Firewalld防火墙

Firewalld概述

支持网络区域所定义的网络连接以及接口安全等级的动态动态防火墙管理工具
支持IPv4 IPv6防火墙设置以及以太网桥
支持服务或应用程序直接添加防火墙规则接口
拥有两种配置模式
运行时配置
永久配置

Firewalld和iptable的关系

netfilter
位于linux内核中包括过滤功能体系
称为linux防火墙的“内核态”
Firewalld/iptables
CentOS7默认的管理防火墙规则的工具
称为Linux防火墙的“用户态”

Firewalld和iptable的区别

firewalld的配置文件/usr/lib/firewall/etc/firewalld/，不需要全部刷新策略，不丢失先行链接 ，防火墙类型 属于动态防火墙
iptablede的配置文件/etc/sysconfig/iptables，需要刷新策略防火墙类型是静态防火墙

Firewalld网络区域

区域介绍
区域如同进入主机的安全门，每个区域都有不同限制程度的规则
可以使用一个或多个区域，但是任何一个活动区域至少需要关联源地址或接口
默认情况下，public是默认区域，包含所有接口

Firewalld防火墙配置方法

运行时配置
实时生效， 并持续至Firewalld重新启动或重新加载配置
不中断现有链接
不能修改服务配置
永久配置
不立即生效，除非Firewalld重新启动或重新加载配置
中断现有链接
可以修改服务配置

开启防火墙界面

firewalld网卡对应的默认区域

drop(丢弃)
block（限制）
public（公共）
external（外部）
dmz（非军事区）
work（工作）
home（家庭）
internal（内部）
trusted（信任）:可接受所有的网络连接

firewalld相关命令

firewall-cmd --get-service 查看支持的所有服务名称

firewall-cmd --get-zones 查看所有区域

firewall-cmd --get-default-zone 查看当前默认区域

ls /usr/lib/firewalld/services 可以使用容易理解的名称表示所有服务

firewall-cmd --get-zone-of-interface=ens33 查看指定网卡所处的区域

firewall-cmd --zone=public --query-service=ssh 查看指定区域中没有相关的服务开放

firewall-cmd --list-services 查看当前区域允许的服务

firewalld-cmd --reload 重新加载配置文件

设置服务或端口放行
firewall-cmd -add-service=http
firewall-cmd --permanent --zone=public -add-service=http
firewall --reload
firewall-cmd --permanent --zone=public --add-port=80/tcp
firewall-cmd --reload
firewall-cmd --zone=home --remove-service=http
firewall-cmd --zone=public --remove-port=80/tcp
为网卡设置区域
firewall-cmd–permanent --zone=external --change-interface=ens33
firewall-cmd --reload