【操作系统】安全管理/防火墙

防火墙

防火墙工具

Netfilter

1. 是Linux操作系统核心层内部的一个数据包处理模块，Linux平台下的包过滤防火墙；

2.作用:
	网络地址转换
	数据包内容修改
	数据包过滤的防火墙功能 ***（要介绍的部分）
1
2
3
4
5
6

相关定义：
1. 表 tables：规则的集合（功能相似 的 规则 的集合）
2. 链 chains：关卡（一个关卡，可能有多个规则）
3. 规则 policy：匹配条件，处理动作
1
2
3
4

例子

链、表、规则

链

表

常见的4类表：
1. raw表：关闭nat表上启动的连接追踪机制 iptable_raw
2. mangle表：拆解报文，做出修改，并重新封装 iptable_mangle
3. nat表：Network Address Translation，网络地址转换 iptable_net
4. filter表：负责过滤功能，防护墙功能 iptable_filter
1
2
3
4
5

注意：
1 - 每个关卡能调用的 表 是不同的；
2 - 五个关卡基本是固定的：
	PREROUTING
	INPUT
	FORWARD
	POSTROUTING
	OUTPUT：4个表
1
2
3
4
5
6
7
8

规则

系统防火墙 - Firewalld

静态防火墙

只要修改规则，所有的规则都要重新载入，如：iptables service

动态防火墙

任何规则的变更都不需要对整个防火墙规则列表进行重新加载，只要将变更的部分保存并更新到运行中 的 iptables 即可，如 ：firewalld

区域

Firewalld将网卡对应到不同的区域（zone）

zone默认有9个

1. block
2. dmz
3. drop
4. external
5. home
6. internal
7. public
8. trusted
9. work
1
2
3
4
5
6
7
8
9

可以理解为：9个样板间

不同的zone对待数据包的默认行为不同，

在kylinos中，默认区域是public

firewalld默认每个服务是拒绝的，需要去设置才能放行；

命令行操作 firewall

基础命令

查看防火墙状态

firewall-cmd state	#防护墙状态
systemctl status firewalld	#防火墙状态
1
2

关闭防火墙

systemctl stop firewalld.service	#关闭防火墙
1

启动防火墙

systemctl start firewalld.service
1

开机自启防火墙

systemctl enable firewalld.service
1

修改安全策略