配置Linux网关防火墙

实训目的

熟练掌握使用firewalld配置工具配置网关防火墙的方法。

实训内容

    根据实训室的实际情况，创建一台装有Linux操作系统的主机作为服务区端。设置如下防火墙规则并使用之当前和永久生效。

1. 允许同一网段的客户端远程连接服务器端。
2. 允许任意地址的客户端访问网站服务（80端口）。
3. 发现某单一客户端一直有攻击性访问，禁止该客户端访问服务器（80端口 ）
4. 允许本地客户端远程连接MariaDB数据库（3306端口）。
5. 将访问服务器端6001端口所有数据包转发到服务器22端口。

    实训步骤

    步骤1：删除默认的SSH规则，使用富规则限定同网段范围主机远程连接的SSH规则。

    步骤2：添加HTTP服务放行，允许访问80端口的TCP数据包通过。

    步骤3：使用富规则或者图形界面工具禁止指定IP地址的主机访问服务器80端口。

    步骤4：使用富规则或者图形界面工具允许指定主机访问服务器3306端口的TCP数据包通过。

    步骤5：使用富规则或者图形界面工具实现端口转发。

    具体步骤

1.查看防火墙状态

2.查看现有的规则

3.添加单个单端口

4.添加多个端口

 5.端口的转发# 将80端口的流量转发至8080

 6.将80端口的流量转发至192.168.0.1

 7.将80端口的流量转发至192.168.0.1的8080端口

     总结

firewall-cmd常用命令
#开启防火墙
systemctl start firewalld.service
#防火墙开机启动
systemctl enable firewalld.service
#关闭防火墙
systemctl stop firewalld.service
#查看防火墙状态
firewall-cmd --state
#查看现有的规则
iptables -nL
firewall-cmd --zone=public --list-ports
#重载防火墙配置
firewall-cmd--reload
#添加单个单端口
firewall-cmd --permanent --zone=public --add-port=80/tcp
#添加多个端口
firewall-cmd --permanent --zone=public --add-port=8080-8083/tcp
#删除某个端口
firewall-cmd --permanent --zone=public --remove-port=81/tcp
#删除某个IP
firewall-cmd --permanent --remove-rich-rule="rulefamily="ipv4" source address="192.168.1.51" accept"
#针对一个ip段访问
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source
address="192.168.0.0/16" accept"
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source
address="192.168.1.0/24" port protocol="tcp" port="9200" accept"
#添加操作后别忘了执行重载
firewall-cmd --reload
#端口转发
firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080   # 将80端口的流量转发至8080
firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1 # 将80端口的流量转发至192.168.0.1
firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的流量转发至192.168.0.1的8080端口