2020-10-25

Linux第十一天

iptables与firewalld防火墙
防火墙作为内网与外网的保护屏障。
iptables与firewalld只是定义防火墙策略的防火墙管理工具而已。

iptables
首先，用来处理或者过滤流量的叫规则，规则链有多条规则。
PREROUTING
INPUT
OUTPUT
FORWARD
POSTROUTING
其中，INPUT规则链使用最多。
还有匹配规则后，需要进行的动作分为四个，ACCEPT,DROP,REJECT,LOG。
iptables的参数与使用如下，


firewalld
RHEL7系统中集成了多款防火墙管理工具，
其firewalld（DynamicFirewallManagerofLinux
systems，Linux系统的动态防火墙管理器）
服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种理方式。相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。例如，我们有一台笔记本电脑，每天都要在办公室、咖啡厅和家里使用。按常理来讲，这三者的安全性按照由高到低的顺序来排列，应该是家庭、公司办公室、咖啡厅。当前，我们希望为这台笔记本电脑指定如下防火墙策略规则：在家中允许访问所有服务；在办公室内仅允许访问文件共享服务；在咖啡厅仅允许上网浏览。在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标就可以自动切换了，从而极大地提升了防火墙策略的应用效率。firewalld中常见的区域名称（默认为public）以及相应的策略规则。
firewalld中常用的区域名称如下，
trusted
允许所有的数据包
home
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关
internal
等同于home区域
work
拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block
拒绝流入的流量，除非与流出的流量相关
drop
拒绝流入的流量，除非与流出的流量相关
firewalld管理工具之一，终端管理工具。

Linux系统中其他的防火墙策略配置工具一样，使用firewalld配置的防火墙策略默认
为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配
置策略一直存在，就需要使用永（Permanent）模式了，方法就是在用firewall-cmd命令正
常设置防火墙策略时添加–permanent参数，
这样配置的防火墙策略就可以永久生效了。
但是，永久生效模式有一个“不近人情”的特点，就是使用它设置的策略只有在系统重启之
后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd–reload命令。
使用情况，一个实验搞定。

firewalld的富规则，更加精准的防火墙策略。

最后的配置工具，图形化管理
firewall-config，需要先安装。