firewalld防火墙

firewalld

firewalld防火墙时centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙
firewalld和iptables都是用来管理防火墙的工具(属于用户态)来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统(属于内核态)来实现包过滤防火墙功能
firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具
它支持IPv4,IPv6防火墙设置以及太网桥。

两种配置模式

运行时配置

实时生效，并持续至firewalld重新启动或重新加载配置
不中断现有连接
不能修改服务配置
永久配置
不立即生效，除非firewalld重新启动或重新加载配置
中断现有连接
可以修改服务配置

firewalld和iptables的区别

1.iptables主要是基于接口，来设置规则，从而判断网络的安全性
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似
2.iptables在/etc/sysconfig/iptables中存储配置
firewalld将==配置存储在/etc/firewalld(优先加载)==和/usr/lib/firewalld/(默认的配置文件)中的各种XML文件里
3.使用iptables每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables里读取所有新的规则。使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处，因此firewalld可以在运行时间内，改变设置而不丢失现行连接
4.iptables防火墙类型为静态防火墙
firewalld防火墙类型为动态防火墙

firewalld防火墙预定义了9个区域

trusted(信任区域)	允许所有的传入流量
public(公共区域)	允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域
external(外部区域)	允许与ssh预定义服务匹配的传入流量，其余均拒绝。默认将通过此区域转发的IPV4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络
home(家庭区域)	允许与ssh,ipp-client,mdns,samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝
internal(内部区域)	默认值与home相同
work(工作区域)	允许与ssh,ipp-client,mdns,dhcpv6-client预定义服务匹配的传入流量，其余均拒绝
dmz(隔离区域)	允许与ssh预定义服务匹配的传入流量，其余均拒绝
block(限制区域)	拒绝所有传入流量
drop(丢弃区域)	丢弃所有传入流量，并且不产生包含ICMP的错误响应

默认情况下，public区域是默认区域，包含所有接口(网卡)

firewalld数据处理流程

firewalld对于进入系统的数据包，会根据数据包的源IP地址或传入的网络接口等条件，将数据流量转入相应区域的防火墙规则。对于进入系统的数据包，首先检查的就是其源地址

绑定源地址的区域规则 > 网卡接口绑定的区域规则 > 默认区域的规则

firewalld防火墙的配置

1.使用firewalld-cmd 命令行工具
2.使用firewalld-config图形工具
3.编写/etc/firewalld/中的配置文件