linux防火墙Firewalld 速通与常见配置

Mr.zat

已于 2023-09-12 08:09:36 修改

阅读量1k

点赞数 1

分类专栏：运维文章标签： linux 运维服务器

于 2023-09-12 08:09:07 首次发布

本文链接：https://blog.csdn.net/u010282639/article/details/132822763

版权

运维专栏收录该内容

16 篇文章 4 订阅

订阅专栏

Firewalld（防火墙守护进程）是一种在Linux系统上广泛使用的动态防火墙管理工具，它可以帮助管理员保护服务器免受潜在的网络攻击和威胁。在使用Firewalld时，了解其常见配置和名称是非常重要的，因为这有助于您更好地控制网络访问和确保系统的安全性。

以下是一些常见的Firewalld配置和名称的介绍：

区域（Zones）：Firewalld使用不同的区域来定义不同的网络信任级别，例如public、internal、trusted等。通过将接口分配给适当的区域，您可以控制访问策略。
服务（Services）：Firewalld支持针对特定服务（例如HTTP、SSH、FTP等）开放或关闭端口。这些服务通常在/etc/firewalld/services目录下定义，并包含相应的端口和协议信息。
端口（Ports）：如果您需要更精确地控制端口的访问，可以使用Firewalld配置单个端口或一组端口。这对于特定应用程序的要求非常有用。
源和目标（Source and Destination）：Firewalld允许您基于源IP地址或目标IP地址进行规则配置。这可以用于限制特定IP范围的访问或将流量定向到特定目标。
转发（Forwarding）：Firewalld还支持端口转发和数据包转发，允许您在多个网络之间路由流量，例如用于NAT（网络地址转换）或代理服务器。
定时规则（Rich Rules）：Firewalld允许您使用高级规则来定义复杂的网络访问策略。这些规则可以根据特定的协议、端口、IP地址和其他条件进行配置。

了解这些常见配置和名称将使你能够更好地管理Firewalld，并确保系统的安全性，以适应你的特定网络环境和需求。请谨记，在配置Firewalld时，一定要谨慎，以免阻止重要的网络通信。
防火墙加固是确保系统网络安全的关键步骤。下面我将提供一些防火墙加固的建议，并附带firewalld命令的示例以及为什么这么做的解释。

1. 限制入站和出站流量：

命令示例：

# 仅允许入站SSH连接，拒绝所有其他入站流量
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=http
firewall-cmd --permanent --remove-service=https
firewall-cmd --reload

# 允许所有出站流量
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

为什么这么做： 这个示例限制了入站流量，只允许SSH连接，并且允许所有出站流量。这是一个最小权限原则的应用，确保只有必要的流量能够进入系统，而不必要的流量被拒绝。

2. 禁用不必要的服务：

命令示例：

# 禁用http和https服务
firewall-cmd --permanent --remove-service=http
firewall-cmd --permanent --remove-service=https
firewall-cmd --reload

为什么这么做： 如果你的系统不需要提供Web服务，禁用不必要的HTTP和HTTPS服务可以减少攻击面。这可以防止针对Web服务的攻击。

3. 限制特定IP地址的访问：

命令示例：

# 允许特定IP地址的访问（例如，允许192.168.1.100访问SSH）
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept'
firewall-cmd --reload

为什么这么做： 限制特定IP地址的访问可以增加系统的安全性，确保只有授权的主机能够连接到你的服务。

4. 启用日志记录：

命令示例：

# 启用防火墙规则日志记录
firewall-cmd --permanent --set-log-denied=all
firewall-cmd --reload

为什么这么做： 启用防火墙规则的日志记录可以帮助你监控潜在的入侵尝试或异常流量，以便进一步的分析和响应。

以下是关于防火墙规则中常见配置的示例和解释：

1. 区域的常见配置：

防火墙区域定义了网络的不同部分，例如内部网络、外部网络和DMZ。你可以根据需要配置不同的规则来控制这些区域之间的流量。

示例： 将内部网络定义为trusted，外部网络定义为public。

firewall-cmd --permanent --zone=trusted --change-interface=eth0
firewall-cmd --permanent --zone=public --change-interface=eth1
firewall-cmd --reload

2. 端口的常见配置：

配置允许或禁止特定端口上的流量。

示例： 允许SSH访问（端口22）。

firewall-cmd --permanent --add-port=22/tcp
firewall-cmd --reload

3. 服务的常见配置：

配置允许或禁止特定服务的流量。

示例： 允许HTTP服务。

firewall-cmd --permanent --add-service=http
firewall-cmd --reload

4. 源与目标的常见配置：

限制流量的源IP地址和目标IP地址。

示例： 仅允许特定源IP地址访问SSH服务。

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept'
firewall-cmd --reload

5. 转发的常见配置：

配置端口转发，将流量从一个端口或IP地址转发到另一个端口或IP地址。

示例： 将外部流量转发到内部Web服务器（假设内部Web服务器的IP地址为192.168.1.10，端口为80）。

firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.10
firewall-cmd --reload

6. 定时规则的常见配置：

允许或禁止在特定时间段内的流量。

示例： 仅在工作日（星期一至星期五）的上午9点到下午5点允许SSH访问。

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="any" service name="ssh" accept' --zone=public --permanent --add-schedule=workhours
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="any" service name="ssh" drop' --zone=public --permanent --add-schedule=!workhours
firewall-cmd --permanent --add-schedule-time=workhours --zone=public --permanent --set-target=ACCEPT
firewall-cmd --reload

7.详细介绍命令含义：
以下是带有命令中文含义的示例：

1. 区域的常见配置：

示例： 将内部网络定义为trusted，外部网络定义为public。

命令：

firewall-cmd --permanent --zone=trusted --change-interface=eth0
firewall-cmd --permanent --zone=public --change-interface=eth1
firewall-cmd --reload

中文含义： 这些命令将指定的网络接口分配给特定的防火墙区域。例如，将eth0接口分配给trusted区域，将eth1接口分配给public区域。然后，使用firewall-cmd --reload命令重新加载防火墙规则。

2. 端口的常见配置：

示例： 允许SSH访问（端口22）。

命令：

firewall-cmd --permanent --add-port=22/tcp
firewall-cmd --reload

中文含义： 这些命令允许TCP端口22（SSH服务）的流量通过防火墙。--permanent标志将规则永久保存，firewall-cmd --reload用于重新加载防火墙规则。

3. 服务的常见配置：

示例： 允许HTTP服务。

命令：

firewall-cmd --permanent --add-service=http
firewall-cmd --reload

中文含义： 这些命令允许HTTP服务的流量通过防火墙。--permanent标志将规则永久保存，firewall-cmd --reload用于重新加载防火墙规则。

4. 源与目标的常见配置：

示例： 仅允许特定源IP地址访问SSH服务。

命令：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept'
firewall-cmd --reload

中文含义： 这些命令配置了一个丰富规则，允许特定IP地址（192.168.1.100）的流量访问SSH服务。--permanent标志将规则永久保存，firewall-cmd --reload用于重新加载防火墙规则。

5. 转发的常见配置：

示例： 将外部流量转发到内部Web服务器（假设内部Web服务器的IP地址为192.168.1.10，端口为80）。

命令：

firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.10
firewall-cmd --reload

中文含义： 这些命令配置了端口转发规则，将外部流量从端口80转发到内部IP地址192.168.1.10的端口8080。--permanent标志将规则永久保存，firewall-cmd --reload用于重新加载防火墙规则。

6. 定时规则的常见配置：

示例： 仅在工作日（星期一至星期五）的上午9点到下午5点允许SSH访问。

命令：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="any" service name="ssh" accept' --zone=public --permanent --add-schedule=workhours
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="any" service name="ssh" drop' --zone=public --permanent --add-schedule=!workhours
firewall-cmd --permanent --add-schedule-time=workhours --zone=public --permanent --set-target=ACCEPT
firewall-cmd --reload

中文含义： 这些命令配置了一个定时规则，允许在工作日（星期一至星期五）的上午9点到下午5点之间的任何IP地址的流量访问SSH服务。在其他时间段，SSH流量将被拒绝。--permanent标志将规则永久保存，firewall-cmd --reload用于重新加载防火墙规则。