Firewalld防火墙

目次

Firewald 防火墙概述
        Firewalld 简介
        firewalld 与 iptables service的区别
        Firewalld 网络地区
        Firewalld 防火墙图形设置方法
       服务选项
        端标语
        协议选项
        源端口选项
        伪装选项
        端口转发
         ICMP过滤器
        防火墙的设置运行状态 运行时和永世有什么区别
        Firewalld 防火墙 firewall-cmd下令设置 
        获取预界说信息
        地区管理
        服务管理
        端口管理
        两种设置模式

---

Firewald 防火墙概述

        Firewalld 简介

        firewalld 的作用是为包过滤机制提供匹配规则(或称为计谋)，通过各种差异的规则告诉netfilter 对来自指定源、前去指定目的或具有某些协议特性的数据包采取何种处理处罚方式为了更加方便地构造和管理防火墙,firewal1d 提供了支持网络地区所界说的网络链接以及接口安全品级的动态防火墙管理工具。它支持 IPv4、IPv6 防火墙设置以及以太网桥，而且拥有两种设置模式:运行时设置与永世设置。它还支持服务或应用步伐直接添加防火墙规则接口。
        firewalld 自身并不具备防火墙的功能，而是和iptables:一样须要通过内核的 netfilter 来实现。也就是说 firewalld 和 iptables 一样，他们的作用都是用于维护规则，而真正利用规则干活的是内核的 netfilter，只不外 firewalld 和 iptables 的布局以及利用方法不一样罢了。
        体系提供了图形化的设置工具 firewal1-config、system-config-firewal，提供下令行客户端firewall-cmd，用于设置firewalld 永世性或非永世性运行天下的改变；它以此用iptables工具于实行数据包筛选的内核中的Netfilter通讯。

        从图中可以看到，iptables 服务和 firewalld 都是通过 iptables 下令与内核的 netfilter 举行交互的。在 Eu1er 体系中，我们仍旧可以利用 iptables 下令来管理我们的防火墙。唯一差异的是当我们重启服务器或重启 firewa1ld 时,iptables 下令管理的规则不会主动加载，反而会被 firewalld的规则取代。
        firewalld 与 iptables service的区别

iptables service	/etc/sysconfig/iptables 中储存设置
firewalld	将设置储存在/usr/lib/firewalld/和 /etc/firewalld/ 中的各种 XML 文件里。

        利用 iptables service每一个单独更改意味着扫除全部旧有的规则和从/etc/sysconfig/iptables里读取全部新的规则,然而利用 firewalld 却不会再创建任何新的规则;仅仅运行规则中的差异之处。因此,firewalld 可以在运行时间内,改变设置而不丢失现行毗连。
        Firewalld 网络地区

        firewalld 将全部的网络数据流量分别为多个地区，从而简化防火墙管理。根据数据包的源 IP 所在或传入网络接口等条件，将数据流量转入相应地区的防火墙规则。对于进入体系的数据包，起首检査的就是其源所在。
   

• 若源所在关联到特定的地区，则实行该地区所订定的规则。
  
• 若源所在未关联到特定的地区,则利用传入网络接口的地区并实行该地区所订定的规则。
  
• 若网络接口未关联到特定的地区，则利用默认地区并实行该地区所订定的规则。
  

           默认地区不是单独的地区，而是指向体系上界说的某个其他地区。默认情况下，默认地区是 public,但是体系管理员可以更改默认地区。以上匹配规则，按照先后序次，第一个匹配的规则胜出。
        在每个地区中都可以设置其要打开大概关闭的一系列服务或端口,firewalld 的每个预界说的地区都设置了默认打开的服务。下表中列出了 firewalld 的预界说地区分析。

地区	默认计谋规则
trusted	答应全部的数据包
home	拒绝流人的流量，除非与流出的流量干系;而假如流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client 服务干系，则答应流量
internal	等同于 home 地区
work	拒绝流人的流量，除非与流出的流量数干系;而假如流量与ssh、ipp-client与dhcpv6-client 服务干系，则答应流量
public	拒绝流人的流量，除非与流出的流量干系;而假如流量与ssh、dhcpv6-client 服务干系，则答应流量
external	拒绝流人的流量，除非与流出的流量干系;而假如流量与ssh服务干系，则答应流量
dmz	拒绝流入的流量，除非与流出的流量干系;而假如流量与ssh服务干系，则答应流量
block	拒绝流人的流量，除非与流出的流量干系
drop	拒绝流人的流量，除非与流出的流量干系

        Firewalld 防火墙图形设置方法

        在Euler体系中，可以通过该下令 dnf -y install  gnome-shell gdm gnome-session firewall-config 来下载图形化页面
   dnf -y install  gnome-shell gdm gnome-session firewall-config
          通过init进入图形化页面（输入账号暗码进入图形化页面） 

  

         进入防火墙选项

 

       服务选项

       想要那种协议通过防火墙就对该协议画对勾就可，以http为例：
 

        客户端验证：

        端标语

        添加所答应的端标语即可：

        客户端验证：
 

        协议选项

        用于添加全部主机或网络均可访问的协议。

        源端口选项

        根据所须要的源端口或范围来规划：

        伪装选项

        用于把私有所在映射到公有的ip所在上，该功能现在只实用于ipv4.
 

        端口转发

        端口转发选项可以将指定端口映射到别的一个端口或其他主机的指定端口。

         ICMP过滤器

        ICMP 重要用于在联网的盘算机间发送堕落信息,但也发送雷同 ping 哀求以及回应等信息。在“ICMP过滤器”子选项卡中可以选择应该被拒绝的 ICMP 范例，其他全部的 ICMP 范例则被答应通过防火墙。默认设置是没有限定。

        防火墙的设置运行状态 运行时和永世有什么区别

   

• 运行时：在防火墙运行时，添加计谋会立刻收效，但重启后该计谋就会消散。
  
• 永世：永世写入的计谋会在重启后，该计谋不绝存在于服务中。
  

          Firewalld 防火墙 firewall-cmd下令设置 

        获取预界说信息

        预界说信息重要包罗三种：可用的地区、可用的服务以及可用的ICMP壅闭范例，详细查察下令如下：

        该上下令各种壅闭范例寄义如下：
   

• destination-unreachable：目的所在不可达。
  
• echo-reply：应回应(pong)。
  
• parameter-problem：参数题目。
  
• redirect：重新定向。
  
• router-advertisement：路由器告示。
  
• router-solicitation：路由器征寻。
  
• source-quench：源端克制。
  
• time-exceeded：超时。
  
• timestamp-reply：时间戳应答回应。
  
• timestamp-request：时间戳哀求。
  

          地区管理

        利用 firewalld-cmd 下令可以实现获取和管理地区，为指定地区绑定端口等功能，关于direwall-cmd 的下令地区管理选项如下：

选项	分析
--get-default-zone	体现网络毗连或接口的默认地区
--set-default-zone=<zone>	设置网络毗连或接口的默认地区
--get-active-zones	体现已激活的全部地区
--get-zone-of-interface=<interface>	体现指定接口绑定的地区
--zone=<zone>--add-interface=<interface>	为指定接口绑定地区
-zone=<zone>--change-interface=<interface>	为指定的地区更改绑定的网络接口
--zone=<zone>--remove-interface=<interface>	为指定的地区删除绑定的网络接口
--list-all-zones	体现全部地区及其规则
[--zone=<zone>]--list-all	体现全部指定地区的全部规则

         体现当前体系中默认的地区
        

        体现默认地区的全部规则
        

        体现网络接口 ens33对应地区

        将网络接口 ens33 对应的地区更改为 internal 地区

        体现全部激活地区
         

        服务管理

         为了方便管理，firewalld 预先界说了很多服务，存放在 /usr/1ib/firewalld/services/ 目次中，服务通过单个的 XML 设置文件来指定。这些设置文件则按以下格式定名:service-name.xml，每个文件对应一项详细的网络服务，如ssh 服务等。与之对应的设置文件中记录了各项服务所利用的tcp/udp 端口。在最新版本的 firewalld 中默认已经界说了 70 多种服务供我们利用，对于每个网络地区，均可以设置答应访问的服务。当默认提供的服务不实用大概须要自界说某项服务的端口时，我们须要将 service 设置文件放置在/etc/firewalld/services/目次中。service 设置具有以下长处。
   

• 通过服务名字来管理规则更加人性化。
  
• 通过服务来构造端口分组的模式更加高效，假如一个服务利用了多少个网络端口，则服务的设置文件就相当于提供了到这些端口的规则管理的批量利用快捷方式。
  

          下列列出了 firewall-cmd 下令地区中的服务管理常用选项：

参数	作用
--get-default-zone	察访默认的地区名称
--set-default-zone=<地区名称>	设置默认的地区，使其永世收效
--get-zones	体现可用的地区
--get-services	体现预界说的服务
--get-active-zones	体现当前正在利用的地区、泉源所在和网卡名称
--add-source=	将源自此IP或子网的流量导向指定的地区
--remove-source=	不再将源自此IP或子网的流量导向这个地区
--add-interface=<网卡名称>	将源自该网卡的全部流量都导向某个指定地区
--change-interface=<网卡名称>	将某个网卡与地区举行关联
--list-all	体现当前地区的网卡设置参数、资源、端口以及服务等信息
--list-all-zones	体现全部地区的网卡设置参数、资源、端口以及服务等信息
--add-service=<服务名>	设置默认地区答应该服务的流量
--add-port=<端标语/协议>	设置默认地区答应该端口的流量
--remove-service=<服务名>	设置默认地区不再答应该服务的流量
--remove-port=<端标语/协议>	设置默认地区不再答应该端口的流量
--reload	让”永世收效”的设置规则立刻收效，并覆盖当前的设置规则
--panic-on	开启应急状态模式
--panic-off	关闭应急状态模式

        为默认地区设置答应访问的服务
 

1. [root@localhost ~]# firewall-cmd --add-service=dns
2. success
3. // 设置默认区域允许访问dns

复制代码

        为 internal 地区设置答应访问的服务

1. [root@localhost ~]# firewall-cmd --zone=internal --add-service=mysql
2. success        //设置internal 区域允许访问 mysql 服务
4. [root@localhost ~]# firewall-cmd --zone=internal --remove-service=samba-client
5. success        //设置internal 区域不允许 samba-client 服务
7. [root@localhost ~]# firewall-cmd --zone=internal --list-service
8. dhcpv6-client mdns mysql ssh        //显示 internal 区域内允许访问的所有服务

复制代码

        端口管理

         在举行服务设置时，预界说的网络服务可以利用服务名设置，服务所涉及的端口就会主动打开。但是，对于非预界说的服务只能手动为指定的地区添加端口。比方，实行以下利用即可实现在 internal 地区打开 443/TCP 端口。

        若想实现在 internal 地区克制 443/TCP 端口访问，可实行以下下令。

        两种设置模式

         前面提到 firewall-cmd 下令工具有两种设置模式:运行时模式(Runtime mode)体现当前内存中运行的防火墙设置，在体系或 firewa11d 服务重启、制止时设置将失效;永世模式(Permanent mode)体现重启防火墙或重新加载防火墙时的规则设置，是永世存储在设置文件中的。
   firewall-cmd 下令工具与设置模式干系的选项有三个：
  

• --reload：重新加载防火墙规则并保持状态信息，即将永世设置应用为运行时设置。
  
• --permanent：带有此选项的下令用于设置永世性规则,这些规则只有在重新启动 firewalld 或重新加载防火墙规则时才访问效;若不带有此选项，体现用于设置运行时规则。
  
• --runtime-to-permanent：将当前的运行时设置写入规则设置文件中，使之成为永世性设置。