RHCE(四)——防火墙高级应用

防火墙高级应用

一、管理Firewalld

1.Linux防火墙的组成

组成：  netfilter(内核模块) +  firewalld/iptables(应用层)       

                             +---------+

                  /---------| drop    |                 sip:172.16.0.0/16

+------------+           +---------+

|            |                +---------+                eth0

| localhost |---------- | public |                      

|            |                +---------+                eth1

+------------+            +---------+

                  \---------| trusted |                 sip: 192.168.1.0/24

                              +---------+

预定义的zone

trusted

         许任何流入数据包和流出数据包

home       

         任何流入的数据包都将拒绝,但允许数据包流出和预定义服务（ssh、mdns、ipp-client、sbmclient、dhcpv6-client）的数据包可以流入

internal

         同上

work

         任何流入的数据包都将拒绝,但允许数据包流出和预定义服务（ssh、ipp-client、dhcpv6-client）的数据包可以流入

public

         任何流入的数据包都将拒绝,但允许数据包流出和预定义服务（ssh、dhcpv6-client）的数据包可以流入.新添加的网卡默认绑定到该区

external

         任何流入的数据包都将拒绝,但允许数据包流出和预定义服务（ssh）的数据包可以流入.所有从该区出去的数据包都将映射

成该区所绑定的网卡的IP。

dmz

         任何流入的数据包都将拒绝,但允许数据包流出和预定义服务（ssh）的数据包可以流入.

block

         任何流入的数据包都将拒绝,但允许数据包流出

drop 

         任何流入网络数据包都将被丢弃,不作出任何回应.只允许数据包出去.

2.使用firewalld

为了能够使用firwalld服务和相关工具去管理防火墙，必须启动firwalld服务，而且仅用以前旧防火墙相关服务

# systemctl mask iptables

# systemctl mask ip6tables

# systemctl enable firewalld

# systemctl status firewalld 

如果看到的当前的服务不是running,那么要 systemctl start firewalld

只有firewalld服务启动了，才能使用相关工具： firewall-config(图形界面), firewall-cmd

firewall