Firewalld

Firewalld

Firewalld概述

支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具；
支持IPV4，IPV6防火墙设置以及以太网桥；
支持服务或应用程序直接添加防火墙规则接口；
拥有两种配置模式：
（1）运行时配置：重启后自动清空；不中断现有链接；不能修改服务配置
（2）永久配置：重启后配置才能生效；中断现有连接；可以i修改服务配置

Firewalld和iptables的关系

netfilter：位于linux内核中的包过滤功能体系，称为linux防火墙的内核态
firewalld/iptables：centOS7默认的管理防火墙规则的工具，firewalld称为linux防火墙的用户态

firewalld和iptables的区别

Firewalld网络区域

1. 区域介绍
   区域如同进入主机的安全门，每个区域都有不同限制程度的规则
   可以使用一个或多个区域，但是任何活跃区域至少关联源地址或接口
   默认情况下，public区域是默认区域，包含所有接口(网卡)
2. Firewalld数据处理流程
   检查数据来源的源地址，若源地址关联到特定的区域，则执行该区域所指定的规则；
   若源地址未关联到特定区域，则使用传入网络接口的区域，并使用该区域所指定的规则；
   若网络接口未关联到特定区域，则使用默认区域并执行该区域所指定的规则；
   源地址关联>网卡关联

Firewalld防火墙的配置方法

firewall-config图形工具
firewall-config命令行工具
/etc/firewalld/中的配置文件
firewalld会优先使用/etc/firewalld/中的配置，若不存在配置文件，则使用/usr/lib/firewalld/中的配置；
/etc/firewalld：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/中拷贝；
/usr/lib/firewalld/：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/中的配置；

Firewalld的区域

firewalld将网卡对应到不同的区域(zone) , zone 默认共有9个：block dmz drop external home internal public trusted work.
drop（丢弃)
任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。
block (限制)
任何接收的网络连接都被IPv4 的 icmp-host-prohibited信息和 IPv6 的 icmp6-adm-prohibited信息所拒绝。
public(公共)
在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成危害，只能接收经过选取的l连接。
external (外部)
特别是为路由器启用了伪装功能的外部网。您不能信任来自网络的其他计算机，不能相信它们不会对您的计算机造成危害，只能接收经过选择的连接。
dimz（非军事区)
用于您的非军事区内的电脑，此区域内可公开访问，可以有限地进入您的内部网络，仅仅接收经过选择的连接。
vork （工作)
用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接。
home(家庭)
用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接。
internal(内部)
用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算机。仅仅接受经过选择的连接。
trusted （信任）
可接受所有的网络连接。
指定其中一个区域为默认区域是可行的。当接口连接加入了NetworkManager，它们就被分配为默认区域。
不同的区域之间的差异是其对待数据包的默认行为不同，在CentOS7系统中，默认区域被设置为public.

Firewall相关命令

ls /usr/lib/firewalld/services/ //可以使用容易理解的名称表示的所有服务
firewall-cmd --get-services//查看支持的所有服务名称
firewall-cmd --get-zones //查看所有区域
firewall-cmd --get-default-zone /查看当前默认区域
firewall-cmd --get-zone-of-interface=ens33//查看指定网卡所处的区域
firewall-cmd --zone=public --query-service=ssh //查看指定区域中有没有相关的服务开放
firewall-cmd --list-services //查看当前区域允许的服务
firewall-cmd --reloaad //重新加载配置文件

设置服务或端口放行

firewall-cmd --add-service=http
firewall-cmd --permanent --zone=public --add-service=http
firewall-cmd --reload
firewall-cmd --permanent --zone=public --add-port=80/tcp
firewall-cmd --reload
firewall-cmd --zone=public --remove-service=http
firewall-cmd --zone=public --remove-port=80/tcp

为网卡设置区域

firewall-cmd --permanent --zone=external --change-interface=ens33
firewall-cmd --reload
firewall-cmd --permanent --zone=public --add-rich-rule=“rule family=“ipv4” source address=“192.168.17.10/32” service name=“ssh” reject” //拒绝192.168.17.10/32网络用户访问ssh

设置默认区域

firewall-cmd --set-default-zone=work

查看活动区域及端口

firewall-cmd --get-active-zones

firewall-cmd --zone=work --add-interface=ens37 //将接口加入到相关区域
firewall-cmd --zone=public --remove-interface=ens37
//将接口移出相关区域，回到默认区域