Firewalld

############################
firewalld

############################

概述

动态防火墙后台程序firewalld提供了一个动态管理的防火墙，用以支持网络“zones”，以分配对一个网络及相关链接和界面一定程度的信任。它具备对ipv4和ipv6防火墙设置的支持。它支持以太网，并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则接口。

系统提供了图像化的配置工具firewall-config、system-config-firewall, 提供命令行客户端firewall-cmd, 用于配置 firewalld永久性或非永久性运行时间的改变:它依次用 iptables工具与执行数据包筛选的内核中的 Netfilter通信。

基于用户对网络中设备和交通所给与的信任程度,防火墙可以用来将网络分割成不同的区域。NetworkManager通知firewalld一个接口归属某个区域,新加入的接口被分配到默认区域。

trusted( 信任 )             可接受所有的网络连接
home( 家庭 )               用于家庭网络,仅接受ssh、mdns、ipp-client、samba-client、或dhcpv6-client服务连接
internal( 内部 )            用于内部网络,仅接受ssh、mdns、ipp-client、samba-client、dhcpv6-client服务连接
work( 工作 )                用于工作区,仅接受ssh、ipp-client或dhcpv6-client服务连接
public( 公共 )              在公共区域内使用,仅接受ssh或dhcpv6-client服务连接,为firewalld的默认区域
external( 外部 )           出去的ipv4网络连接通过此区域伪装和转发,仅接受ssh服务连接
dmz( 非军事区 )          仅接受ssh服务接连
block( 限制 )               拒绝所有网络连接
drop( 丢弃 )                 任何接收的网络数据包都被丢弃,没有任何回复

管理防火墙

firewalld-cmd --state    ##查看firewalld的状态

firewalld-cmd --get-active-zones   ##查看当前活动的区域

firewalld-cmd --get-default-zone ##查看默认区域

firewalld-cmd --get-zones   ##查看所有区域

firewalld-cmd --zone=public --list-all  ##列出public区域的所有设置

firewalld-cmd --get-services    ##列出/usr/lib/firewalld/services/中的服务器名称

firewalld-cmd --set-default --zone-dmz   ##将默认区域改为dmz

# firewall-cmd --permanent --zone=internal --remove-source=172.25.0.0/24
添加、改变、删除网络接口:
# firewall-cmd --permanent --zone=internal --add-interface=eth0  ##将eth0网卡添加到internal域中

# firewall-cmd --permanent --zone=internal --change-interface=eth0  ##将eth0改变到internal域中
# firewall-cmd --permanent --zone=internal --remove-interface=eth0  ##将eth0从internal域中移除
添加、删除服务:
# firewall-cmd --permanent --zone=public --add-service=ssh   ##在public中添加ssh服务

# firewall-cmd --permanent --zone=public --remove-service=ssh  ##在public中将ssh删除

列出、添加、删除端口:
# firewall-cmd --zone=public --list-ports     
# firewall-cmd --permanent --zone=public --add-port=8080/tcp
# firewall-cmd --permanent --zone=public --remove-port=8080/tcp
重载防火墙:
# firewall-cmd --reload
(注意:这并不会中断已经建立的连接,如果打算中断,可以使用 --complete-reload选项)

Direct Rules
通过 firewall-cmd 工具,可以使用 --direct 选项在运行时间里增加或者移除链。如果不熟悉 iptables ,使用直接接口非常危险,因为您可能无意间导致防火墙被入侵。直接端口模式适用于服务或者程序,以便在运行时间内增加特定的防火墙规则。直接端口模式添加的规则优先应用。
添加规则:
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 ! -s 172.25.254.250 -p tcp --dport 22 -j ACCEPT

                                         ##拒绝250访问22端口
列出规则:
# firewall-cmd --direct --get-all-rules

伪装:
# firewall-cmd --permanent --zone=< ZONE > --add-masquerade

# firewall-cmd --permanent --zone=< ZONE > --add-rich-rule='rule family=ipv4 source addres=172.25.0.0/24 masquerade'

端口转发:
# firewall-cmd --permanent --zone=< ZONE > --add-forward-port=port=22:proto=tcp:toport=22:toaddr=172.25.254.16