Firewalld防火墙基础

本章的结构
Firewalld概述

Firewalld和iptables的关系

Firewalld网络区域

Firewalld防火墙的配置方法

Firewall-config图形工具

Firewalld防火墙案例

本章注意区分Firewalld和iptables区别，他们定义好策略后，前者不需要重启服务，而后者需要重启服务。

记住何为“内核态” 何为“用户态”

一、Firewalld概述
​支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具；
支持IPv4，IPv6防火墙设置以及以太网桥；
支持服务或应用程序直接添加防火墙规则接口；
拥有两种配置模式：
运行时配置（一般测试的时候使用）；
永久配置。​
扩展补充：

firewalld是7.0才开始有，6.0一直都是iptables；
防火墙工作在第四层传输层，和端口有关TCP、UDP；
大型数据中心用的背靠背方式–两个硬防火墙；
按区域进行定义：高安全区域和低安全区域（例如公司内部是一个高安全区域，外部是一个低安全区域），此外允许访问的公司服务在dmz区域（非军事化区域）；
低安全级别到高安全级别会经过防火墙过滤；

高安全级别到低安全级别是允许的。

运行时配置是临时配置，不会保存。
二、Firewalld和iptables的关系
1、netfilter
位于Linux内核中的包过滤功能体系；
称为Linux防火墙的“内核态”（不能）。
2、Firewalld/iptables
Centos7默认的管理防火墙规则的工具（Firewalld）；
称为Linux防火墙的“用户态”；
Firewalld就是iptables的一层封装，为了简化操作；
只有iptables才能和内核态进行交互。
3、区别(Firewalld和iptables)
配置文件 /usr/lib/firewalld

/etc/firewalld /etc/sysconfig/iptables

对规则的修改 不需要全部刷新策略，不丢失现行连接 需要全部刷新策略，丢失连接

防火墙类型 动态防