firewalld

一 组成与分类：

1.1硬件防⽕墙与软件防⽕墙

一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统。按照给定的规则，允许或者限制网络报文通过。
硬件防⽕墙：通过硬件和软件的组合，基于硬件的防⽕墙保护整个内部网络安全。（例如 华为E9000）
软件防⽕墙：通过纯软件，单独使⽤软件系统来完成防⽕墙功能，保护安装它的系统。

1.2 IP信息包过滤系统的两个组件 netfilter和iptables

iptables是Linux系统的防火墙， IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。

1.2.1 netfilter

属于的“内核态”（Kernel Space， 又称为内核空间）的防火墙功能体系。
是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。

1.2.2 iptables 

属于“用户态”（User Space，又称为用户空间）的防火墙管理体系。
是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。

1.2.3  四表五链    Netfilter框架中的四个表和五个链，用于组织和管理防火墙规则。

不同的表对应不同的规则，有自己的规则链类型

表名	作用
raw	确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle	修改数据包内容，用来做流量整形，给数据包设置标记。 包含五个规则链，INPUT、 OUTPUT、  FORWARD、 PREROUTING、 POSTROUTING
nat	负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。 包含三个规则链，OUTPUT、 PREROUTING、 POSTROUTING
filter	负责过滤数据包，确定是否放行该数据包(过滤)。 包含三个规则链，INPUT、 FORWARD、 OUTPUT

链名	作用
INPUT	处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT	处理出站数据包，一般不在此链上做配置。
FORWARD	处理转发数据包，匹配流经本机的数据包。
PREROUTING	在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。 相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING	在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。 相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

1.2.4 规则表和规则链之间的优先顺序

规则表之间的匹配顺序
数据包到达防火墙时，规则表之间的优先顺序：raw >mangle > nat > filter

规则链之间的匹配顺序
主机型防火墙:
入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT -->本机的应用程序
出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序---->OUTPUT ----->POSTROUTING
网络型防火墙：
转发数据（需要经过防火墙转发的数据包)：PREROUTING -->FORWARD -->POSTROUTING

1.2.4 内核中数据包的传输过程

当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
如果数据包是进入本机的，数据包就会到达INPUT链。数据包到达INPUT链后， 任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后返回给发送方。
如果数据包是要转发出去的，且内核允许转发，数据包就会经过FORWARD链，然后到达POSTROUTING链输出。

扩展解释：

在Linux系统中，数据包经过一系列的处理步骤，这些步骤被组织成Netfilter框架中的四表五链，用于实现数据包的过滤、处理和转发。以下是对数据包的传输过程的补充说明：

1. **PREROUTING链**：数据包进入网卡后，首先经过PREROUTING链。在此链中，内核会根据目的IP地址和路由规则判断数据包的去向，即是否需要转发给本机或转发到其他目标地址。如果数据包是进入本机的，它将继续经过后续处理链。数据包两种可能：转发或进入本机

2. **INPUT链**：数据包到达INPUT链后，内核会根据本机的防火墙规则和配置决定如何处理数据包。如果数据包的目的地址是本机的IP地址，那么它将交给本地应用程序进行处理，或根据本地配置的规则进行转发或丢弃。数据包三种可能：处理，转发或丢弃

3. **FORWARD链**：如果数据包不是进入本机，而是需要转发到其他目标地址，且内核允许IP转发（即开启了`ip_forward`功能），则数据包将进入FORWARD链。在FORWARD链中，内核会根据配置的防火墙规则和转发策略来决定如何处理这些转发数据包。数据包只有一种可能：根据防火转发策墙规则和策略转发程序处理前的数据包

4. **OUTPUT链**：如果本地应用程序发送数据包到外部网络，数据包将经过OUTPUT链。在OUTPUT链中，内核会根据本地配置的防火墙规则和转发策略来处理这些数据包，并将它们发送到合适的出口网卡。数据包只有一种可能：将程序处理响应的数据包根据防火墙规则和转发策略转发出去

5. **POSTROUTING链**：在数据包离开本机之前，它会经过POSTROUTING链。在POSTROUTING链中，内核会对数据包进行最后的处理，包括源地址的修改（例如NAT）和其他网络处理操作，然后将数据包发送到合适的出口网卡。修改程序响应包的源地址和其他网络操作，发送给合适的出口网卡。

数据包的传输过程涉及了PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING五个链，根据数据包的目的和来源地址，内核会在这些链中对数据包进行处理和转发。通过配置这些链中的规则和规则动作，管理员可以定制系统的网络策略和防火墙规则，从而实现对数据包的控制和管理。

1.2.5 iptables  与Netfilter框架进行交互的用户空间工具

iptables是Linux系统中用于配置和管理防火墙规则的用户空间工具，它可以与这四个表和五个链进行交互，并对防火墙规则进行配置和管理

iptables是用于与Netfilter框架进行交互的用户空间工具。

二 iptables的安装和规则配置

Centos 7默认使用firewalld防火墙，没有安装iptables， 若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables 。
iptables的配置方法
使用iptables命令行。
使用图形化管理工具system- config- firewall
使用iptables命令行配置规则
iptables  [-t 表名]  管理选项  [链名]  [匹配条件] [-j 控制类型]
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
控制类型使用大写字母，其余均为小写

iptables设置格式

2.1 iptables  [-t 表名]  管理选项  [链名]  [匹配条件] [-j 控制类型]

2.2 -j: 指定控制类型 ACCEPT DROP  REJECT SNAT DNAT  

控制类型                     作用
ACCEPT                    允许数据包通过(默认)
DROP                        直接丢弃数据包，不给出任何回应信息
REJECT                      拒绝数据包通过，会给数据发送端一个响应信息
SNAT                         修改数据包的源地址
DNAT                        修改数据包的目的地址
MASQUERADE          伪装成一个非固定公网IP地址
LOG                           在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

2.3 管理选项 增：A  I 删:F D 改:R 查:L n v  设置默认:P

管理选项                   作用
-A                         在指定链的末尾追加(--append)一条新的规则
-I                         定链的开头（大写i）在指插入(--insert)一条新的规则，未指定序号时默认作为第一条规则
-R                           修改、替换(--replace) 指定链中的某一条规则，可指定规则序号或具体内容
-P                           设置指定链的默认策略(--policy)
-D                           删除(--delete) 指定链中的某一条规则，可指定规则序号或具体内容
-F                            清空(--flush)指定链中的所有规则，若未指定链名，则清空表中的所有链
-L                            列出(--list) 指定链中所有的规则，若未指定链名，则列出表中的所有链
-n                            使用数字形式(--numeric) 显示输出结果，如显示IP地址而不是主机名
-v                             显示详细信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers        查看规则时，显示规则的序号

2.4 匹配条件：匹配的依据

匹配条件    说明
-p    指定要匹配的数据包的协议类型
-s    指定要匹配的数据包的源IP地址
-d    指定要匹配的数据包的目的IP地址
-i    指定数据包进入本机的网络接口
-o    指定数据包离开本机做使用的网络接口
–sport    指定源端口号
–dport    指定目的端口号

匹配条件
 通用匹配
协议匹配                       -p 协议名
地址匹配                      -s 源地址、-d 目的地址 。可以是IP、网段、域名、空(任何地址)
接口匹配                      -i 入站网卡、-o 出站网卡

查看规则 -nL
iptables -nL 

添加规则 -A -I
iptables -t filter -A INPUT -p icmp -j REJECT

删除规则 -D
按序号删除，比较准确
按内容删除，如果有2条相同内容，会删除序号小的那个

修改规则
-R 直接修改。但一般不用这种形式
可以先添加一条新规则，之后再删除旧规则。这样比较保险

设置默认策略 -P
iptables -P INPUT DROP

! 取反时需要注意。

隐含匹配
要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类 型等条件
端口匹配
格式                    含义
--sport 1000    匹配源端口是1000的数据包
--sport 1000:3000    匹配源端口是1000-3000的数据包
--sport 1000:    匹配源端口是1000及以上的数据包
--sport :3000    匹配源端口是3000及以下的数据包

ICMP类型                                  含义
Echo-Request （代码为8）    表示请求
Echo- -Reply （代码为0）    表示回显
Dest ination-Unreachable （代码为3）    表示目标不可达

显示匹配
要求以“-m扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件
多端口匹配
-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表
 IP范围匹配
-m iprange --src-range 源IP范围
-m iprange --dst-range 目的IP范围
MAC地址匹配
 -m mac -- -mac- source MAC地址 
状态匹配
 -m state --state连接状态
状态                  含义
NEW               主机连接目标主机,在目标主机上看到的第一个想要连接的包
ESTABLISHED  主机已与目标主机进行通信,判断标准只要目标主机回应了第一个包,就进入该状态
RELATED          主机已与目标主机进行通信,目标主机发起新的链接方式，一般与ESTABLISHED     配合使用
INVALID            无效的封包,例如数据破损的封包状态

总结

1、Linux防火墙的两个组件：

内核态 netilter（保存包过滤处理的规则集）
用户态 iptables（防火墙规则管理工具）

2、数据包五要素：

源IP，目的IP，源端口，目的端口 ，协议UDP/TCP

3、四表：

raw 对数据包进行状态跟踪
mangle 修改数据包内容，给数据包设置标记
nat 地址转换，转换源/目的IP或者端口
fileter 过滤数据包 放行 丢弃

4、五链：

INPUT 入站
OUTPUT 出站
FORWARD 转发
PREROUTING 路由前修改目的地址
POSTROUTING 路由后修改源IP

5、匹配顺序

1）数据包到达防火墙时，规则表之间的优先顺序：raw >mangle > nat > filter。
2）规则链之间的匹配顺序：
主机型防火墙

入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT -->本机的应用程序
出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序---->OUTPUT ----->POSTROUTING；

网络型防火墙

转发数据（需要经过防火墙转发的数据包)：PREROUTING -->FORWARD -->POSTROUTING

3）链中的规则集：从上往下一次匹配，匹配到规则即停止，若都没有匹配到则按默认策略处理

6、管理选项

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

增：-A 在末尾添加，-I 在指定位置插入
删：-D 删除指定规则，-F 清空所有规则
改：-R，或者-A 添加后 -D 删除
查：-nL 以数字形式显示，--line-numbers 显示规则的序号
设置默认规则：-P

注意：
删除规则前，以及将默认规则修改为DROP之前，一定要先想清楚会不会导致ssh断连。

7、 匹配条件

-p tcp|udp|icmp
-s 源IP
-d 目的IP
-i 入站网卡
-o 出站网卡

systemctl disable --now firewalld   //设置firwalld开机不自启，且现在就关闭
yum install -y iptables iptables-services //安装iptables 和 iptables-services
systemctl start iptables   安装完后启动服务
新建目录：/var/www/html
 cd /var/www/html        //切换目录
 cd /var/www/html        //切换目录
mount /dev/sr0 ./centos7    //将光驱挂载到centos7目录下
iptables -nL --line-numbers   //显示规则的序号
iptables -D INPUT 2  //删除INPUT链中的第2条规则

Firewalld防火墙
firewalld防火墙是centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙。
支持IPv4、IPv6防火墙设置以及以太网桥
支持服务或应用程序直接添加防火墙规则接口
拥有两种配置模式：临时模式、永久模式

firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统（属于内核态）来实现包过滤防火墙功能。

Firewalld和iptables的关系

netfilter
位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态”

Firewalld/iptables
CentOS7默认的管理防火墙规则的工具（Firewalld）
称为Linux防火墙的“用户态”

 Firewalld和iptables的区别

1.对规则的设置不同：
ptables主要是基于接口（网卡），来设置规则，从而判断网络的安全性。
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。
2、配置文件不同：
iptables在/etc/sysconfig/iptables中储存配置；
firewalld 将配置储存在/etc/firewalld/（优先加载）和/usr/lib/firewalld/（默认的配置文件）中的各种XML文件里。
当/etc/firewalld/中没有相关区域的配置文件时，才会加载/usr/lib/firewalld/中的配置文件。

3、对规则的修改：
使用iptables每一个单独更改，意味着清除所有旧的规则和从/etc/sysconfig/iptables里读取所有新的规则。
使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内，改变设置而不丢失现行连接。

4、防火墙类型不同：
iptables防火墙类型为静态防火墙
firewalld防火墙类型为动态防火墙

3 Firewalld区域

3.1 firewalld区域的概念
firewalld防火墙为了简化管理，将所有网络流量分为多个区域(zone)。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。
这些区域配置文件存在于/usr/lib/firewalld/zones目录中，还有一个目录/etc/firewalld/zones。firewalld使用规则时，会首先到/etc/firewalld/目录中查找，如果可以找到就直接使用，找不到会继续到/usr/lib/firewalld/目录中查找。

3.2 firewalld防火墙定义了9个区域

区域                                    作用
trusted（信任区域）           允许所有的传入流量。
public（公共区域）             允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。
external（外部区域）          允许与ssh预定义服务匹配的传入流量其余均拒绝。
home（家庭区域）              允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其他均拒绝。
internal（内部区域）            默认值与home区域相同。
work（工作区域）                允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其他均拒绝
dmz（隔离区域也称非军事区域）允许与ssh预定义服务匹配的传入流量，其他均拒绝。
block（限制区域 ）                拒绝所有传入流量。
drop（丢弃区域）                  丢弃所有传入流量，并且不产生包含icmp的错误响应

3.3 firewalld区域介绍和区域优先级
firewalld区域介绍

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口。
默认情况下，public区域是默认区域，包含所有接口（网卡）。

firewalld数据处理流程
检查数据来源的源地址：
若源地址关联到特定的区域，则执行该区域所指定的规则
若源地址未关联到特定的区域，则使用传入网络接口的区域 并执行该区域所指定的规则
若网络接口未关联到特定的区域，则使用默认区域并执行该 区域所指定的规则
区域优先级：源地址绑定的区域 > 网卡绑定的区域 > 默认区域（只要没有绑定过指定区域的网卡，都适用于于默认区域的规则。默认区域可自定义，不修改则为public）

4 Firewalld防火墙的配置方法

1、firewall-config 图形化工具（生产环境一般只有字符界面，不使用这种方法）
2、firewall-cmd 命令行工具（生产环境中没有图形化界面，所以只能在命令行进行配置）
3、编写 /etc/firewalld 中的配置文件。
Firewalld 会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配置。
/etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/ 中拷贝
/usr/lib/firewalld/ ：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/ 中的配置

firewall-config 图形化工具
在命令行输入”firewall-config“，回车后会弹出图形化管理工具。生产环境一般只有字符界面，不使用这种方法。    配置模式中 运行时配置 或者永久配置

firewall-cmd 命令行工具
不指定区域时，则对默认区域进行操作（默认区域可自定义，不修改则为public）
#默认区域
 --get-default-zone ：显示当前默认区域
 --set-default-zone=<zone> ：设置默认区域
 ​
 --get-active-zones ：显示当前正在使用的区域及其网卡接口
 --get-zones：显示所有可用的区域
 ​
 #网络接口
 --get-zone-of-interface=ens33 ：查看指定接口ens33绑定的区域
 --zone=<zone> --add-interface=<interface> ：为指定接口绑定区域
 --zone=<zone> --change-interface=<interface> ：为指定区域更改绑定的网络接口
 --zone=<zone> --remove-interface=<interface> ：为指定区域删除绑定的网络接口
 ​
 #源地址
 --zone=<zone> --add-source=<source>[/<mask>] ：为指定源地址绑定区域
 --zone=<zone> --change-source=<source>[/<mask>] ：为指定的区域更改绑定的源地址
 --zone=<zone> --remove-source=<source>[/<mask>] ：为指定的区域删除绑定的源地址
 ​
 #显示指定区域的所有规则
 --list-all-zones ：显示所有区域及其规则
 --zone=<zone> --list-all ：显示所有指定区域的所有规则，若不指定区域表示仅对默认的区域操作
 ​
 #服务管理
 --zone=<zone> --list-service ：显示指定区域内允许访问的所有服务
 --zone=<zone> --add-service=<service> ：为指定的区域设置允许访问的某项服务
 --zone=<zone> --remove-service=<service> ：删除指定区域已设置的允许访问的某项服务
 ​
 #端口管理
 --zone=<zone> --list-ports:x显示指定区域内允许访问的所有端口号
 --zone=<zone> --add-port=<poreid>[-portid]/<portocol>:为指定的区域设置允许访问的某个端口号/某段端口号（包括协议）
 --zone=<zone> --remove-port=<poreid>[-portid]/<portocol>:删除指定区域已设置允许访问的端口号（包括协议）
 ​
 #icmp协议
 --zone=<zone> --list-icmp-blocks :显示指定区域内拒接访问的所有icmp类型
 --zone=<zone> --add-icmp-block=<icmptype>：为指定区域设置允许访问的某项icmp类型
 --zone=<zone> --remove-icmp-block=<icmptype>删除指定区域已设置允许访问的某项icmp类型
 firealld-cmd --get-icmptypes ：显示所有icmp类型

5 Firewalld两种配置模式 运行时配置 永久配置

运行时配置：
实时生效，并持续至Firewalld重新启动或重新加载配置文件
不中断现有连接
不能修改服务器配置

永久配置：
不立即生效，除非Firewaddl重新启动或重新加载配置
中断现有连接
可以修改服务配置

运行时配置（临时配置）
运行时配置，实时生效，不会中断现有连接。重启后丢失

永久配置
永久配置不立即生效，需要重启服务或重新加载后才生效。重启服务或重新加载时会中断现有连接。下次重启后不会丢失，永久存在
--permanent 设置成永久生效，需要重启服务或重新加载 后才生效。
 #同时添加 httpd、https 服务到默认区域，并设置成永久生效。
 firewall-cmd --add-service={http,https} --permanent
 firewall-cmd --reload
 #添加使用 --permanent选项表示设置成永久生效，需要重新启动 firewalld 服务或执行firewall-cmd --reload 命令重新加载后才生效；

把运行时配置转换成永久配置
 firewall-cmd --runtime-to-permanent 
 #将当前的运行时配置，写入规则配置文件中，使之成为永久性配置。

拒绝某个地址访问所有服务，可以通过block和drop区域，即将这个源地址和block区域绑定（或者和drop区域绑定）。但是拒绝这个源地址访问单个服务，要通过富规则实现。