防火墙高级应用
一、管理Firewalld
1.Linux防火墙的组成
组成: netfilter(内核模块) + firewalld/iptables(应用层)
+---------+
/---------| drop | sip:172.16.0.0/16
+------------+ +---------+
| | +---------+ eth0
| localhost |---------- | public |
| | +---------+ eth1
+------------+ +---------+
\---------| trusted | sip: 192.168.1.0/24
+---------+
预定义的zone
trusted
许任何流入数据包和流出数据包
home
任何流入的数据包都将拒绝,但允许数据包流出和预定义服务(ssh、mdns、ipp-client、sbmclient、dhcpv6-client)的数据包可以流入
internal
同上
work
任何流入的数据包都将拒绝,但允许数据包流出和预定义服务(ssh、ipp-client、dhcpv6-client)的数据包可以流入
public
任何流入的数据包都将拒绝,但允许数据包流出和预定义服务(ssh、dhcpv6-client)的数据包可以流入.新添加的网卡默认绑定到该区
external
任何流入的数据包都将拒绝,但允许数据包流出和预定义服务(ssh)的数据包可以流入.所有从该区出去的数据包都将映射
成该区所绑定的网卡的IP。
dmz
任何流入的数据包都将拒绝,但允许数据包流出和预定义服务(ssh)的数据包可以流入.
block
任何流入的数据包都将拒绝,但允许数据包流出
drop
任何流入网络数据包都将被丢弃,不作出任何回应.只允许数据包出去.
2.使用firewalld
为了能够使用firwalld服务和相关工具去管理防火墙,必须启动firwalld服务,而且仅用以前旧防火墙相关服务
# systemctl mask iptables
# systemctl mask ip6tables
# systemctl enable firewalld
# systemctl status firewalld
如果看到的当前的服务不是running,那么要 systemctl start firewalld
只有firewalld服务启动了,才能使用相关工具: firewall-config(图形界面), firewall-cmd
firewall