Linux firewall防火墙

Linux firewall防火墙

firewall 指令

区域 接口
图形界面 firewall-config
命令工具 firewall-cmd

iptables 指令

四表五链
数据转发 NAT（SNAT，DNAT）

firewalld

• 支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具
• 支持IPv4、IPv6防火墙改设置以及以太网桥
• 支持服务或应用程序直接添加防火墙规则接口
• 拥有两种配置模式
  运行时配置 （临时配置，重启失效）
  永久配置

DMZ 非军事化区域

背靠背防火墙（双防火墙模式）
硬件防火墙

防火墙属于四层 传输层
也可以作用在二层 数据链路层

流量清洗 蜜罐
安骑士（防中木马） 绿网（过滤敏感信息） 云盾牌

firewalld和iptables的关系

netfilter
位于Linux内核中的包过滤功能Ixia
称为Linux防火墙的内核态
firewalld/iptables
CentOS7默认的管理防火墙规则的工具
称为Linux防火墙的用户态

firewalld和iptables的区别

	firewalld	iptables
配置文件	/user/lib/firewalld/ /etc/firewalld/	/etx/sysconfig/iptables
对规则的修改	不需要全部刷新策略，不丢失现行连接	需要全部刷新策略，丢失连接
防火墙类型	动态防火墙	静态防火墙

firewalld网络区域

区域介绍
区域如同进入主机的安全门，每个区域都具有不同限制的规则
可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
默认情况下，public区域是默认区域，包含所有接口（网卡）

firewalld数据处理流程

检查数据来源的源地址
若源地址关联到特定的区域则执行该区域所指定的规则
若源地址未关联到特定的区域，则使用传入网络接口的区域
并执行该区域所指定的规则
若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则

运行时配置

实行生效，并持续至firewall重新启动或重新加载配置
不中断现有连接
不能修改服务配置

永久配置

不立即生效，除非firewalld重新启动或重新加载配置
中断现有连接
可以修改服务配置

firewalld-config图形工具

firewalld-cmd命令行工具
/etc/firewalld/中的配置文件
firewalld会优先使用/etc/fiewalld/中的配置，若果不存在配置文件，则使用/usr/lib/firewalld/中的配置
/etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/中拷贝
/usr/lib/firewalld/：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/中的配置

运行时配置/永久配置

重新加载防火墙
更改永久配置并生效

关联网卡到指定区域

修改默认区域

连接状态

“区域”选项卡
“服务”子选项卡