• Linux系统防火墙firewalld

    目录

    一、firewalld概述

    二、firewalld和iptables的关系

    三、firewalld区域的概念

    四、firewalld数据处理流程

    五、firewalld检查数据包源地址的规则

    六、firewalld防火墙的配置种类

    1.运行时配置

    2.永久配置

    七、firewalld防火墙的配置方法

    八、使用命令配置firewalld防火墙

    1.获取和修改默认区域

    2.获取区域名

    3.获取区域详细信息 

    4.区域网卡接口操作

    5.区域源地址操作

    6.区域服务操作

    7.区域服务端口操作 

    8.区域icmp类型操作 

    九、将修改的防火墙策略设为永久生效

    十、firewalld设置NET地址转换

    1.设置SNAT

    2.设置DNAT

    一、firewalld概述

            firewalld防火墙是centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙。

            firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统（属于内核态）来交现包过滤防火墙功能。

            firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。
    它支持IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算），并且拥有两种配置模式：运行时配置和永久配置。

    二、firewalld和iptables的关系

    iptablesfirewalld

    iptables主要是基于接口，来设置规则，从而判断网络的安全性。

    		firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。
    iptables 在 /etc/sysconfig/iptables/中储存配置。firewalld将配置储存在 /etc/firewalld/（优先加载）和 /usr/lib/firewalld/（默认的配置文件）中的各种XML文件里。
    使用iptables每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables里读取所有新的规则。使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内，改变设置而不丢失现行连接。
    iptables 防火墙类型为静态防火墙firewalld防火墙类型为动态防火墙

    三、firewalld区域的概念

            firewalld防火墙为了简化管理，将所有网络流量分为多个区域(zone)。然后根据数据包的源ip地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。

    firewalld防火墙预定义了9个区域

    区域名默认作用
    trusted（信任区域）允许所有的传入流量。
    public（公共区域）

    允许与ssh或dhcopv6-client预定义服务匹配的传入流量，其余均拒绝。

    是新添加网络接口的默认区域。

    external（外部区域）

    允许与ssh预定义服务匹配的传入流量，其余均拒绝。

    默认将通过此区域转发的IPv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络。

    home（家庭区域）允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。
    internal（内部区域）默认值时与home区域相同。
    work（工作区域）允许与 ssh、dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。
    dmz（隔离区域）允许与ssh预定义服务匹配的传入流量，其余均拒绝。
    block（限制区域）拒绝所有传入流量。
    drop（丢弃区域）丢弃所有传入流量，并且不产生包含ICMP的错误响应。

    注意 

    • 最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
    • 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
    • 可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口。
    • 默认情况下，public区域是默认区域，绑定所有接口（网卡)

    四、firewalld数据处理流程

            firewalld对于进入系统的数据包，会根据数据包的源ip地址或传入的网络接口等条件，将数据流量转入相应区域的防火墙规则。对于进入系统的数据包，首先检查的就是其源地址。

    五、firewalld检查数据包源地址的规则

    1. 若源地址关联到特定的区域（即源地址或接口绑定的区域没有冲突)，则执行该区域所制定的规则。
    2. 若源地址未关联到特定的区域（即源地址或接口绑定的区域有冲突），则使用传入网络接口的区域并执行该区域所制定的规则。
    3. 若网络接口也未关联到特定的区域（(即源地址或接口都没有绑定特定的某个区域），则使用默认区域并执行该区域所制定的规则。

    六、firewalld防火墙的配置种类

    1.运行时配置

    • 实时生效，并持续至Firewalld重新启动或重新加载配置
    • 不中断现有连接
    • 不能修改服务配置

    2.永久配置

    • 不立即生效，除非Firewalld重新启动或重新加载配置
    • 中断现有连接
    • 可以修改服务配置

    七、firewalld防火墙的配置方法

    1. firewall-config 图形工具。
    2. firewall-cmd 命令行工具。
    3. /etc/firewalld/中的配置文件。

    八、使用命令配置firewalld防火墙

    firewall-cmd [命令选项] 参数

                                          {参数1，参数2，...}

    注：所有需要指定区域操作如果未指定，则按默认区域进行操作。 

    1.获取和修改默认区域

    1. //1.获取默认区域
    2. [root@localhost1 ~]#firewall-cmd --get-default-zone
    3. public
    4.  
    5. //2.设置默认确认区域
    6. [root@localhost1 ~]#firewall-cmd --set-default-zone=work
    7. success

    2.获取区域名

    1. //1.获取所有区域
    2. [root@localhost1 ~]#firewall-cmd --get-zones
    3. block dmz drop external home internal public trusted work
    4.  
    5. //2.获取已激活的区域
    6. [root@localhost1 ~]#firewall-cmd --get-active-zones
    7. work
    8.   interfaces: ens33 ens36

    3.获取区域详细信息 

    1. //1.列出所有区域信息
    2. [root@localhost1 ~]#firewall-cmd --list-all-zones
    3. block
    4.   target: %%REJECT%%
    5.   icmp-block-inversion: no
    6.   interfaces:
    7.   sources:
    8.   services:
    9.   ports:
    10.   protocols:
    11.   masquerade: no
    12.   forward-ports:
    13.   source-ports:
    14.   icmp-blocks:
    15.   rich rules:
    16.  
    17.  
    18. dmz
    19.   target: default
    20.   icmp-block-inversion: no
    21.   interfaces:
    22.   sources:
    23.   services: ssh
    24.   ports:
    25.   protocols:
    26.   masquerade: no
    27.   forward-ports:
    28.   source-ports:
    29.   icmp-blocks:
    30.   rich rules:
    31.  
    32.  
    33. drop
    34.   target: DROP
    35.   icmp-block-inversion: no
    36.   interfaces:
    37.   sources:
    38.   services:
    39.   ports:
    40.   protocols:
    41.   masquerade: no
    42.   forward-ports:
    43.   source-ports:
    44.   icmp-blocks:
    45.   rich rules:
    46.  
    47.  
    48. external
    49.   target: default
    50.   icmp-block-inversion: no
    51.   interfaces:
    52.   sources:
    53.   services: ssh
    54.   ports:
    55.   protocols:
    56.   masquerade: yes
    57.   forward-ports:
    58.   source-ports:
    59.   icmp-blocks:
    60.   rich rules:
    61.  
    62.  
    63. home (active)
    64.   target: default
    65.   icmp-block-inversion: no
    66.   interfaces: ens36
    67.   sources:
    68.   services: dhcpv6-client mdns samba-client ssh
    69.   ports:
    70.   protocols:
    71.   masquerade: no
    72.   forward-ports:
    73.   source-ports:
    74.   icmp-blocks:
    75.   rich rules:
    76.  
    77.  
    78. internal
    79.   target: default
    80.   icmp-block-inversion: no
    81.   interfaces:
    82.   sources:
    83.   services: dhcpv6-client mdns samba-client ssh
    84.   ports:
    85.   protocols:
    86.   masquerade: no
    87.   forward-ports:
    88.   source-ports:
    89.   icmp-blocks:
    90.   rich rules:
    91.  
    92.  
    93. public (active)
    94.   target: default
    95.   icmp-block-inversion: no
    96.   interfaces:
    97.   sources: 192.168.116.0/24
    98.   services: dhcpv6-client ssh
    99.   ports:
    100.   protocols:
    101.   masquerade: no
    102.   forward-ports:
    103.   source-ports:
    104.   icmp-blocks:
    105.   rich rules:
    106.  
    107.  
    108. trusted
    109.   target: ACCEPT
    110.   icmp-block-inversion: no
    111.   interfaces:
    112.   sources:
    113.   services:
    114.   ports:
    115.   protocols:
    116.   masquerade: no
    117.   forward-ports:
    118.   source-ports:
    119.   icmp-blocks:
    120.   rich rules:
    121.  
    122.  
    123. work (active)
    124.   target: default
    125.   icmp-block-inversion: no
    126.   interfaces: ens33
    127.   sources:
    128.   services: dhcpv6-client ssh
    129.   ports:
    130.   protocols:
    131.   masquerade: no
    132.   forward-ports:
    133.   source-ports:
    134.   icmp-blocks:
    135.   rich rules:
    136.  
    137. //2.列出默认区域的信息
    138. [root@localhost1 ~]#firewall-cmd --list-all
    139. work (active)
    140.   target: default
    141.   icmp-block-inversion: no
    142.   interfaces: ens33
    143.   sources:
    144.   services: dhcpv6-client ssh
    145.   ports:
    146.   protocols:
    147.   masquerade: no
    148.   forward-ports:
    149.   source-ports:
    150.   icmp-blocks:
    151.   rich rules:
    152.  
    153. //3.列出指定区域的信息
    154. [root@localhost1 ~]#firewall-cmd --list-all --zone=public
    155. public (active)
    156.   target: default
    157.   icmp-block-inversion: no
    158.   interfaces:
    159.   sources: 192.168.116.0/24
    160.   services: dhcpv6-client ssh
    161.   ports:
    162.   protocols:
    163.   masquerade: no
    164.   forward-ports:
    165.   source-ports:
    166.   icmp-blocks:
    167.   rich rules:

    4.区域网卡接口操作

    1. //1.指定区域添加接口
    2. [root@localhost1 ~]#firewall-cmd --add-interface=ens35 --zone=home
    3. success
    4.  
    5. //2.获取指定区域的接口
    6. [root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens33
    7. work
    8. [root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens35
    9. home
    10.  
    11. //3.指定区域修改接口
    12. [root@localhost1 ~]#firewall-cmd --zone=home --change-interface=ens36
    13. success
    14.  
    15. //4.为指定区域添加接口
    16. [root@localhost1 ~]#firewall-cmd --add-interface=ens33 --zone=home
    17.  
    18. //5.为指定区域移除接口
    19. [root@localhost1 ~]#firewall-cmd --remove-interface=ens35 --zone=home
    20. success

    5.区域源地址操作

    1. //1.为指定区域添加源地址（网段）
    2. [root@localhost1 ~]#firewall-cmd --zone=home --add-source=2.2.2.2
    3. success
    4. [root@localhost1 ~]#firewall-cmd --zone=public --add-source=192.168.116.0/24
    5. success
    6.  
    7. //2.修改指定区域源地址
    8. [root@localhost1 ~]#firewall-cmd --zone=public --change-source=2.2.2.2
    9. success
    10.  
    11. //3.移除指定区域源地址
    12. [root@localhost1 ~]#firewall-cmd --zone=public --remove-source=2.2.2.2
    13. success

    6.区域服务操作

    1. //1.列出默认区域的服务
    2. [root@localhost1 ~]#firewall-cmd --list-services
    3. dhcpv6-client ssh
    4.  
    5. //2.列出指定区域的服务
    6. [root@localhost1 ~]#firewall-cmd --list-services --zone=home
    7. dhcpv6-client mdns samba-client ssh
    8.  
    9. //3.为指定区域添加服务
    10. [root@localhost1 ~]#firewall-cmd --zone=work --add-service=http
    11. success
    12.  
    13. //4.移除指定区域服务
    14. [root@localhost1 ~]#firewall-cmd --zone=work --remove-service=http
    15. success

    7.区域服务端口操作 

    1. //1.添加指定区域服务端口
    2. [root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/tcp
    3. success
    4. [root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/udp
    5. success
    6. [root@localhost1 ~]#firewall-cmd --zone=work --add-port=20-22/tcp
    7. success
    8.  
    9. //2.列出指定区域服务端口
    10. [root@localhost1 ~]#firewall-cmd --zone=work --list-ports
    11. 53/tcp 53/udp 20-22/tcp
    12.  
    13. //3.删除指定区域默认端口
    14. [root@localhost1 ~]#firewall-cmd --zone=work --remove-port=20-22/tcp
    15. success

    8.区域icmp类型操作 

    1. //1.获取所有icmp类型
    2. [root@localhost1 ~]#firewall-cmd --get-icmptypes
    3. address-unreachable bad-header communication-prohibited destination-unreachabl                                                                                                          e echo-reply echo-request fragmentation-needed host-precedence-violation host-                                                                                                          prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour                                                                                                          -advertisement neighbour-solicitation network-prohibited network-redirect netw                                                                                                          ork-unknown network-unreachable no-route packet-too-big parameter-problem port                                                                                                          -unreachable precedence-cutoff protocol-unreachable redirect required-option-m                                                                                                          issing router-advertisement router-solicitation source-quench source-route-fai                                                                                                          led time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host                                                                                                          -unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reas                                                                                                          sembly ttl-zero-during-transit unknown-header-type unknown-option
    4.  
    5. //2.为指定区域添加icmp类型
    6. [root@localhost1 ~]#firewall-cmd --zone=work --add-icmp-block=echo-request
    7. success
    8.  
    9. //3.获取指定区域icmp类型
    10. [root@localhost1 ~]#firewall-cmd --zone=work --list-icmp-blocks
    11. echo-request
    12.  
    13. //4.删除指定区域icmp类型
    14. [root@localhost1 ~]#firewall-cmd --zone=work --remove-icmp-block=echo-request
    15. success
    16.

    九、将修改的防火墙策略设为永久生效

    1. 在操作 firewall-cmd 命令行时最后加上 --permanent 选项，再重启（systemctl restart firewalld）或重载（firewall-cmd --reload）服务。
    2. 直接在操作完 firewall-cmd 命令行后，使用 firewall-cmd --runtime-to-permanet，将当前的运行时配置写入规则配置文件中，使之成为永久性配置。

    十、firewalld设置NET地址转换

    1.设置SNAT

    firewall-cmd --zone=区域名 --direct --passthrough ipv4 -t nat -A POSTROUTING -s 私网地址（网段） -j SNAT --to-source 公网地址

    1. [root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.116.0/24 -j SNAT --to-source 12.0.0.1
    2.  
    3. [root@localhost1 ~]#iptables -t nat -nL |grep SNAT
    4. SNAT       all  --  192.168.116.0/24     0.0.0.0/0            to:12.0.0.1

    2.设置DNAT

    firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 公网地址 -p tcp --dport 80 -j DNAT --to-destination 私网地址（网段）

    1. [root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.116.10
    2.  
    3. [root@localhost1 ~]#iptables -t nat -nL |grep DNAT
    4. DNAT       tcp  --  0.0.0.0/0            12.0.0.1             tcp dpt:80 to:192.168.116.10

  • 相关阅读:
    GBASE 8s 通过light scan优化查询性能
    浅谈Python中的类型转换
    最终前端后端小程序还有nginx配置
    按时间索引失败，苦战24h依旧error
    Java集合
    神经网络的三种训练方法,神经网络训练速度
    Apache Spark 的基本概念和在大数据分析中的应用
    RuoYi -Cloud开源框架-跨域配置
    【初识GNN】Graphical Neural Networks
    Linux基本权限管理
  • 原文地址：https://blog.csdn.net/weixin_58544496/article/details/126900803