firewalld防火墙

最新推荐文章于 2024-06-28 09:31:42 发布

kid00013

最新推荐文章于 2024-06-28 09:31:42 发布

阅读量294

点赞数

文章标签： linux

本文链接：https://blog.csdn.net/kid00013/article/details/124404491

版权

1.firewalld概述

2.firewalld和iptables之间的区别

1.firewalld概述

firewal1d防火墙是centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙。

支持IPv4、IPv6防火墙设置以及以太网桥
支持服务或应用程序直接添加防火墙规则接口
拥有两种配置模式：临时模式、永久模式

firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统（属于内核态）来实现包过滤防火墙功能。
firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。
它支持IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算），并且拥有两种配置模式：运行时配置与永久配置。

2.firewalld和iptables之间的区别

iptables主要是基于接口，来设置规则，从而判断网络的安全性。
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。
iptables在/etc/sysconfig/iptables中储存配置，firewalld 将配置储存在/etc/firewalld/（优先加载）和/usr/lib/firewalld/（默认的配置文件）中的各种XML文件里。
使用iptables每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables里读取所有新的规则。
使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewal1d可以在运行时间内，改变设置而不丢失现行连接。
iptables防火墙类型为静态防火墙，firewalld防火墙类型为动态防火墙

3.firewalld区域

在Firewalld中，引入了一个新的概念-区域（zone），我们也可以把区域当成已经存在的策略模板，直接可以引用。我们可以在目录看到这些区域配置文件，这些区域配置文件存在于/usr/lib/firewalld/zones目录中，firewalld中还有一个目录/etc/firewalld/zones,firewalld使用规则时，会首先到/etc/firewalld目录中查找，如果可以找到，那么就直接使用，否则会继续到/usr/lib/firewalld目录中查找。

区域配置文件

firewalld防火墙预定义了9个区域：

trusted（信任区域）：允许所有的传入流量。
public（公共区域）：允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。
external（外部区域）：允许与ssh预定义服务匹配的传入流量，其余均拒绝。默认将通过此区域转发的IPv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络。
home（家庭区域）：允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。
internal（内部区域）：默认值时与home区域相同。
work（工作区域）：允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。
dmz（隔离区域也称为非军事区域）：允许与ssh预定义服务匹配的传入流量，其余均拒绝。
block（限制区域）：拒绝所有传入流量。
drop（丢弃区域）：丢弃所有传入流量，并且不产生包含ICMP的错误响应。

firewalld区域介绍

区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
默认情况下，public区域是默认区域，包含所有接口（网卡）

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口。
默认情况下，public区域是默认区域，包含所有接口（网卡）

区域的优先级

源地址优先级高于网卡

网卡优先级高于默认配置