。 以前的 system-config-firewall/lokkit 防火墙模型是静态的，每次修改都要求防火墙完全重启。这个过程包括内核 netfilter 防火墙模块的卸载和新配置所需模块的装载等。而模块的卸载将会破坏状态防火墙和确立的连接。

​ 相反，firewall daemon 动态管理防火墙，不需要重启整个防火墙便可应用更改。因而也就没有必要重载所有内核防火墙模块了。不过，要使用 firewall daemon 就要求防火墙的所有变更都要通过该守护进程来实现，以确保守护进程中的状态和内核里的防火墙是一致的。另外，firewall daemon 无法解析由 iptables 和 ebtables 命令行工具添加的防火墙规则。

一：rewalld防火墙基础

1.1：Firewalld概述

• 支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具
• 支持IPv4、IPv6防火墙设置以及以太网桥
• 支持服务或应用程序直接添加防火墙规则接口
• 拥有两种配置模式
  1、运行时配置
  2、永久配置

1.2：Firewalld和iptables的关系

1、netfilter

• 位于Linux内核中的包过滤功能体系
• 称为Linux防火墙的“内核态”

2、Firewalld/iptables

• CentOS7默认的管理防火墙规则的工具(Firewalld)
• 称为Linux防火墙的“用户态"

1.3：Firewalld和iptables的区别

	Firewalld	iptables
配置文件	/usr/lib/firewalld/ （用户管理） /etc/firewalld （服务本身配置）	/etc/sysconfig/iptables
对规则的修改	不需要全部刷新策略，不丢失现行连接	需要全部刷新策略,丢失连接
防火墙类型	动态防火墙	静态防火墙

1.4：Firewalld网络区域

• 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
• 可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
• 默认情况下，public区域是默认区域，包含所有接口(网卡) .

1.5：Firewalld数据处理流程

Firewalld数据处理流程&#