firewalld防火墙

2一.firewalld防火墙概述：

firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前iptables防火墙，也是工作在网络层，属于包过滤防火墙。

二.firewalld 与 iptables 的区别

配置文件： firewalld                                                               
                   /etc/firewalld/       优先加载，保存用户自定义的配置                                                                         /usr/lib/firewalld/   默认的初始配置

                   iptables：

                   /etc/sysconfig/iptables
对规则修改：firewalld                                                                   iptables

                     不需要全部刷新，不中断现有链接                立即生效，可能会中断链接

防火墙类型：  firewalld：动态防火墙（在不同区域设置不同规则，可通过更换区域来更改防护策略）      

                        iptables        静态防火墙（所有规则都是配置在表的链里，只能通过修改规则来更改防护策略）

                 

三.firewalld 九大预定义区域

1、trusted（信任区域）：允许所有的传入流量。
2、public（公共区域）：允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。
3、external（外部区域）：允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。 默认将通过此区域转发的IPv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络。
4、home（家庭区域）：允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。
5、internal（内部区域）：默认值时与home区域相同。
6、work（工作区域）：允许与 ssh、dhcpv6-client 预定义服务匹配的传入流量，其余均拒绝。
7、dmz（隔离区域也称为非军事区域）：允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。
8、block（限制区域）：拒绝所有传入流量。
9、drop（丢弃区域）：丢弃所有传入流量，并且不产生包含 ICMP的错误响应。
 

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
可以根据网络规模，使用一个或多个区域，但是任何一个 活跃区域 至少需要关联 源地址或接口。
默认情况下，public区域是默认区域，包含所有接口（网卡）

firewalld数据处理流程：
firewalld对于进入系统的数据包，会根据数据包的源IP地址或传入的网络接口等条件，将数据流量转入相应区域的防火墙规则。对于进入系统的数据包，首先检查的就是其源地址。

firewalld 数据包处理原则
要激活某个区域，需要先将区域与 源地址或网卡接口 关联绑定（一个区域可以关联绑定多个源地址或网卡接口，一个源地址或网卡接口只能关联绑定一个区域）
1.若源地址关联到特定的区域（即源地址或接口绑定的区域有冲突），则执行该区域所制定的规则。
2.若源地址未关联到特定的区域（即源地址或接口绑定的区域没有冲突），则使用传入网络接口的区域并执行该区域所制定的规则。
3.若网络接口也未关联到特定的区域（即源地址或接口都没有绑定特定的某个区域），则使用默认区域并执行该区域所制定的规则。

firewalld防火墙的配置

1、使用firewall-cmd 命令行工具。
2、使用firewall-config 图形工具。
3、编写/etc/firewalld/中的配置文件。

常用的firewall-cmd 命令选项

查看：

1. 查看当前默认区域

firewall-cmd --get-default-zone    #查看默认区域

2.查看当前已激活的区域

firewall-cmd --get-ative-zone          #查看当前已激活的区域

3.查看所有可用的区域

firewall-cmd --get-zone        #查看所有可用的区域

4. 查看所有区域的规则

firewall-cmd --list-all-zones            #查看所有区域的规则

5. 查看指定区域的规则

firewall-cmd --list-all-zone=public   # 查看public区域的规则

6.查看指定区域允许访问的服务

firewall-cmd --list-service --zone=public  #查看public区域允许访问的服务列表

7.   查看指定区域允许访问的端口列表

firewall-cmd --list-ports --zone=public    #   查看指定区域允许访问的端口列表

8. 查看与网卡绑定的区域

firewall-cmd --get-zone-of-interface=网卡名 #查看与网卡绑定的区域

9.查看所有icmp类型

firewall-cmd --get-icmptypes

增加：

1. 给指定区域添加绑定的网卡

firewall-cmd --add-interface=网卡名 --zone=区域

2. 给指定区域添加源地址

firewall-cmd --add-source=192.168.100.10 --zone=dmz 

3.给指定区域添加允许访问的服务

firewall-cmd --add-service=服务名 --zone=区域

4.给指定区域添加允许访问的服务列表

firewall-cmd --add-service={服务名，服务名，...} --zone=区域

5.给指定区域添加允许访问的端口 

firewall-cmd --add-port=端口号/协议 --zone=区域 

6. 给指定区域添加允许访问的连续的端口列表

firewall-cmd  --add-port=端口号-端口号/协议名 --zone=区域名

7.给指定区域添加允许访问的不连续的端口

firewall-cmd --add-port={端口号,端口号,...}/协议名 --zone=区域名

8. 给指定区域添加拒绝访问的icmp类型

 firewall-cmd --add-icmp-block=icmp类型 --zone=区域名

删除：

1.删除服务

irewall-cmd --remove-service=服务名 --zone=区域名  

2.删除端口

irewall-cmd --remove-port=端口号/协议 --zone=区域名  

3.从指定区域里删除绑定的网卡

firewall-cmd -remove-interface=网卡名 --zone=区域名

4.  从指定区域里删除绑定的源地址

firewall-cmd -remove-source=源地址 --zone=区域名

改：

1.修改默认区域

firewall-cmd --set-default-zone                            修改当前默认区域

2. 修改添加网卡给指定区域

 firewall-cmd   --change-interface=网卡名 --zone=区域名       修改/添加网卡 绑定给指定区域

 3.修改添加源地址给指定区域

firewall-cmd   --change-source=源地址 --zone=区域名          修改/添加源地址 绑定给指定区域

firewall的两种配置设置

运行时配置（会立即生效，但firewalld服务重启或重载配置后即失效）
firewall-cmd ....

永久配置（不会立即生效，需要重新加载配置或重启firewalld服务）

永久配置：firewall-cmd ....  --permanent
重现加载：firewall-cmd --reload   或   systemctl restart firewalld

将之前运行的配置设置成永久配置

firewall-cmd --runtime-to-permanent       将之前的运行时配置都转换成永久配置