Linux Firewalld用法及案例

最新推荐文章于 2024-09-11 00:15:00 发布
最新推荐文章于 2024-09-11 00:15:00 发布
阅读量1.9w 收藏 47
点赞数 10
分类专栏： Linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xiazichenxi/article/details/80169927
版权

官方文档

Firewalld概述

  • 动态防火墙管理工具
  • 定义区域与接口安全等级
  • 运行时和永久配置项分离
  • 两层结构
    • 核心层 处理配置和后端，如iptables、ip6tables、ebtables、ipset和模块加载器
    • 顶层D-Bus 更改和创建防火墙配置的主要方式。所有firewalld都使用该接口提供在线工具

原理图

这里写图片描述
这里写图片描述

Firewalld与iptables对比

  • firewalld 是 iptables 的前端控制器
  • iptables 静态防火墙 任一策略变更需要reload所有策略，丢失现有链接
  • firewalld 动态防火墙 任一策略变更不需要reload所有策略 将变更部分保存到iptables,不丢失现有链接
  • firewalld 提供一个daemon和service 底层使用iptables
  • 基于内核的Netfilter

配置方式

  • firewall-config 图形界面
  • firewall-cmd 命令行工具
  • 直接修改配置文件
    /lib/firewalld 用于默认和备用配置
    /etc/firewalld 用于用户创建和自定义配置文件 覆盖默认配置
    /etc/firewalld/firewall.conf 全局配置

运行时配置和永久配置

  • firewall-cmd –zone=public –add-service=smtp 运行时配置，重启后失效
  • firewall-cmd –permanent –zone=public –add-service=smtp 永久配置，不影响当前连接，重启后生效
  • firewall-cmd –runtime-to-permanent 将运行时配置保存为永久配置

Zone

  • 网络连接的可信等级,一对多，一个区域对应多个连接
  • drop.xml 拒绝所有的连接
  • block.xml 拒绝所有的连接
  • public.xml 只允许指定的连接 *默认区域
  • external.xml 只允许指定的连接
  • dmz.xml 只允许指定的连接
  • work.xml 只允许指定的连接
  • home.xml 只允许指定的连接
  • internal.xml 只允许指定的连接
  • trusted.xml 允许所有的连接
    /lib/firewalld/zones 默认和备用区域配置
    /etc/firewalld/zones 用户创建和自定义区域配置文件 覆盖默认配置
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm yo
ur computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
</zone>
version="string" 版本
target="ACCEPT|%%REJECT%%|DROP" 默认REJECT 策略
short 名称
description 描述
interface 接口
    name="string"
source 源地址
    address="address[/mask]"
    mac="MAC"
    ipset="ipset"
service 服务
    name="string"
port 端口
    port="portid[-portid]"
    protocol="tcp|udp"
protocol 协议
    value="string"
icmp-block 
    name="string"
icmp-block-inversion
masquerade
forward-port
    port="portid[-portid]"
    protocol="tcp|udp"
    to-port="portid[-portid]"
    to-addr="address"
source-port
    port="portid[-portid]"
    protocol="tcp|udp"
rule 
<rule [family="ipv4|ipv6"]>
  [ <source address="address[/mask]" [invert="True"]/> ]
  [ <destination address="address[/mask]" [invert="True"]/> ]
  [
    <service name="string"/> |
    <port port="portid[-portid]" protocol="tcp|udp"/> |
    <protocol value="protocol"/> |
    <icmp-block name="icmptype"/> |
    <masquerade/> |
    <forward-port port="portid[-portid]" protocol="tcp|udp" [to-port="portid[-portid]"] [to-addr="address"]/> |
    <source-port port="portid[-portid]" protocol="tcp|udp"/> |
  ]
  [ <log [prefix="prefixtext"] [level="emerg|alert|crit|err|warn|notice|info|debug"]/> [<limit value="rate/duration"/>] </log> ]
  [ <audit> [<limit value="rate/duration"/>] </audit> ]
  [
    <accept> [<limit value="rate/duration"/>] </accept> |
    <reject [type="rejecttype"]> [<limit value="rate/duration"/>] </reject> |
    <drop> [<limit value="rate/duration"/>] </drop> |
    <mark set="mark[/mask]"> [<limit value="rate/duration"/>] </mark>
  ]
</rule>

rich rule 
<rule [family="ipv4|ipv6"]>
  <source address="address[/mask]" [invert="True"]/>
  [ <log [prefix="prefixtext"] [level="emerg|alert|crit|err|warn|notice|info|debug"]/> [<limit value="rate/duration"/>] </log> ]
  [ <audit> [<limit value="rate/duration"/>] </audit> ]
  <accept> [<limit value="rate/duration"/>] </accept> |
  <reject [type="rejecttype"]> [<limit value="rate/duration"/>] </reject> |
  <drop> [<limit value="rate/duration"/>] </drop>
</rule>

services

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>MySQL</short>
  <description>MySQL Database Server</description>
  <port protocol="tcp" port="3306"/>
</service>
version="string"
short
description
port
    port="string"
    protocol="string"
protocol
    value="string"
source-port
    port="string"
    protocol="string"
module
    name="string"
destination
    ipv4="address[/mask]"
    ipv6="address[/mask]"

ipset配置

系统默认没有ipset配置文件，需要手动创建ipset配置文件
mkdir -p /etc/firewalld/ipsets/mytest.xml mytest就是ipset名称
根据官方手册提供的配置模板
<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:net">
  <short>white-list</short>
  <entry>192.168.1.1</entry>
  <entry>192.168.1.2</entry>
  <entry>192.168.1.3</entry>
</ipset>
entry也就是需要加入的IP地址
firewall-cmd --get-ipsets 显示当前的ipset
firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source ipset="mytest" port port=80 protocol=tcp accept' 将ipset应用到策略中

服务管理

  • yum -y install firewalld firewall-config #安装firewalld
  • systemctl enable|disable firewalld #开机启动
  • systemctl start|stop|restart firewalld #启动、停止、重启firewalld

如果想使用iptables配置防火墙规则，要先安装iptables并禁用firewalld

  • yum -y install iptables-services #安装iptables
  • systemctl enable iptables #开机启动
  • systemctl start|stop|restart iptables #启动、停止、重启iptables

firewall-cmd常用命令

firewall-cmd --version 查看firewalld版本
firewall-cmd --help 查看firewall-cmd用法
man firewall-cmd
firewall-cmd --state #查看firewalld的状态
systemctl status firewalld #查看firewalld的状态,详细
firewall-cmd --reload 重新载入防火墙配置，当前连接不中断
firewall-cmd --complete-reload 重新载入防火墙配置，当前连接中断
firewall-cmd --get-services 列出所有预设服务
firewall-cmd --list-services 列出当前服务
firewall-cmd --permanent --zone=public --add-service=smtp 启用服务
firewall-cmd --permanent --zone=public --remove-service=smtp 禁用服务
firewall-cmd --zone=public --list-ports 
firewall-cmd --permanent --zone=public --add-port=8080/tcp 启用端口
firewall-cmd --permanent --zone=public --remove-port=8080/tcp 禁用端口
firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=12345 同服务器端口转发 80端口转发到12345端口
firewall-cmd --zone=public --add-masquerade 不同服务器端口转发，要先开启 masquerade
firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.1 不同服务器端口转发，转发到192.168.1.1的8080端口
firewall-cmd --get-zones 查看所有可用区域
firewall-cmd --get-active-zones 查看当前活动的区域,并附带一个目前分配给它们的接口列表
firewall-cmd --list-all-zones 列出所有区域的所有配置
firewall-cmd --zone=work --list-all 列出指定域的所有配置
firewall-cmd --get-default-zone 查看默认区域
firewall-cmd --set-default-zone=public 设定默认区域
firewall-cmd --get-zone-of-interface=eno222
firewall-cmd [--zone=<zone>] --add-interface=<interface> 添加网络接口
firewall-cmd [--zone=<zone>] --change-interface=<interface> 修改网络接口
firewall-cmd [--zone=<zone>] --remove-interface=<interface> 删除网络接口
firewall-cmd [--zone=<zone>] --query-interface=<interface> 查询网络接口
firewall-cmd --permanent --zone=internal --add-source=192.168.122.0/24 设置网络地址到指定的区域
firewall-cmd --permanent --zone=internal --remove-source=192.168.122.0/24 删除指定区域中的网路地址
firewall-cmd --get-icmptypes

Rich Rules

  • firewall-cmd –list-rich-rules 列出所有规则
  • firewall-cmd [–zone=zone] –query-rich-rule=’rule’ 检查一项规则是否存在
  • firewall-cmd [–zone=zone] –remove-rich-rule=’rule’ 移除一项规则
  • firewall-cmd [–zone=zone] –add -rich-rule=’rule’ 新增一

复杂规则配置案例

firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address=192.168.0.14 accept' 允许来自主机 192.168.0.14 的所有 IPv4 流量
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject' 拒绝来自主机 192.168.1.10 到 22 端口的 IPv4 的 TCP 流量
firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 source address=10.1.0.3 forward-port port=80 protocol=tcp to-port=6532' 许来自主机 10.1.0.3 到 80 端口的 IPv4 的 TCP 流量，并将流量转发到 6532 端口上
firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 forward-port port=80 protocol=tcp to-port=8080 to-addr=172.31.4.2' 将主机 172.31.4.2 上 80 端口的 IPv4 流量转发到 8080 端口（需要在区域上激活 masquerade）
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.122.0" accept' 允许192.168.122.0/24主机所有连接
firewall-cmd --add-rich-rule='rule service name=ftp limit value=2/m accept' 每分钟允许2个新连接访问ftp服务
firewall-cmd --add-rich-rule='rule service name=ftp log limit value="1/m" audit accept' 同意新的IPv4和IPv6连接FTP ,并使用审核每分钟登录一次
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.122.0/24" service name=ssh log prefix="ssh" level="notice" limit value="3/m" accept' 允许来自1192.168.122.0/24地址的新IPv4连接连接TFTP服务,并且每分钟记录一次
firewall-cmd --permanent --add-rich-rule='rule protocol value=icmp drop' 丢弃所有icmp包
firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.122.0/24 reject' --timeout=10 当使用source和destination指定地址时,必须有family参数指定ipv4或ipv6。如果指定超时,规则将在指定的秒数内被激活,并在之后被自动移除
firewall-cmd --add-rich-rule='rule family=ipv6 source address="2001:db8::/64" service name="dns" audit limit value="1/h" reject' --timeout=300 拒绝所有来自2001:db8::/64子网的主机访问dns服务,并且每小时只审核记录1次日志
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=192.168.122.0/24 service name=ftp accept' 允许192.168.122.0/24网段中的主机访问ftp服务
firewall-cmd --add-rich-rule='rule family="ipv6" source address="1:2:3:4:6::" forward-portto-addr="1::2:3:4:7" to-port="4012" protocol="tcp" port="4011"' 转发来自ipv6地址1:2:3:4:6::TCP端口4011,到1:2:3:4:7的TCP端口4012

Direct Rules

  • firewall-cmd –direct –add-rule ipv4 filter IN_public_allow 0 -p tcp –dport 80 -j ACCEPT 添加规则
  • firewall-cmd –direct –remove-rule ipv4 filter IN_public_allow 10 -p tcp –dport 80 -j ACCEPT 删除规则
  • firewall-cmd –direct –get-all-rules 列出规则
_Leo
关注
专栏目录
linux防火墙查看状态firewall
qq_44534541的博客
02-15 9034
1、查看firewall服务状态 systemctl status firewalld 出现Active: active (running)切高亮显示则表示是启动状态。 2、查看firewall的状态 firewall-cmd --state 3、开启、重启、关闭、firewalld.service服务 开启 service firewalld start 重启 service firewalld restart 关闭 service firewalld stop 4、查看防火墙规则 firewall-cm
Linux中防火墙应用（firewalld）
weixin_47152389的博客
07-30 698
目录一、firewalld概述二、firewalld和iptables的关系1、firewalld和iptables的区别三、firewalld网络区域1、区域介绍：2、firewalld数据处理流程四、防火墙配置方法五、firewall-config图形工具六、防火墙案例 一、firewalld概述 支持网络区域所定义的网络链接以及接口安全等级的动态防火墙工具 支持IPv4，IPv6防火墙设置以及以太网桥 支持服务或应用程序直接添加防火墙规则接口 拥有两种配置模式： 运行时配置 永久配置 二、fire
Linux 防火墙配置指南：firewalld 端口管理应用案例(二十个实列)
博客之路,前途漫漫
07-06 8186
​​我们将通过十个实际案例，详细介绍如何使用 firewalld 管理和配置系统端口。无论您是刚开始学习 Linux 防火墙配置，还是希望深入了解 firewalld 的高级功能，这些案例都将为您提供实用的指导和参考。让我们一起探索如何确保系统安全并优化网络访问吧！
Linux运维--Firewall防火墙命令以及规则等详解（全）
lza20001103的博客
09-02 3149
Linux运维--Firewall防火墙命令以及规则等详解（全）
Linux进阶篇：firewalld详解——firewalld 的概念&作用以及如何使用
qq_39241682的博客
04-08 2766
firewalld（防火墙守护程序）是Linux发行版中一款用于管理网络防火墙的动态守护程序。它提供了一个命令行和图形用户界面，用于配置和管理系统的防火墙规则。firewalld使用iptables、ip6tables、ebtables和nftables作为后端来处理网络数据包。它允许您在不需要重启防火墙或停止网络服务的情况下，实时更改防火墙规则。本文详细介绍了 Linux 中的 firewalld，包括其基本概念、作用和如何使用它来保护系统。
firewall
chiliwa0464的博客
06-13 448
centos 7中防火墙是一个非常的强大的功能了，但对于centos 7中在防火墙中进行了升级了，下面我们一起来详细的看看关于centos 7中防火墙使用方法。 FirewallD 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。它支持 IPv4, I...
Firewalld 使用
weeki666的博客
07-26 172
# Firewalld 转自：https://linux.cn/article-8098-1-rel.html ## 服务器配置 需要开启防火墙的服务： 1. gitlab:http 80,ssh 22,smtp 25 1. jenkins:http 80,ssh 22,smtp 25 1. rap2:http 80,tcp 8080 1. docker:tcp 5000 防火墙配置：开通...
linux简介及基础教程和实用案例分析及特点阐述.txt
07-10
### Linux简介及基础教程和实用案例分析及特点阐述 #### Linux概述 Linux是一种免费且开源的操作系统内核，由Linus Torvalds于1991年首次发布，并且随着时间的发展逐渐演变成一个完整的操作系统。Linux以其高度...
使用Linux-firewalld实现接口绑定与高可用策略
理解Linux-firewalld ## 1.1 什么是Linux-firewalld？ Linux-firewalld是一种基于用户空间的防火墙管理工具，用于管理和配置Linux系统的防火墙规则。它是Linux系统中的一个重要组件，可用于保护系统免受恶意访问...
Linux——firewalld防火墙基础（防火墙的配置方法、firewall-cmd命令行工具）
CN_PanHao的博客
07-29 1164
文章目录前言Firewalld概述Firewalld和iptables的关系netfilterFirewalld、iptablesnetfilter和Firewalld，iptables关系Firewalld和iptables的区别Firewalld网络区域Firewalld防火墙的配置方法Firewall-config图形工具“区域”选项卡“服务”选项卡Firewalld防火墙案例 前言 Linux防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙
初识Linux-firewalld：如何安装与配置
# 1....## 1.2 为什么我们要使用Linux-firewalld？ 使用Linux-firewalld有以下几个好处： - **动态管理规则**：相比传统的iptables静态规则，Linux-firewalld可以动态添加、删除、修改防火墙规则，
linux的一种防火墙 firewalld 基础
东山下的博客
09-29 146
#centos7上的firewalld 的使用 一、firewalld的基本启动关闭命令 启动服务------systemctl start firewalld 关闭服务------systemctl stop firewalld 查看状态------systemctl status firewalld 开机禁用------systemctl disable firewalld 开机启用----...
firewalld的使用 （收藏）
qq_20282955的博客
02-12 135
1、firewalld的基本使用 启动：systemctlstartfirewalld 查看状态：systemctlstatusfirewalld 停止：systemctldisablefirewalld 禁用：systemctlstopfirewalld 2.systemctl是CentOS7的服务管理工具中主要的工具，它融合之前service和chkconfig的功能于...
Linux Firewalld 入门及命令使用指南
最新发布
XMYX-0
09-11 819
firewalld提供了动态、区域化的防火墙管理机制，用户可以通过简单的命令实现复杂的防火墙配置。无论是管理服务、端口还是设置端口转发，firewalld都能提供强大的功能。结合永久规则和临时规则，你可以在生产环境和开发环境中灵活管理 Linux 系统的网络访问控制。
linux 防火墙（firewall）
DK_one的博客
03-16 6413
一 ： 介绍1.1防⽕墙是保护机器不受来⾃外部的、不需要的⽹络数据的⼀种⽅式。它允许⽤⼾通过定义⼀组防⽕墙规则来控制主机上的⼊站⽹络流量。这些规则⽤于对进⼊的流量进⾏排序，并可以阻断或允许流量。1.2firewalld 是⼀个防⽕墙服务守护进程，其提供⼀个带有 D-Bus 接⼝的、动态可定制的、基于主机的防⽕墙。如果是动态的，它可在每次修改规则时启⽤、修改和删除规则，⽽不需要在每次修改规则时重启防⽕墙守护进程。。
firewalld的基本使用
weixin_44712014的博客
01-01 296
1、firewalld的基本使用 启动： systemctl start firewalld 查看状态： systemctl status firewalld 禁用，禁止开机启动： systemctl disable firewalld 停止运行： systemctl stop firewalld 2.配置firewalld-cmd 查看版本： firewall-cmd --version 查看帮助： firewall-cmd --help 显示状态： firewall-cmd --state 查看所有打开
Centos7:配置防火墙
weixin_30802273的博客
10-07 79
firewalld的基本使用 启动： systemctl start firewalld 关闭：systemctl stop firewalld 查看状态： systemctl status firewalld 开机禁用 ：systemctl disable firewalld 开机启用 ：systemctl enable firewalld 转载于:https://www.cnbl...
linuxfirewalld
08-24
Linux firewalld 是一个用于管理网络防火墙的工具。它是为了替代之前的 iptables 服务而开发的，并且提供了一个更简单和易于使用的命令行接口。Firewalld 允许用户定义网络规则，以控制进出系统的网络流量。 Firewalld 使用基于区域（Zone）的概念来组织和管理规则。每个区域定义了特定网络环境下的安全策略。例如，公共区域可能限制某些服务的访问，而内部区域则允许更多的服务。 你可以使用 firewalld 命令行工具来添加、删除、启用或禁用规则，也可以使用配置文件来定义规则。此外，firewalld 还提供了一些额外的功能，如网络接口绑定、端口转发和网络地址转换等。 总之，Linux firewalld 是一款方便且强大的工具，可用于保护你的系统免受未经授权的网络访问。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值