3.FireWalld防火墙

FireWalld防火墙

概述

firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也

是工作在网络层，属于包过滤防火墙。

firewalld和iptables都是用来管理防火墙的工具(属于用户态)来定义防火墙的各种规则功

能，内部结构都指向netfilter网络过滤子系统(属于内核态)来实现包过滤防火墙功能

fircwalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。
它支持IPv4、IPv6防火墙设置以及以太网桥(在某些高级服务可能会用到，比如云计算)
并且拥有两种配置模式:运行时配置与水久配置

• netfilter

  • 位于Linux内核中的包过滤功能体系
  • 称为Linux防火墙的"内核态’

• Firewalld/iptables

  • CentOS7默认的管理防火墙规则的工具(Firewalld)
  • 称为Linux防火墙的“用户态”

firewalld和iptables区别

• firewalld与iptables 的区别:

  • iptables主要是基于接口，设置规则，从而判断网络的安全性。

    firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安

    全，与便件防火墙的设置相类似。

  • iptables在/etc/sysconfig/ iptables中储存配置。

    firewalld将配置储存在/etc/firewalld/ (优先加载)和

    ​ /usr/lib/firewalld/ ( 默认的配置文件)中的各种 XML 文件里。

  • 使用iptables每一个单独更改意味着清除所有旧有的规从/etc/sysconfig/iptables

    里读取所有新的规则，规则修改后会立即生效

    使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此

    firewalld可以在运行时间内，改变设置而不丢失现行连接。

  • iptables防火墙类型为静态防火墙

    firewalld防火墙类型为动态防火墙

	Firewalld	iptables
配置文件	/usr/lib/firewalld/ /etc/firewalld	/etc/sysconfig/iptables
对规则的修改	不需要全部刷新策略，不丢失现行连接	需要全部刷新策略，丢失连接
防火墙类型	动态防火墙	静态防火墙

firewalld区域

• 区域介绍

  • 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
  • 可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
  • 默认情况下，public区 域是默认区域，包含所有接口(网卡)

• firewalld数据处理

  • 如数据包的源地址与区域绑定，则此数据包不管从哪个网卡传入，都使用该区域的规则过滤数据包；
  • 如数据包的源地址未与区域绑定，则此数据包从哪个网卡传入，则使用该网卡绑定的区域规则过滤数据包
  • 如网卡未绑定区域规则，则使用默认区域规则过滤数据包

• 9大预定义区域

  • public (默认只允许ssh, dhcp协议数据包传入)
  • home (默认只允许ssh, dhcp, samba, mdns协议数据包传入)
  • work (默认只允许ssh, dhcp协议数据包传入)
  • internal (默认只允许ssh, dhcp, samba, mdns协议数据包传入)
  • exLernal (默认只允许ssh协议数据包传入，传出数据包会做地址伪装转换MASQUERADE)
  • dmz (非军事区域，默认只允许ssh协议数据包传入)
  • trusted (允许所有)
  • block (拒绝所有，有响应消息)
  • drop(丢弃所有，无响应消息)

• 默认情况下，public区域是默认区域，默认绑定所有接口(网卡)

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。

区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的

流量传入。

可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址

或接口。

firewalld配置

• firewalld配置方法

1. firewall-config 使用图形化界面
2. cd /etc/firewalld/zones 修改配置文件
3. firewall -cmd 使用命令行进行操作

systemctl start firewalld     ##配置前先开启防火墙

一个区域可以绑定多个网卡或IP，一个网卡或IP只能绑定一个区域

查

firewall-cmd --get-default-zone    ##显示当前默认区域

			 --get-active-zones    ##显示当前正在使用的区域及其对应的网卡接口
			 --list-all-zones      ##显示所有区域及其规则
			 --list-all --zone=XXX  ##显示某个区域及其规则
			 --list-services --zone=XXX  ##显示某个区域的服务
			 --list-ports          ##显示指定区域内允许访问的所有端口号
			 --get-zone-of-interface=   ##显示指定接口绑定的区域

增

firewall-cmd --add-interface=xxx --zone=XXX   ##为指定接口绑定区域
firewall-cmd --add-source=xxx --zone=XXX      ##为源IP绑定区域
             --add-service=xxx --zone=XXX     ##为指定服务绑定区域
             --add-service={服务1,服务2,...} --zone=XXX 
             --add-port=端口1/协议 --zone=XXX 
             --add-port=端口1-端口2/协议 --zone=XXX 
             --add-port={端口1,端口2,...}/协议 --zone=XXX 

删

firewall-cmd --remove-interface=xxx --zone=XXX
firewall-cmd --remove-source=xxx --zone=XXX

改

firewall-cmd  --set-default-zone=XXX    ##设置默认区域
              --change-interface=xxx --zone=XXX    ##修改接口的区域
			  --change-source=xxx --zone=XXX      ##修改源地址

永久配置（不会立即生效需要重新加载）
firewall-cmd .....  --permanent
firewall-cmd --reload    或   systemctl restart firewalld

运行时配置（会立即生效，但firewalld服务重启后即失效）
firewall-cmd ....
firewall-cmd --runtime-to-permanent    #将之前的运行时配置都转换成永久配置

设置地址转换
（1）设置 SNAT
firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.80.0/24 -j SNAT --to-source 12.0.0.1

（2）设置 DNAT
firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11