Firewalld防火墙(二)

Firewalld防火墙(二)
一、firewalld高级配置
1、IP地址地址伪装
1）IP地址伪装的作用
将多个私网IP地址映射到一个公网IP地址访问互联网
2）IP地址伪装特点
节约公网IP地址
隐藏内部网络
增强网络安全性
只能配置IPv4协议
2、端口转发
1）端口转发的作用
将一个IP地址和端口号映射到另一个IP地址和端口上上
2）端口转发特点
将内网服务器发布到互联网使用
3、富语言规则
1）富语言规则特点
表达式防火墙配置语言
语法不严格
配置灵活简单
2）富语言规则动作类型
accept：允许访问
drop：拒绝访问，不给用户提醒
reject：拒绝访问，给用户提醒
log：记录到日志中
3）富语言规则选项
source address：源IP地址或者网络
destination address：目标IP地址或者网络
service：服务
port：端口号
protocol：协议
masquerade：配置IP地址伪装
forward-port：端口转发
icmp-drop：限制icmp协议
允许使用ah验证
[root@centos02 ~]# firewall-cmd --zone=trusted --add-rich-rule=‘rule protocol value=ah accept’

删除ah验证
[root@centos02 ~]# firewall-cmd --zone=trusted --remove-rich-rule=‘rule protocol value=ah accept’
查看富语言规则
[root@centos02 ~]# firewall-cmd --zone=trusted --list-rich-rules

删除富语音规则
[root@centos02 ~]# firewall-cmd --zone=trusted --remove-rich-rule=‘rule protocol value=ah accept’

拒绝DMZ区域192.168.100.0/24网络通信
[root@centos02 ~]# firewall-cmd --zone=dmz --add-rich-rule=‘rule family=ipv4 source address=192.168.100.0/24 drop’

删除DMZ区域192.168.100.0/24网络通信
[root@centos02 ~]# firewall-cmd --zone=dmz --remove-rich-rule=‘rule family=ipv4 source address=192.168.100.0/24 drop’

允许外网20和21号端口通信
[root@centos02 ~]# firewall-cmd --zone=external --add-rich-rule=‘rule family=ipv4 source address=192.168.200.0/24 port port=20-21 protocol=tcp accept’

查看
[root@centos02 ~]# firewall-cmd --list-all --zone=external

删除
[root@centos02 ~]# firewall-cmd --zone=external --remove-rich-rule=‘rule family=ipv4 source address=192.168.200.0/24 port port=20-21 protocol=tcp accept’
火狐浏览器访问

修改端口号
[root@centos02 ~]# vim /etc/ssh/sshd_config

添加端口号到默认区域
[root@centos02 ~]# firewall-cmd --add-port=12345/tcp --zone=external

通过端口访问

更改外网端口

关闭外网的网卡

关闭系统ip地址伪装
[root@centos02 ~]# firewall-cmd --remove-masquerade --zone=external

配置将192.168.100.0/24网络伪装到防火墙外网接口IP地址访问
[root@centos02 ~]# firewall-cmd --zone=external --add-rich-rule=‘rule family=ipv4 source address=192.168.100.0/24 masquerade’

将内网服务器192.168.100.10的80端口映射到192.168.200.20的80端口上
[root@centos02 ~]# firewall-cmd --zone=external --add-rich-rule=‘rule family=ipv4 destination address=192.168.200.20/32 forward-port port=80 protocol=tcp to-addr=192.168.100.10’

添加防火墙规则允许http协议通信
[root@centos02 ~]# firewall-cmd --add-service=http --zone=external

访问

将443端口映射到192.168.200.20
[root@centos02 ~]# firewall-cmd --zone=external --add-rich-rule=‘rule family=ipv4 destination address=192.168.200.20/32 forward-port port=443 protocol=tcp to-addr=192.168.100.10’

访问