Firewalld防火墙

                  Firewalld防火墙

一、 firewalld防火墙
1、 firewalld数据处理流程和常见区域
源地址所在接口区域配置防火墙规则，执行接口所在区域防火墙规则
源地址所在接口没有关联到区域中，执行进入防火墙接口区域所在的规则
接口没有关联到区域中， 执行默认区域中的规则， firewalld默认区域是public区域
2、 firewalld常见的区域
trusted(信任区域): 可接收所有的网络连接

public(公共区域): 除非与传出流量相关， 或与ssh或dhcp v 6-client预定义服务匹配， 否则拒绝流量传入，在公共区域内，不能相信网络内其他计算机不会对计算机造成危害，只能接收经过选择的连接。并且，该区域是新添加网络接口的默认区域

work(工作区域): 除非与传出流量相关， 或与ssh、ipp-client、dhcp v 6-client预定义服务匹配， 否则拒绝流量传入，用于工作区。相信网络内的其他计算机不会危害计算机，仅接收经过选择的连接

home(家庭区域): 除非与传出流量相关， 或与ssh、ipp-client、mdns、samba-client、dhcp v 6-client预定义服务匹配，否则拒绝流量传入，用于家庭网络。信任网络内的其他计算机不会危害计算机，仅接收经过选择的连接

internal(内部区域): 除非与传出流量相关， 或与ssh、ipp-client、mdns、samba-client、dhcp v 6-client预定义服务匹配，否则拒绝流量传入，用于内部网络。信任网络内的其他计算机不会危害计算机，仅接收经过选择的连接

external(外部区域): 除非与传出流量相关， 或与ssh预定义服务匹配， 否则拒绝流量传入。通过此区域转发的1Pv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络

dmz(隔离区域也称为非军事区域)：除非与传出的流量相关， 或与ssh预定义服务匹配， 否则拒绝流量传入

block(限制区域)：除非与传出流量相关，否则拒绝所有传入流量

drop(云弃区域)：除非与传出流量相关， 否则丢弃所有传入流量， 并且不产生包含ICMP(Internet Control Message Pro loco l， 互联网控制报文协议) 的错误响应
二、实验

1、 实验需求
（1） 网关服务器（centos04）连接互联网网卡ens34地址为192.168.10.20，分配到firewall的external（外部）区域，连接内网（centos03）网卡ens32地址为192.168.100.30，分配到firewall的trusted（信任）区域;连接服务器(centos05)网卡ens35地址为192.168.20.20，分配到firewall的dmz（非军事）区域。

（2） 网站服务器和网关服务器均可通过ssh来远程管理，为了安全，将ssh默认端口改为12345

（3） 网站服务器能访问apache服务

（4） 网站服务器拒绝ping

三、配置firewalld防火墙的基本应用
1、 防火墙
（1） 添加网卡