FIREWALLD详解，linux上开启防火墙

目录

1. 定义

1.从软、硬件形式上分为 软件防火墙和硬件防火墙以及芯片级防火墙。
2.从防火墙技术分为 “包过滤型”和“应用代理型”两大类。
3.从防火墙结构分为 < 单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。
4. 按防火墙的应用部署位置分为 边界防火墙、个人防火墙和混合防火墙三大类。
5. 按防火墙性能分为 百兆级防火墙和千兆级防火墙两类。
linux防火墙
6.防火墙的核心是数据报文过滤
工作在主机或者网络的边缘，对进出的数据报文进行检查，监控，并且能够根据事先定义的匹配条件和规则做出相应的动作的组件，机制或者系统
linux一般都是作为服务器系统来使用，对外提供一些基于网络的服务
通常我们都需要对服务器进行一些网络访问控制，类似防火墙的功能

2.访问控制列表

指令
Iptables -A INPUT -s 172.16.20.85 -d 172.16.20.78 -p icmp --icmp-type 8 -j REJECT

Iptables -A OUTPUT -s 172.16.20.78 -d 172.16.20.85 -p icmp --icmp-type 0 -j REJECT

3. 防火墙功能

常见的访问控制包括：哪些ip可以访问服务器、可以使用哪些协议、哪些接口，是否通过数据包进行修改等
如：服务器可能受到来自某个ip攻击，这时就需要禁止所有来自ip的访问
防火墙功能：
1.可以保护易受攻击服务；
2.控制内外网之间网络系统的访问；
3.集中管理内网的安全性，降低管理成本；
4.提高网络的保密性和私有性；
5.记录网络的使用状态，为安全规划和网络维护提供依据

包过滤防火墙原理

linux内核

linux内核集成了网络控制功能。通过netfilter模块来实现
linux内核通过netfilter模块实现网络访问控制功能在用户 层我们可以通过iptables程序对netfilter进行控制管理。iptables 是一个应用层的应用程序，它通过 Netfilter 放出的接口来对存放在内核内存中的 XXtables（Netfilter的配置表）进行修改。这个XXtables由表tables、链chains、规则rules组成，iptables在应用层负责修改这个规则文件。类似的应用程序还有 firewalld 。
netfilter可以对数据进行允许、丢弃、修改操作
netfilter支持通过以下方式对数据包进行分类：
源ip地址
目标ip地址
使用接口
使用协议（TCP UDP ICMP）
端口号
连接状态 （new established related invalid）

iptables service

首先对旧的防火墙规则进行了清空，然后重新完整地加载所有新的防火墙规则，而如果配置了需要 reload 内核模块的话，过程背后还会包含卸载和重新加载内核模块的动作，而不幸的是，这个动作很可能对运行中的系统产生额外的不良影响，特别是在网络非常繁忙的系统中。
如果我们把这种哪怕只修改一条规则也要进行所有规则的重新载入的模式称为静态防火墙的话，那么 firewalld 所提供的模式就可以叫做动态防火墙，它的出现就是为了解决这一问题，任何规则的变更都不需要对整个防火墙规则列表进行重新加载，只需要将变更部分保存并更新到运行中的 iptables 即可,它具备对 IP v4 和 IP v6 防火墙设置的支持。

网络各层技术点