Linux私房菜—Shell命令（十一）Firewalld|区域管理|服务管理|端口管理

1.Firewalld概述

• Firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙

• Firewalld和iptables都是用来管理防火墙的工具(属于用户态)来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统(属于内核态)来实现包过滤防火墙功能。

• Firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。

• 支持IPv4、 IPv6防火墙设置以及以太网桥(在某些高级服务可能会用到，比如云计算)，并且拥有两种配置模式:运行时配置与永久配置。

2.Firewalid和iptables的区别

iptables	Firewalld
iptables主要是基于接口，来设置规则，从而判断网络的安全性。	firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。
iptables在/etc/ sysconfig/iptables中储存配置,	firewalld将配置储存在/etc/firewalld/ ( 优先加载)和/usr/lib/ firewalld/ ( 默认的配置文件)中的各种XML文件里。
使用iptables每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables里读取所有新的规则。	使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内，改变设置而不丢失现行连接。
iptables防火墙类型为静态防火墙	firewalld防火墙类型为动态防火墙

3.Firewalld的9个预定区域

trusted (信任区域)	放通所有传入流量
public (公共区域)	允许ssh或dhcpv6-client预定义类服务匹配的传入流量，其余统统请回
externa (外部区域)	用于外部流量传入，其余全部请回
home (家庭区域)	允许ssh、ipp-slient、mdns、saba-client或dhcpv6-client预定义服务匹配的传入流量，其余全部回绝
internal (内部区域)	默认值时与home区域相同
work (工作区域)	允许ssh、ipp-slient、dhcpv6-client预定义服务匹配的传入流量，其余统统请回
dmz (隔离区域)	外网 -> dmz -> 防火墙 -> 内网 允许ssh预定义服务匹配的传入流量，其余统统请回
block (限制区域)	和trusted相反它会拒绝所有传入流量
drop (丢弃区域)	丢弃所有传入流量，包括包含ICMP的错误响应

4.Firewalld检查数据包的源地址规则

• 若源地址关联到特定的区域（即源地址或接口绑定的区域有冲突），则执行该区域所制定的规则。
• 若源地址未关联到特定的区域（即源地址或接口绑定的区域没有冲突），则使用传入网络接口的区域并执行该区域所制定的规则。
• 若网络接口也未关联到特定的区域（即源地址或接口都没有绑定特定的某个区域），则使用默认区域并执行该区域所制定的规则。

5.Firewalld配置的方法

• 使用firewall-cmd 命令行工具。
• 使用firewall-config 图形工具。
• 编写/etc/firewalld/中的配置文件。

systemctl start firewalld.service        #开启防火墙服务

6.常用的命令选项

firewall-cmd 参数

–get-default-zone	显示当前默认区域
–set-default-zone=<zone>	设置某区域为默认区域
–get-active-zone	查看当前使用的区域和对应的网卡接口
–get-zone	显示所有可用区域
–get-zone-of-interface=<interface>	显示指定接口绑定的区域
–zone= --add-interface=<interface>	为指定接口绑定区域
–zone= --change-interface=<interface>	为指定的区域更改绑定的网络接口
–zone= --remove-interface=<interface>	为指定的区域删除绑定的网络接口
–get-zone-of-source=<source>[/]	显示指定源地址绑定的区域
–zone= --add-source=<source>[/<mask>]	为指定源地址绑定区域
–zone= --change-source=<source>[/<mask>]	为指定的区域更改绑定的源地址
–zone= --remove-source=<source>[/<mask>]	为指定的区域删除绑定的源地址
–list-all-zones	显示所有区域及其规则
[–zone=] --list-all	显示所有指定区域的所有规则，省略–zone=<zone>时表示仅对默认区域操作
[–zone=] --list-services	显示指定区域内允许访问的所有服务
[–zone=] --add-service=<service>	为指定区域设置允许访问的某项服务
[–zone=] --remove-service=<service>	删除指定区域已设置的允许访问的某项服务
[–zone=] --list-ports	显示指定区域内允许访问的所有端口号
[–zone=] --add-port=<portid>[-<portid>]/<protocol>	为指定区域设置允许访问的某个/某段端口号（包括协议名）
[–zone=] --remove-port=<portid>[-<portid>]/<protocol>	删除指定区域已设置的允许访问的端口号（包括协议名）
[–zone=] --list-icmp-blocks	显示指定区域内拒绝访问的所有 ICMP 类型
[–zone=] --add-icmp-block=<icmptype>	为指定区域设置拒绝访问的某项 ICMP 类型
[–zone=] --remove-icmp-block=<icmptype>	删除指定区域已设置的拒绝访问的某项ICMP类型
firewall-cmd --get-icmptypes	显示所有 ICMP 类型

查看网卡接口绑定的区域
只有绑定了接口或者IP时区域才会被激活

7.区域管理

7.1 显示当前系统中的默认区域

firewall-cmd --get-default-zone

7.2 显示默认区域的所有规则

firewall-cmd --list-all

7.3 显示当前正在使用的区域及其对应的网卡接口

firewall-cmd --get-active-zones

7.4 设置默认区域

firewall-cmd --set-default-zone=home
firewall-cmd --get-default-zone

8.服务管理

8.1 查看默认区域内允许访问的所有服务

firewall-cmd --list-service

8.2 添加httpd服务到public区域

firewall-cmd --add-service=http --zone=public

8.3 查看public区域已配置规则

firewall-cmd --list-all --zone=public

8.4 删除public区域的httpd服务

firewall-cmd --remove-service=http --zone=public

8.5 同时添加httpd、https服务到默认区域，设置成永久生效

firewall-cmd --add-service=http --add-service=https --permanent
firewall-cmd --reload
firewall-cmd --list-all

8.6 添加使用 --permanent选项表示设置成永久生效，需要重新启动firewalld服务或执行"firewall-cmd --reload"命令重新加载防火墙规则时才会生效

若不带有此选项，表示用于设置运行时规则，但是这些规则在系统或firewalld服务重启、停止时配置将失效

--runtime-to-permanent

将当前的运行时配置写入规则配置文件中，使之成为永久性配置

9.端口管理

9.1 允许 TCP 的443端口到 internal 区域

firewall-cmd --zone=internal --add-port=443/tcp
firewall-cmd --list-all --zone=internal

9.2 从 internal 区域将 TCP 的443端口移除

firewall-cmd --zone=internal --remove-port=443/tcp

9.3 允许 UDP 的2048~2050端口到默认区域

firewall-cmd --add-port=2048-2050/udp
firewall-cmd --list-all

• 任何一个活跃的区域至少需要关联源地址或接口
• firewalld会对传入系统的数据包根据包源IP地址优先执行
• 源IP地址绑定的特定区域或接口有冲突则执行该区域所制定的规则，如未关联特定的区域，有区域绑定的IP地址
• 先看源IP绑定的区域再看绑定的接口最后再看默认区域