Firewalld防火墙基础

语言: CN / TW / HK

theme: condensed-night-purple

firewalld防火墙

firewalld防火墙是centos7系统默认的防火墙管理工具,取代了之前的iptables防火墙,也是工作在网络层,属于包过滤防火墙。

  • 支持IPv4、IPv6防火墙设置以及以太网桥
  • 支持服务或应用程序直接添加防火墙规则接口
  • 拥有两种配置模式:临时模式、永久模式

Firewalld和iptables的关系

netfilter

  • 位于Linux内核中的包过滤功能体系
  • 称为Linux防火墙的“内核态”

Firewalld/iptables

  • CentOS7默认的管理防火墙规则的工具(Firewalld)
  • 称为Linux防火墙的“用户态”

Firewalld和iptables的区别

1、对规则的设置不同:

  • ptables主要是基于接口(网卡),来设置规则,从而判断网络的安全性。
  • firewalld是基于区域,根据不同的区域来设置不同的规则,从而保证网络的安全。与硬件防火墙的设置相类似。

2、配置文件不同:

  • iptables在/etc/sysconfig/iptables中储存配置;

  • firewalld 将配置储存在/etc/firewalld/(优先加载)和/usr/lib/firewalld/(默认的配置文件)中的各种XML文件里。

    • /etc/firewalld/中没有相关区域的配置文件时,才会加载/usr/lib/firewalld/中的配置文件。

3、对规则的修改:

  • 使用iptables每一个单独更改,意味着清除所有旧的规则和从/etc/sysconfig/iptables里读取所有新的规则。
  • 使用firewalld却不会再创建任何新的规则,仅仅运行规则中的不同之处。因此firewalld可以在运行时间内,改变设置而不丢失现行连接。

4、防火墙类型不同:

  • iptables防火墙类型为静态防火墙
  • firewalld防火墙类型为动态防火墙

firewalld区域的概念

firewalld防火墙为了简化管理,将所有网络流量分为多个区域(zone)。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。

这些区域配置文件存在于/usr/lib/firewalld/zones目录中,还有一个目录/etc/firewalld/zones。firewalld使用规则时,会首先到/etc/firewalld/目录中查找,如果可以找到就直接使用,找不到会继续到/usr/lib/firewalld/目录中查找。

firewalld防火墙定义了9个区域

| 区域 | 作用 | | --- | --- | |trusted(信任区域) | 允许所有的传入流量。 | |public(公共区域) |允许与ssh或dhcpv6-client预定义服务匹配的传入流量,其余均拒绝。是新添加网络接口的默认区域。 | |external(外部区域) | 允许与ssh预定义服务匹配的传入流量其余均拒绝。| |home(家庭区域) | 允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量,其他均拒绝。| |internal(内部区域) | 默认值与home区域相同。| |work(工作区域) |允许与ssh、dhcpv6-client预定义服务匹配的传入流量,其他均拒绝 | |dmz(隔离区域也称非军事区域) |允许与ssh预定义服务匹配的传入流量,其他均拒绝。 | |block(限制区域) | 拒绝所有传入流量。| |drop(丢弃区域) | 丢弃所有传入流量,并且不产生包含icmp的错误响应。|

firewalld防火墙的配置方法

1、firewall-config 图形化工具(生产环境一般只有字符界面,不使用这种方法)

2、firewall-cmd 命令行工具(生产环境中没有图形化界面,所以只能在命令行进行配置)

3、编写 /etc/firewalld 中的配置文件。

  • Firewalld 会优先使用/etc/firewalld/中的配置,如果不存在配置文件,则使用/usr/lib/firewalld/中的配置。
  • /etc/firewalld/:用户自定义配置文件,需要时可通过从/usr/lib/firewalld/ 中拷贝
  • /usr/lib/firewalld/ :默认配置文件,不建议修改,若恢复至默认配置,可直接删除/etc/firewalld/ 中的配置

firewall-config 图形化工具

image.png

image.png

firewall-cmd 命令行工具

常用的 firewall-cmd 命令选项:

```js  #默认区域  --get-default-zone :显示当前默认区域  --set-default-zone= :设置默认区域  ​  --get-active-zones :显示当前正在使用的区域及其网卡接口  --get-zones:显示所有可用的区域  ​  #网络接口  --get-zone-of-interface=ens33 :查看指定接口ens33绑定的区域  --zone= --add-interface= :为指定接口绑定区域  --zone= --change-interface= :为指定区域更改绑定的网络接口  --zone= --remove-interface= :为指定区域删除绑定的网络接口  ​  #源地址  --zone= --add-source=[/] :为指定源地址绑定区域  --zone= --change-source=[/] :为指定的区域更改绑定的源地址  --zone= --remove-source=[/] :为指定的区域删除绑定的源地址  ​  #显示指定区域的所有规则  --list-all-zones :显示所有区域及其规则  --zone= --list-all :显示所有指定区域的所有规则,若不指定区域表示仅对默认的区域操作  ​  #服务管理  --zone= --list-service :显示指定区域内允许访问的所有服务  --zone= --add-service= :为指定的区域设置允许访问的某项服务  --zone= --remove-service= :删除指定区域已设置的允许访问的某项服务  ​  #端口管理  --zone= --list-ports:x显示指定区域内允许访问的所有端口号  --zone= --add-port=[-portid]/:为指定的区域设置允许访问的某个端口号/某段端口号(包括协议)  --zone= --remove-port=[-portid]/:删除指定区域已设置允许访问的端口号(包括协议)  ​  #icmp协议  --zone= --list-icmp-blocks :显示指定区域内拒接访问的所有icmp类型  --zone= --add-icmp-block=:为指定区域设置允许访问的某项icmp类型  --zone= --remove-icmp-block=删除指定区域已设置允许访问的某项icmp类型  firealld-cmd --get-icmptypes :显示所有icmp类型

```

Firewalld两种配置模式

运行时配置:

  • 实时生效,并持续至Firewalld重新启动或重新加载配置文件
  • 不中断现有连接
  • 不能修改服务器配置

永久配置:

  • 不立即生效,除非Firewaddl重新启动或重新加载配置
  • 中断现有连接
  • 可以修改服务配置

运行时配置

image.png

image.png

image.png

image.png

image.png

查看指定区域的所有规则

firewall-cmd --list-all-zones:显示所有区域及其规则

firewall-cmd --list-all : 不指定区域时,查看的是默认区域

firewall-cmd --list-all --zone=work:显示work区域的所有规则

image.png

image.png

服务管理

显示、添加、删除指定区域的某个服务

image.png

image.png

image.png

端口管理

添加、删除某个协议的端口

image.png

永久配置

永久配置不立即生效,需要重启服务或重新加载后才生效。重启服务或重新加载时会中断现有连接。下次重启后不会丢失,永久存在。

直接进行永久配置

image.png

image.png