Firewalld防火墻(基礎(chǔ)篇)-創(chuàng)新互聯(lián)

Firewalld簡介

1.支持網(wǎng)絡(luò)區(qū)域所定義的網(wǎng)絡(luò)連接以及接口安全的動態(tài)防火墻管理工具。
2.支持IPv4、IPv6防火墻設(shè)置以及以太網(wǎng)橋接
3.支持服務(wù)或應(yīng)運程序直接添加防火墻規(guī)則口
4.擁有兩種配置模式
運行時配置
永久配置

專注于為中小企業(yè)提供成都網(wǎng)站制作、成都做網(wǎng)站服務(wù),電腦端+手機端+微信端的三站合一,更高效的管理,為中小企業(yè)中牟免費做網(wǎng)站提供優(yōu)質(zhì)的服務(wù)。我們立足成都，凝聚了一批互聯(lián)網(wǎng)行業(yè)人才，有力地推動了上1000+企業(yè)的穩(wěn)健成長，幫助中小企業(yè)通過網(wǎng)站建設(shè)實現(xiàn)規(guī)模擴充和轉(zhuǎn)變。

Firewalld與iptables的關(guān)系

Firewalld防火墻(基礎(chǔ)篇)

netfilter

1.位于linux內(nèi)核中的包過濾功能體系
2.稱為Linux防火墻的“內(nèi)核態(tài)”

Firewalld/iptables

1.Centos7默認的管理防火墻規(guī)則的工具(Firewalld)
2.稱為linux防火墻的“用戶態(tài)”
3.Firewalld是iptables的升級
4.iptables(command)為用戶態(tài)
5.kernel(netfilter)為內(nèi)核態(tài)

Firewalld與iptables的區(qū)別

	Firewalld	iptables
配置文件	/usr/lib/firewalld/ /etc/firewalld/	/etc/sysconfig/iptables
對規(guī)則的修改	不需要全部刷新策略，不丟失現(xiàn)行連接	需要全部刷新策略，丟失連接
防火墻類型	動態(tài)防火墻	靜態(tài)防火墻

Firewalld網(wǎng)絡(luò)區(qū)域

區(qū)域介紹

1.區(qū)域如同進入主機的安全門，每個區(qū)域都具有不同限制程度的規(guī)則
2.可以使用一個人或多個區(qū)域，但是任何一個活躍區(qū)域至少需要關(guān)聯(lián)源地址或接口
3.默認情況下，public區(qū)域是默認區(qū)域，包含所有接口（網(wǎng)卡）

區(qū)域	描述
drop（丟棄）	任何接收的網(wǎng)絡(luò)數(shù)據(jù)包都被丟棄，沒有任何回復。僅能有發(fā)送出去的網(wǎng)絡(luò)連接
block（限制）	任何接收的網(wǎng)絡(luò)連接都被IPv4的icmp-hot-prohibited信息和IPv6的icmp6-adm-prohibited信息所拒絕
public（公共）	在公共區(qū)域內(nèi)使用，不能相信網(wǎng)絡(luò)內(nèi)的其他計算機不會對您的計算機造成危害，只能接收經(jīng)過選取的連接
external（外部）	特別是為路由器啟用了偽裝功能的外部網(wǎng)。您不能信任來自網(wǎng)絡(luò)的其他計算，不能相信他們不會對您的計算機造成危害，只能接收經(jīng)過選擇的連接
dmz（非軍事區(qū)）	用于您的非軍事區(qū)內(nèi)的電腦，此區(qū)域內(nèi)可公開訪問，可以有限的進入您的內(nèi)部網(wǎng)絡(luò)，僅僅接收經(jīng)過選擇的連接
work（工作）	用于工作區(qū)域。您可以基本相信網(wǎng)絡(luò)內(nèi)的其他電腦不會危害您的電腦。僅僅接收經(jīng)過選擇的連接
home（家庭）	用于家庭網(wǎng)絡(luò)。您可以基本相信網(wǎng)絡(luò)內(nèi)的其他計算機不會危害您的計算機。僅僅接收經(jīng)過選擇的連接
internal（內(nèi)部）	用于內(nèi)部網(wǎng)絡(luò)。您可以基本上信任網(wǎng)絡(luò)內(nèi)的其他計算機不會威脅您的計算機。僅僅接受經(jīng)過選擇的連接
trusted（信任）	可接受所有的網(wǎng)絡(luò)連接

Firewalld數(shù)據(jù)處理流程

檢查數(shù)據(jù)來源的源地址
1.若源地址關(guān)聯(lián)到特定的區(qū)域，則執(zhí)行該區(qū)域所指定的規(guī)則
2.若源地址未關(guān)聯(lián)到特定的區(qū)域，則使用傳入網(wǎng)絡(luò)接口的區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則
3.若網(wǎng)絡(luò)接口未關(guān)聯(lián)到特定的區(qū)域，則使用默認區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則

Firewalld防火墻的配置方法

運行時配置

1.實時生效，并持續(xù)至Firewalld重新啟動或重新加載配置
2.不中斷現(xiàn)有連接
3.不能修改服務(wù)配置

永久配置

1.不立即生效，除非Firewalld重新啟動或重新加載配置
2.終端現(xiàn)有連接
3.可以修改服務(wù)配置

/etc/firewalld/中的配置文件

1.Firewalld會優(yōu)先使用/etc/firewalld/中的配置，如果不存在配置文件時可通過從/usr/lib/firewalld/中拷貝

2./usrlib/firwalld/：默認配置文件，不建議修改，若恢復至默認配置，可直接刪除/etc/firewalld/中的配置

Firewalld-config圖形工具

[root@localhost ~]# firewall-config          //打開圖形工具

Firewalld防火墻(基礎(chǔ)篇)

運行時配置/永久配置
重新加載防火墻
更該永久配置
關(guān)聯(lián)網(wǎng)卡到指定區(qū)域
修改默認區(qū)域
連接狀態(tài)

區(qū)域選項卡內(nèi)容
1.“服務(wù)” 子選項卡
2.“端口”子選項卡
3.“協(xié)議”子選項卡
4.“源端口”子選項卡
5.“偽裝”子選項卡
6.“端口轉(zhuǎn)發(fā)”子選項卡
7.“ICMP過濾器”子選項卡

服務(wù)選項卡
1.“模塊”子選項卡
2.“目標地址”子選項卡

Firewalld命令行工具

Firewalld-cmd命令

1.啟動、停止、查看 firewalld 服務(wù)

systemctl start firewalld         //啟動 firewalld
systemctl enable firewalld         //設(shè)置 firewalld 為開機自啟動
systemctl status firewalld        //查看firewalld狀態(tài)
firewall-cmd --state             //查看firewalld狀態(tài)
systemctl stop firewalld           //停止 firewalld服務(wù)
systemctl disable firewalld           //設(shè)置 firewalld 開機不自啟動

2.獲取預定義信息

firewall-cmd 預定義信息主要包括三種：可用的區(qū)域、可用的服務(wù)以及可用的 ICMP 阻塞

firewall-cmd --get-zones           //顯示預定義的區(qū)域 
firewall-cmd --get-service         //顯示預定義的服務(wù)
firewall-cmd --get-icmptypes         //顯示預定義的 ICMP 類型

各種阻塞類型的含義

destination-unreachable：目的地址不可達 
echo-reply：應(yīng)答回應(yīng)（pong） 
parameter-problem：參數(shù)問題 
redirect：重新定向
router-advertisement：路由器通告 
router-solicitation：路由器征尋 
source-quench：源端抑制 
time-exceeded：超時 
timestamp-reply：時間戳應(yīng)答回應(yīng) 
timestamp-request：時間戳請求

3.區(qū)域管理

使用 firewall-cmd 命令可以實現(xiàn)獲取和管理區(qū)域，為指定區(qū)域綁定網(wǎng)絡(luò)接口等功能

區(qū)域管理選項

- -get-default-zone       //顯示網(wǎng)絡(luò)連接或接口的默認區(qū)域 
- -set-default-zone=<zone>       //設(shè)置網(wǎng)絡(luò)連接或接口的默認區(qū)域 
- -get-active-zones       //顯示已激活的所有區(qū)域 
- -get-zone-of-interface=<interface>       //顯示指定接口綁定的區(qū)域 
- -zone=<zone> - -add-interface=<interface>       //為指定接口綁定區(qū)域 
- -zone=<zone> - -change-interface=<interface>        //為指定的區(qū)域更改綁定的網(wǎng)絡(luò)接口 
- -zone=<zone> - -remove-interface=<interface>       //為指定的區(qū)域刪除綁定的網(wǎng)絡(luò)接口 
- -list-all-zones       //顯示所有區(qū)域及其規(guī)則 
[- -zone=<zone>] - -list-all       //顯示所有指定區(qū)域的所有規(guī)則，省略- -zone=<zone>時表示表示對默認區(qū)域操作

4.服務(wù)管理

firewalld 預 先 定 義 了 很 多 服 務(wù) ， 存 放 在 /usr/lib/firewalld/services/ 目錄中，服務(wù)通過單個的 XML 配置文件來指定。這些配置文件則按以下格式命名：service-name.xml，每個文件對應(yīng)一項具體的網(wǎng)絡(luò)服務(wù)，ssh 務(wù)等。與之對應(yīng)的配置文件中記錄了各項服務(wù)所使用的 tcp/udp 端口。在最新版本的 firewalld 中默認已經(jīng)定義了 ，對于每個網(wǎng)絡(luò)區(qū)域許訪問的服務(wù)。當默認提供的服務(wù)不適用或者需要自定義某項服務(wù)的端口時，我們需要將 service 配置文件放置在 /etc/firewalld/services/ 目錄中。ervice 配置具有以下優(yōu)點: 通過服務(wù)名字來管理規(guī)則更加人性化; 通過服務(wù)來組織端口分組的模式更加高效，如果一個服務(wù)使用了若干個網(wǎng)絡(luò)端口，則服務(wù)的配置文件就相當于提供了到這些端口的規(guī)則管理的批量操作快捷方式。

服務(wù)管理選項

[- -zone=<zone>] - -list-services         //顯示指定區(qū)域內(nèi)允許訪問的所有服務(wù) 
[- -zone=<zone>] - -add-service=<service>         //為指定區(qū)域設(shè)置允許訪問的某項服務(wù) 
[- -zone=<zone>] - -remove-service=<service>         //刪除指定區(qū)域已設(shè)置的允許訪問的某項服務(wù) 
[- -zone=<zone>] - -list-ports         //顯示指定區(qū)域內(nèi)允許訪問的所有端口號 
[- -zone=<zone>] - -add-port=<portid>[-<portid>]/<protocol>         //為指定區(qū)域設(shè)置允許訪問的某個/某段端口號 （包括協(xié)議名） 
[- -zone=<zone>] - -remove-port=<portid>[-<portid>]/<protocol>         //刪除指定區(qū)域已設(shè)置的允許訪問的端口號（包括協(xié)議名） 
[- -zone=<zone>] - -list-icmp-blocks         //顯示指定區(qū)域內(nèi)拒絕訪問的所有ICMP類型 
[- -zone=<zone>] - -add-icmp-block=<icmptype>         //為指定區(qū)域設(shè)置拒絕訪問的某項ICMP類型 
[- -zone=<zone>] - -remove-icmp-block=<icmptype>         //刪除指定區(qū)域已設(shè)置的拒絕訪問的某項ICMP類型，省略- -zone=<zone>時表示對默認區(qū)域操作 
[- -zone=<zone>] - -remove-icmp-block=<icmptype>         //查詢指定區(qū)域的ICMP阻塞功能

5.端口管理

在進行服務(wù)配置時，預定義的網(wǎng)絡(luò)服務(wù)可以使用服務(wù)名配置，服務(wù)所涉及的端口就會自動打開。但是對于非預定義的服務(wù)只能手動為指定的區(qū)域添加端口

端口管理命令

firewall-cmd - -zone=internal - -add-ports      //顯示internal區(qū)域內(nèi)允許訪問的使用端口號
firewall-cmd - -zone=internal - -remove-port=22/tcp - -timeout=5m       //啟用internal 區(qū)域22端口的TCP協(xié)議訪問,- -timeout=5m表示5分鐘后刪除除該端口(多用于測試)
firewall-cmd - -zone=internal - -remove-port=443/tcp       //禁止internal 區(qū)域443端口的TCP協(xié)議訪問
firewall-cmd - -zone=internal - -query-port=22/tcp      //查詢internal 區(qū)域中是否啟用22端口和TCP協(xié)議

6.兩種配置模式

運行時模式:
表示當前內(nèi)存中運行的防火墻配置，在系統(tǒng)或 firewalld 服務(wù)重啟、停止時配置將失效
永久模式:
表示重啟防火墻或重新加載防火墻時的規(guī)則配置，是永久存儲在配置文件中的

配置模式選項

 - -reload：重新加載防火墻規(guī)則并保持狀態(tài)信息，即將永久配置應(yīng)用為運行時配置。 
 - -permanent：帶有此選項的命令用于設(shè)置永久性規(guī)則，這些規(guī)則只有在重新啟動 
firewalld 或重新加載防火墻規(guī)則時才會生效；若不帶有此選項，表示用于設(shè)置運行時 
規(guī)則。 
- -runtime-to-permanent：將當前的運行時配置寫入規(guī)則配置文件中，使之成為永久性的配置

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機、免備案服務(wù)器”等云主機租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。

新聞標題：Firewalld防火墻(基礎(chǔ)篇)-創(chuàng)新互聯(lián)
本文地址：http://www.muchs.cn/article22/sphcc.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供企業(yè)建站、微信小程序、小程序開發(fā)、動態(tài)網(wǎng)站、商城網(wǎng)站、軟件開發(fā)

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源：創(chuàng)新互聯(lián)

猜你還喜歡下面的內(nèi)容