Linux-Centos7防火墙配置

最新推荐文章于 2024-10-06 08:10:37 发布

Crocutax

最新推荐文章于 2024-10-06 08:10:37 发布

阅读量3.1k

点赞数 2

分类专栏： Linux

本文链接：https://blog.csdn.net/wangxw725/article/details/100396968

版权

Linux 专栏收录该内容

15 篇文章 1 订阅

订阅专栏

文章目录

Firewalld
- 区域名称及策略规则
- firewalld-cmd命令
Iptables

关于防火墙管理工具，RHEL7之前使用iptables，7之后使用firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器），二者都不是真正的防火墙，都只是用来定义防火墙策略的防火墙管理工具，真正的防火墙需要通过内核层面来实现。

目前对于防火墙只是处于入门阶段，随着理解的深入再逐渐完善本文，目前仅做工作记录。

Firewalld

RHEL7默认的防火墙管理工具，新特性：

动态更新技术
加入区域(zone)管理

区域名称及策略规则

区域		默认规则策略
trusted		允许所有的数据包
home		拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
internal	等同于home区域
work		拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public		拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz		拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

firewalld-cmd命令

firewalld-cmd命令中使用的参数以及作用

参数		作用
--get-default-zone	查询默认的区域名称
--set-default-zone=<区域名称>	设置默认的区域，使其永久生效
--get-zones	显示可用的区域
--get-services	显示预先定义的服务
--get-active-zones	显示当前正在使用的区域与网卡名称
--remove-source=	将源自此IP或子网的流量导向指定的区域
--remove-source=	不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称>	将某个网卡与区域进行关联
--list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service=<服务名>	设置默认区域允许该服务的流量
--add-port=<端口号/协议>	设置默认区域允许该端口的流量
--remove-service=<服务名>	设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量
--reload	让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
--panic-on	开启应急状况模式
--panic-off	关闭应急状况模式

常用命令：

systemctl status firewalld.service		查看firewalld状态
systemctl start firewalld.service		开启firewalld
systemctl stop firewalld.service		关闭firewalld
firewall-cmd --zone=public --add-port=80/tcp --permanent	永久添加指定端口
firewall-cmd --zone=public --remove-port=8080/tcp --permanent	永久移除指定端口
firewall-cmd --query-port=3306/tcp		查看端口是否被开放，返回yes/no
firewall-cmd --list-all		查看所有开放的端口
systemctl enable firewalld.service		开启自启
systemctl disable firewalld.service		禁止开机自启
systemctl is-enabled firewalld.service		查看是否开机自启
firewall-cmd --reload		更新防火墙规则（立即生效，永久添加时需要reload）

另外，查看已经开放的端口，也可以直接到/etc/firewalld/zones/目录下去查看指定文件，例如查看对外公开的防火墙端口：

vim /etc/firewalld/zones/public.xml

Iptables

早期Linux系统的默认防火墙管理工具。

策略与规则链

按照从上至下的顺序来读取配置进行匹配，找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（放行或阻止）如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。规则：放行与阻止。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

在进行路由选择前处理数据包（PREROUTING）
处理流入的数据包（INPUT）
处理流出的数据包（OUTPUT）
处理转发的数据包（FORWARD）
在进行路由选择后处理数据包（POSTROUTING）

使用最多的是INPUT规则链，即默认阻止，自定义放行规则。

处理方式：

ACCEPT（允许流量通过）
REJECT（拒绝流量通过，拒绝并回复）
LOG（记录日志信息）
DROP（拒绝流量通过，默默拒绝不回复）

基本命令参数

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加入新规则
-I num	在规则链的头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址IP/MASK，加叹号“!”表示除这个IP外
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议，如TCP、UDP、ICMP
--dport num	匹配目标端口号
--sport num	匹配来源端口号

配置示例

命令配置

iptables -L		查看已有的防火墙规则链
iptables -F		清空已有的防火墙规则链
iptables -P INPUT DROP		设置默认的规则链
iptables -I INPUT -p icmp -j ACCEPT		添加允许ICMP流量进入的策略规则
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT	只允许指定网段的主机访问本机22端口
iptables -A INPUT -p tcp --dport 22 -j REJECT 拒绝其他所有主机流量访问22端口
iptables -I INPUT -p tcp --dport 12345 -j REJECT	拒绝所有人以TCP协议访问本机12345端口的策略规则
iptables -I INPUT -p udp --dport 12345 -j REJECT	拒绝所有人以UDP协议访问本机12345端口的策略规则
iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT	拒绝192.168.10.5主机访问本机80端口

注意：通过命令行配置的防火墙规则，系统重启后会失效，永久生效需要执行保存命令：

service iptables save

编辑防火墙配置文件

打开防火墙配置文件

vim /etc/sysconfig/iptables

文件内容如下：

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

注意：

1.匹配规则是从上至下，因此要把允许策略放在上面，拒绝策略放在下面。

2.必须重启防火墙，新的配置才能生效