firewalld-1

firewalld 防火墙配置应用

拓扑图

firewalld_01.png

要求

网关服务器

连接互联网网卡ens33地址为100.1.1.10，为公网P地址，
分配到 firewalld 的 externa (外部)区域；

连接内网网卡en37地址为192.168.1.1，
分配到 firewalld 的 trusted (信任)区域；

连接服务器网卡ens38地址为192.168.2.1，
分配到 firewalld的dmz(非军事)区域

网站服务器和网关服务器均通过SH来远程管理,为了安全,将SH默认端口改为12345

网站服务器开启hps,过滤未加密的htt流量

网站服务器拒绝ping

配置

#客户机配置
#192.168.1.10
#
#主机名
vim /etc/hostname
#
#配置IP
#
#

#web服务器 配置
#2.10
#
#
#主机名
vim /etc/hostname
#
#
#配置IP
vim /etc/sysconfig/network-scripts/ifcfg-ens33
#
#
#
#apache 搭建
#本地yum——脚本
#!/bin/bash
#配置本地yum
rm -rf /etc/yum.repos.d/*
echo '[aa]
name=aa
baseurl=file:///media
enable=1
gpgcheck=0' > /etc/yum.repos.d/a.repo
mount /dev/cdrom /media &> /dev/null
echo "OK!!"
#
#安装软件包
yum -y install httpd mod_ssl
#
#启动httpd
systemctl enable httpd
systemctl start httpd
#
#创建 测试网页
echo "<h1>test web</h1>" >  /var/www/html/index.html
#
#
#
#修改 ssh服务（监听地址）（需要关闭selinux）
vim /etc/ssh/ssh_config
#修改为
Port 2345       //前面注释需要去掉
#
#重启 sshd服务
systemctl restart sshd
#
#
#
#配置 firewalld防火墙
systemctl enable firewalld
systemctl start firewalld
#
#配置dmz区域
firewall-cmd --zone=dmz --add-service=https --permanent
firewall-cmd --zone=dmz --add-port=2345/tcp --permanent
#禁止ping
firewall-cmd --add-icmp-block=echo-request --zone=dmz --permanent
#因为前面已更改SSH端口，现关闭 SSH服务默认端口
firewall-cmd --zone=dmz --remove-service=ssh  --permanent

#重新加载 firewalld
firewall-cmd --reload
#并查看刚才配置
firewall-cmd --list-all --zone=dmz

#网关服务器 配置
#192.168.1.1（ens37）、192.168.2.1（ens38）、100.1.1.10（ens33）
#
#
#主机名
vim /etc/hostname
#
#
#配置IP
vim /etc/sysconfig/network-scripts/ifcfg-ens33
#
#
#开启路由转发
vim /etc/sysctl.conf 
#添加
net.ipv4.ip_forward = 1
#查看
sysctl -p
#结果为
net.ipv4.ip_forward = 1

#
#
#开启 firewalld服务
systemctl enable firewalld
systemctl start firewalld
#
#查看 firewalld服务运行状态
firewall-cmd --state
#
#配置 firewalld服务
#设置 external为默认区域
firewall-cmd --set-default-zone=external
#查看配置结果
firewall-cmd --list-all
#将 ens37网卡配置到 trusted区域
firewall-cmd --change-interface=ens37 --zone=trusted 
#将 ens38网卡配置到 dmz区域
firewall-cmd --change-interface=ens38 --zone=dmz
#查看配置情况
firewall-cmd --get-active-zones
#
#
#在 1.10上测试访问 2.10网站服务器
#
#
#修改 ssh服务（监听地址）
vim /etc/ssh/ssh_config
#修改为
Port 2345       //前面注释需要去掉
#重启 sshd服务
systemctl restart sshd
#
#
#配置 external区域添加的 TCP 2345端口
firewall-cmd --zone=external --add-port=2345/tcp --permanent
#
#配置 external区域移除默认 SSH服务
firewall-cmd --zone=external --remove-service=ssh  --permanent
#
#配置 external区域禁止 ping
firewall-cmd --zone=external --add-icmp-block=echo-request --permanent
#
#重新加载 firewalld配置
firewall-cmd --reload
#
#
#外网客户机 测试SSH登录网关服务器
ssh -p 2345 100.1.1.10
#
#
#内网客户机 测试SSH登录网关服务器
ssh -p 2345 192.168.2.10
#
#

#外网服务器 配置
#100.1.1.200
#
#配置IP
vim /etc/sysconfig/network-scripts/ifcfg-ens33
#