Firewalld防火墙基础

Firewalld防火墙基础

Linux包过滤防火墙概述

Firewalld概述

• 支持网络区域所定义的网络接口以及接口完全等级的动态防火墙管理工具
• 支持IPv4、IPv6防火墙设置以及以太网桥
• 支持服务或应用程序直接添加防火墙规则接口
• 拥有两种配置 模式
  1）.运行时配置
  2）.永久配置

Firewalld和iptables的关系

netfilter

• 位于Linux内核中的包过滤功能体系
• 称为Linux防火墙的‘内核态’
  Firewalld/iptables
• CentOS7默认的管理防火墙规则的工具
• 称为Linux防火墙的‘用户态’
  Firewalld和iptables的区别

	Firewalld	iptables
配置文件	/usr/lib/firewalld/etc/firewalld/	/etc/sysconfig/iptables
对规则的修改	不需要全部刷新策略，不丢失现行连接	需要全部刷新策略，丢失连接
防火墙类型	动态防火墙	静态防火墙

Firewalld网络区域

区域介绍

• 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
• 可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
• 默认情况下，public区域是默认区域，包含所有接口（网卡）
  Firewalld数据处理流程
• 检查数据来源的源地址

1).若源地址关联到特定的区域，则执行该区域所指定的规则
2）.若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则
3）.若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则

Firewalld防火墙的配置方法

运行时配置

• 实时生效，并持续至Firewalld重新启动或重新加载配置
• 不中断现有连接
• 不能修改服务配置

永久配置

• 不立即生效，除非Firewalld重新启动或重新加载配置
• 中断现有连接
• 可以修改服务配置

Firewalld-config图形工具
Firewalld-cmd命令行工具
/etc/firewalld/中的配置文件

• Firewalld会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lin/firewalld/中的配置

/etc/firewalld/：用户自定义配置文件，需要时间可通过从/usr/lib/firewalld/中拷贝
/usr/libfirewalld/：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/中的配置

Firewalld-config图形工具

运行时配置/永久配置
重新加载防火墙

• 更改永久配置并生效
  关联网卡到指定区域
  修改默认区域
  连接状态
  ‘区域’选项卡
• 服务子选项
• 端口子选项卡
• 协议子选项卡
• 源端口子选项卡
• 伪装子选项卡
• 端口转发卡
• ICMP过滤器子选项卡
  服务选项卡
• 模块子选项卡
• 目标地址子选项卡