Linux火墙之firewalld、伪装与转接

实验环境搭建

客户端
配置网卡
客户端修改网卡
使ip与服务端网段不同

服务端
服务端添加网卡

并修改新网卡与客户端ip相同的网段
查看ip有两块网卡，两个不同网段

编写火墙策略工具
iptable
firewalld

安装软件

yum install firewalld firewall-config -y

常用命令火墙管理

命令	功能
systemctl start firewalld	开启防火墙
systemctl enable firewalld	开机自启防火墙
systemctl stop firewalld	关闭防火墙
systemctl disable firewalld	开机自动关闭防火墙
firewall-cmd --state	查看防火墙状态
firewall-cmd --get-active-zones	查看防火墙管理的设备
firewall-cmd --get-default-zone	查看防火墙生效的区域
firewall-cmd --get-zones	查看防火墙所有的区域
firewall-cmd --zone=public --list-all	列出关于public区域的服务设置
firewall-cmd --get-services	列出可使用的服务
firewall-cmd --set-default-zone=trusted	修改默认区域为trusted
firewall-cmd --list-all-zones	列出所有的域
firewall-cmd --set-default-zone=dmz	设置火墙的域

图形界面火墙配置

firewall-config 
runtime     ##临时生效，立即生效
permanent   ##更改配置文件，永久的，重新加载生效

配置文件火墙配置

vim /etc/firewalld/zones/public.xml

注意：临时更改命令不能出现在配置文件中

火墙端口配置

命令	功能
firewall-cmd --add-service=https	临时添加服务（默认的区域
firewall-cmd --remove-service=https --permanent	永久删除服务（默认的区域）
firewall-cmd --add-port=80/tcp	临时添加端口
firewall-cmd --remove-interface=eth0	删除接口
firewall-cmd --permanent --change-interface=eth1 --zone=trusted	永久更改接口区域
firewall-cmd --add-source=172.25.254.100 --zone=block	临时拒绝主机172.25.254.100的所有网络连接
firewall-cmd --remove-source=172.25.254.100 --zone=block --permanent	永久移除限制
firewall-cmd --complete-reload	中断连接，重启防火墙策略
firewall-cmd --reload	不中断连接，重启防火墙策略
firewall-cmd --direct --get-all-rules	查看设置的规则

将eth1移出public，放到truth

查看

编写一个html
拒绝172.25.254.236的所有网络链接

测试
1.1.1.236可以访问

172.25.254.236访问不到

防火墙默认的三张表五条链

firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -p tcp -s 172.25.254.36 -j ACCEPT
##只接受172.25.254.36主机的访问
firewall-cmd --direct --remove-rule ipv4 filter INPUT 1 -p tcp -s 172.25.254.36 -j ACCEPT
##移除刚才设定
firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -p tcp ! -s 172.25.254.36 -j ACCEPT
##接受除了172.25.254.36的其他所有ip的访问

伪装

环境搭建
单网卡主机
设置全局网关为双网卡同网段的IP

vim /etc/sysconfig/network
systemctl restart network

route -n   ##查看网关

链接不同网段的ip可以转接到双网卡主机

w -i   ##查看来源，通过172.25.254.236来链接

若在链接中报如下错误
则编辑vim /root/.ssh/known_hosts将其中的内容全部删除即可

双网卡主机
开启内核的路由功能，使得网卡之间能互相通信

转接

并转接端口1.1.1.236
当其他主机链接172.25.254.236时转接到1.1.1.136

firewall-cmd --permanent --zone=public --add-forward-port=port=22:proto=tcp:toport=22:toaddr=1.1.1.136

测试

内网出去，外网进来