Linux安全——firewall防火墙的基本设置

firewalld 将网卡对应到不同的区域（zone），zone默认共有9个
block dmz drop external home internal public trusted work.

drop（丢弃）
任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。

block（限制）
任何接收的网络连接都被ipv4的icmp-host-prohibited信息和ipv6的icmp-adm-prohibited信息所拒绝。

public（公共）
在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成伤害，只能接收经过选取的连接。

external（外部）
特别是为路由器启用了伪装功能的外部网。您不能信任来自网络的其他计算，不能相信它们不会对您的计算机造成危害，只能接收经过选择的连接。

dmz（非军事区）
用于您的非军事区内的电脑，此区域内可公开访问，可以有限地进入您的电脑内部，仅仅接收经过选择的连接。

work（工作）
用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接。

home（家庭）
用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接。

internal（内部）
用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算急。仅仅接收经过选择的连接。

trusted （信任）
可接受所有的网络连接。
指定其中一个区域为默认区域是可行的。当接口连接加入了NetworkManager，他们就被分配为默认区域。
不同的区域之间的差异是其对对待数据包的默认行为不同，在Centos7系统中，默认区域被设置为public。

ls /usr/lib/firewalld/service/ #可以使用容易理解的名称表示的所有服务
firewall-cmd --get-services #查看支持的所有服务名称
firewall-cmd --get-zones #查看所有区域
firewall-cmd --get-default-zone #查看当前默认区域
firewall-cmd --get-zone-of-interface=ens33 #查看指定网卡所处的区域
firewall-cmd --zone=public --query-service=ssh #查看指定区域中有没有相关的服务开启
firewall-cmd --zone=public --query-service =http #查看指定区域中有没有相关的服务开启
firewall-cmd --list-services #查看当前区域允许的服务
firewall-cmd --reload #重新加载配置文件
[root@server1 ~]# firewall-cmd --list-all #查看防火墙规则
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: ssh dhcpv6-client
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	

[root@server1 ~]# firewall-cmd --list-all --zone=public #查看指定区防火墙规则
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: ssh dhcpv6-client http
  ports: 80/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

设置服务或端口放行

firewall-cmd --add-service=http
firewall-cmd --permanent --zone=pubilc --add-service=http
firewall-cmd --reload

firewall-cmd --permanent --zone=public --add-port=80/tcp
firewall-cmd reload

[root@server1 ~]# firewall-cmd --zone=public --remove-service=http #删除指定区域的指定服务

为网卡设置区域

firewall-cmd --permanent --zone=external --change-interface=ens33
firewall-cmd --reload

[root@server1 ~]# firewall-cmd --permanent --zone=external --change-interface=ens33
The interface is under control of NetworkManager, setting zone to 'external'.
success
[root@server1 ~]# firewall-cmd --reload
success
[root@server1 ~]# firewall-cmd --get-zone-of-interface=ens33
external

firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="20.0.0.12/32" service name="ssh" reject" #拒绝20.0.0.12网络用户访问ssh(赋规则)

设置默认区域

firewall-cmd --set-default-zone=work

查看活动区域及端口

firewall-cmd --get-active-zones

firewall-cmd --zone=work --add-interface=ens33 #将接口加入到相关区域（work）
firewall-cmd --zone=public --remove-interface=ens33 #将接口移除相关区域（work）回到默认区域（public）

配置public zone的icmp

查看所有支持的icmp类型

[root@server1 ~]# firewall-cmd --get-icmptypes 
address-unreachable bad-header communication-prohibited destination-unreachable echo-reply echo-request fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisement neighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachable precedence-cutoff protocol-unreachable redirect required-option-missing router-advertisement router-solicitation source-quench source-route-failed time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option

列出

[root@server1 ~]# firewall-cmd --zone=public --list-icmp-blocks #默认无

添加echo-request屏蔽

[root@server1 ~]# firewall-cmd --zone=public --add-icmp-block=echo-request 

移除echo-request屏蔽

[root@server1 ~]# firewall-cmd --zone=public --remove-icmp-block=echo-reply

IP封禁

#firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='20.0.0.12' reject"  单个IP
#firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='20.0.0.12/24' reject" IP段
#firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=20.0.0.12 port port=80  protocol=tcp  accept" 单个IP的某个端口
reject 拒绝 accept 允许

禁止主机ping服务器（IP封禁）

root@server1 ~]# firewall-cmd --zone=public --add-icmp-block=echo-request 
success
[root@server1 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: ssh dhcpv6-client http
  ports: 80/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: echo-request
  rich rules: 
	```
## 只允许20.0.0.13主机访问SSH服务
```python
firewall-cmd --permanent --zone=dmz --change-interface=ens33
firewall-cmd --permanent --zone=dmz --remove-service=ssh
firewall-cmd --permanent --zone=public --add-source=20.0.0.12/32
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="20.0.0.12" service name="ssh" accept"

允许所有主机访问Apache服务

[root@server1 ~]# firewall-cmd --permanent --zone=public --add-service=http
[root@server1 ~]# firewall-cmd --permanent --zone=public --add-port=80/tcp