Firewalld 防火墙基础

一、Firewalld 概述：

（1）支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具
（2）支持 ipv4、ipv6 防火墙设置以及以太网桥
（3）支持服务或应用程序直接添加防火墙规则接口
（4）拥有两种配置模式

• 运行时配置（内核中，重启后失效）
• 永久配置（写在配置文件中，一直有效）.

二、Firewalld 和 iptables 的关系：

（1）netfilter

• 位于linux 内核中的包过滤功能体系；
• 称为linux防火墙的“内核态”

（2）firewalld 和 iptables

• centos7默认的管理防火墙规则的工具（firewalld）
• 称为linux防火墙的“用户态”
  
  （3）firewalld 和 iptables的区别
  

三、Firewalld 网络区域介绍：

（1）区域介绍：

• 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
• 可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
• 默认情况下，public 区域是默认区域，包含所有的接口（网卡）
  

（2）Firewalld 数据处理流程：
检查数据来源的源地址：

• 若源地址关联到特定的区域，则执行该区域所指定的规则；
• 若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则；
• 若网络接口为关联到特定的区域，则使用默认区域并执行该区域所指定的规则

四、Firewalld 防火墙的配置方法：

（1）运行时配置：

• 实时生效，并持续至firewalld 重新启动或重新加载配置
• 不中断现有连接
• 不能修改服务配置

（2）永久配置：

• 不立即生效，除非firewalld 重新启动或重新加载配置
• 中断现有连接
• 可以修改服务配置

（3）Firewall-config 图形工具

（4）Firewall-config 命令行工具

（5）/etc/firewalld/ 中的配置文件

• /etc/firewalld/ ：用户自定义配置文件，需要时可以通过从 /usr/lib/firewalld 中拷贝
• /usr/lib/firewalld/ ：默认配置文件，不建议修改，若恢复至默认配置，可直接删除 /etc/firewalld 中配置

五、Firewall 基础命令：

（1）firewall-cmd 命令：
1、启动、停止、查看 firewalld 服务

systemctl start firewalld  //启动 firewalld

systemctl enable firewalld //设置 firewalld 为开启自启动

2、通过 systemctl status firewalld 或 firewall-cmd 命令可以查看 firewalld运行状态。

systemctl status firewalld  //查看运行状态

firewall-cmd --state //查看运行状态

3、禁用 firewalld

systemctl stop firewalld // 停止 firewalld

systemctl disable firewalld //设置 firewalld 开机不自启动

（2）获取预定义信息：

1、firewall-cmd 预定义信息主要包括三种：可用的区域、可用的服务以及可用的 ICMP 阻塞类型，具体的有如下命令：

firewall-cmd --get-zones   //显示预定义的区域

firewall-cmd --get-service  //显示预定义的服务

firewall-cmd --get-icmptypes  //显示预定义的 icmp类型

2、firewall-cmd --get-icmptypes 命令的执行结果中各种阻塞类型的含义有：

• destination-unreachable ： 目的地址不可达
• echo-reply ： 应答回应
• parameter-problem ： 参数问题
• redirect ： 重新定向
• router-advertisement ： 路由器通告
• router-solicitation ： 路由器征寻
• source-quench ： 源端抑制
• time-exceeded ： 超时
• timestamp-reply ： 时间戳应答回应
• timestamp-request ： 时间戳请求

3、区域管理：
使用 firewall-cmd 命令可以实现获取和管理区域，为指定区域绑定网络接口等功能。

1、--get-default-zone  //显示网络连接或接口的默认区域

2、--set-default-zone=<zone>  //设置网络连接或接口的默认区域 

3、--get-active-zones  //显示已激活的所有区域 

4、--get-zone-of-interface=<interface>  //显示指定接口绑定的区域
 
5、--zone=<zone> --add-interface=<interface>  //为指定接口绑定区域

6、--zone=<zone> --change-interface=<interface>  //为指定的区域更改绑定的网络接口

7、--zone=<zone> --remove-interface=<interface>  //为指定的区域删除绑定的网络接口 

8、--list-all-zones  //显示所有区域及其规则 

9、[--zone=<zone>] --list-all  //显示所有指定区域的所有规则，省略--zone=<zone>时表示仅对默认区域操作 

4、服务管理：
为了方便管理，firewalld 预先定义了很多服务，存放在 /usr/lib/firewalld/services/ 目录中，服务通过单个的 XML 配置文件来指定。

• 通过服务名字来管理规则更加人性化
• 通过服务来组织端口分组的模式更加高效，如果一个服务使用了若干个网络端口，则服务的配置文件就相当于提供了到这些端口的规则管理的批量操作快捷方式。

firewall-cmd 命令区域中服务管理的常用选项如下：

[--zone=<zone>] --list-services   //显示指定区域内允许访问的所有服务 

[--zone=<zone>] --add-service=<service>  //为指定区域设置允许访问的某项服务 

[--zone=<zone>] --remove-service=<service>  //删除指定区域已设置的允许访问的某项服务
 
[--zone=<zone>] --list-ports  //显示指定区域内允许访问的所有端口号 

[--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol>  //为指定区域设置允许访问的某个/某段端口号（包括协议名） 

[--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocol>  //删除指定区域已设置的允许访问的端口号（包括协议名）
 
[--zone=<zone>] --list-icmp-blocks  //显示指定区域内拒绝访问的所有 ICMP 类型
 
[--zone=<zone>] --add-icmp-block=<icmptype>  //为指定区域设置拒绝访问的某项 ICMP类型
 
[--zone=<zone>] --remove-icmp-block=<icmptype>  //删除指定区域已设置的拒绝访问的某项 ICMP 类 
型，省略--zone=<zone>时表示对默认区域操作 

5、端口管理：

在进行服务配置时，预定义的网络服务可以使用服务名配置，服务所涉及的端口就会自动打开。但是，对于非预定义的服务只能手动为指定的区域添加端口。

6、两种配置模式：

• 运行时模式 ：当前内存中运行的防火墙配置，在系统或 firewalld 服务重启、停止时配置将失效。
• 永久模式：重启防火墙或重新加载防火墙时的规则配置，是永久存储在配置
  文件中的。

关于firewalld-cmd 命令工具、配置模式3个选项：

--reload  //重新加载防火墙规则并保持状态信息，即将永久配置应用为运行时配置。

--permanent  //带有此选项的命令用于设置永久性规则，这些规则只有在重新启动 firewalld或重新加载防火墙规则时才会生效；若不带有此选项，表示用于设置运行时规则。
 
--runtime-to-permanent  //将当前的运行时配置写入规则配置文件中，使之成为永久性。