linux防火墙基础

防火墙是指设置在不同网络与网络安全域之间的一系列部件的组合，也是不同安全域之间信息的唯-出口。通过监测、限制并更改跨越防火墙的数据流，尽可能地对外屏蔽网络内部的信息.结构和运行状态，且有选择地接受外部网络访问。在内外网之间架起- -道屏障，以避免发生不可预知或潜在的入侵。从传统意义上来说防火墙技术分为三类:包过滤(Packet Filtering)、 应用代理(Application Proxy).状态检测(Stateful Inspection). 无论- - .个防火墙的实现过程有多复杂，归根结底都是在这三种技术的基础上进行扩展的。
Linux的防火墙体系主要工作在网络层.针对TCP/IP数据包实时过滤和限制,属于典型的包过滤防火墙(或称为网络层防火墙)。Linux 系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。在CentOS 7系统中几种防火墙共存: firewalld. iptables. ebtables,默认使用firewalld 来管理netfiter子系统，
➢netfilter: 指的是Linux内核中实现包过滤防火墙的内部结构,不以程序或文件的形式存在,属于”内核态”(Kernel Space, 又称为内核空间)的防火墙功能体系。
➢firewalld: 指用于管理Linux防火墙的命令程序，属于、 用户态”(User Space, 又称为用户空间)的防火墙管理体系。

1. firewalld 简介
   firewalld的作用是为包过滤机制提供匹配规则(或称为策略),通过各种不同的规则,告诉netfiter对来自指定源、前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙，firewalld 提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。它支持IPv4、IPv6 防火墙设置以及以太网桥，并且拥有两种配置模式:运行时配置与永久配置。它还支持服务或应用程序直接添加防火墙规则接口。
2. firewalld 网络区域