Linux系统防火墙firewalld
firewalld概述
firewalld防火墙是centos7系统默认的防火墙管理工具,取代了之前的iptables防火墙,也是工作在网络层,属于包过滤防火墙。
firewalld和iptables都是用来管理防火墙的工具(属于用户态)来定义防火墙的各种规则功能,内部结构都指向netfilter网络过滤子系统(属于内核态)来交现包过滤防火墙功能。
firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。它支持IPv4、IPv6防火墙设置以及以太网桥(在某些高级服务可能会用到,比如云计算),并且拥有两种配置模式:运行时配置和永久配置
firewalld与Iptables的关系与区别
作用范围的区别
-
iptables主要基于接口,来设置规则,从而判断网络的安全性。
-
firewalld是基于区域,根据不同的区域来设置不同的规则,从而保证网络的安全。与硬件防火墙的设置相类似。
配置文件的区别
-
iptables在/etc/sysconfig/iptables中存储配置
-
firewalld将配置储存在/etc/firewalld/(优先加载)和/usr/lib/firewalld/(默认的配置文件)中的各种XML文件中
读取修改规则的区别
-
使用iptables每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables/里读取所有新的规则(即修改配置立即生效)
-
使用firewalld却不会再创建任何新的规则,仅仅运行规则中的不同之处。因此firewalld可以在运行事件内,改变设置而不丢失现行的连接。(即修改配置不会断开现有的数据连接)
防火墙类型的区别
firewalld区域的概念
firewalld防火墙为了简化管理,将所有网络流量分为多个区域(zone)。然后根据数据包的源ip地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表
注
最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门,每个区域都具有不同限制程度的规则,只会运行符合规则的流量传入。
可以根据网络规模,使用一个或多个区域,但是任何一个活跃区域至少需要关联源地址或接口。
默认情况下,public区域是默认区域,包含并关联所有接口(网卡)
firewalld数据处理流量
firewalld对于进入系统的数据包,会根据数据包的源IP地址或传入的网络接口等条件,将数据流量转入相应区域的防火墙规则。对于进入系统的数据包,首先检查的就是其源地址
firewalld检查数据包源地址的规则
- 若源地址关联到特定的区域(即源地址或接口绑定的区域没有冲突),则执行该区域所制定的规则。
- 若源地址未关联到特定的区域(即源地址或接口绑定的区域有冲突),则使用传入网络接口的区域并执行该区域所制定的规则。
- 若网络接口也未关联到特定的区域((即源地址或接口都没有绑定特定的某个区域),则使用默认区域并执行该区域所制定的规则。
firewalld防火墙的配置种类
1.运行时配置
- 实时生效,并持续至Firewalld重新启动或重新加载配置
- 不中断现有连接
- 不能修改服务配置
2.永久配置
- 不立即生效,除非Firewalld重新启动或重新加载配置
- 中断现有连接
- 可以修改服务配置
firewalld防火墙的配置方法
- firewall-config 图形工具
- firewall-cmd 命令行工具
- /etc/firewalld/中的配置文件
使用命令配置firewalld防火墙
firewall-cmd [命令选项] 参数
{参数1,参数2,...}
注:所有需要指定区域操作如果未指定,则按默认区域进行操作
1.获取和修改默认区域
//1.获取默认区域
[root@localhost1 ~]#firewall-cmd --get-default-zone
public
//2.设置默认确认区域
[root@localhost1 ~]#firewall-cmd --set-default-zone=work
uccess
2.获取区域名
//1.获取所有区域
[root@localhost1 ~]#firewall-cmd --get-zones
block dmz drop external home internal public trusted work
//2.获取已激活的区域
[root@localhost1 ~]#firewall-cmd --get-active-zones
work
interfaces: ens33 ens36
3.获取区域详细信息
//1.列出所有区域信息
[root@localhost1 ~]#firewall-cmd --list-all-zones
block
target: %%REJECT%%
icmp-block-inversion: no
interfaces:
sources:
services:
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
dmz
target: default
icmp-block-inversion: no
interfaces:
sources:
services: ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
drop
target: DROP
icmp-block-inversion: no
interfaces:
sources:
services:
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
external
target: default
icmp-block-inversion: no
interfaces:
sources:
services: ssh
ports:
protocols:
masquerade: yes
forward-ports:
source-ports:
icmp-blocks:
rich rules:
home (active)
target: default
icmp-block-inversion: no
interfaces: ens36
sources:
services: dhcpv6-client mdns samba-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
internal
target: default
icmp-block-inversion: no
interfaces:
sources:
services: dhcpv6-client mdns samba-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
public (active)
target: default
icmp-block-inversion: no
interfaces:
sources: 192.168.116.0/24
services: dhcpv6-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
trusted
target: ACCEPT
icmp-block-inversion: no
interfaces:
sources:
services:
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
work (active)
target: default
icmp-block-inversion: no
interfaces: ens33
sources:
services: dhcpv6-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
//2.列出默认区域的信息
[root@localhost1 ~]#firewall-cmd --list-all
work (active)
target: default
icmp-block-inversion: no
interfaces: ens33
sources:
services: dhcpv6-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
//3.列出指定区域的信息
[root@localhost1 ~]#firewall-cmd --list-all --zone=public
public (active)
target: default
icmp-block-inversion: no
interfaces:
sources: 192.168.116.0/24
services: dhcpv6-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
4.区域网卡接口操作
//1.指定区域添加接口
[root@localhost1 ~]#firewall-cmd --add-interface=ens35 --zone=home
success
//2.获取指定区域的接口
[root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens33
work
[root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens35
home
//3.指定区域修改接口
[root@localhost1 ~]#firewall-cmd --zone=home --change-interface=ens36
success
//4.为指定区域添加接口
[root@localhost1 ~]#firewall-cmd --add-interface=ens33 --zone=home
//5.为指定区域移除接口
[root@localhost1 ~]#firewall-cmd --remove-interface=ens35 --zone=home
success
5.区域源地址操作
//1.为指定区域添加源地址(网段)
[root@localhost1 ~]#firewall-cmd --zone=home --add-source=2.2.2.2
success
[root@localhost1 ~]#firewall-cmd --zone=public --add-source=192.168.116.0/24
success
//2.修改指定区域源地址
[root@localhost1 ~]#firewall-cmd --zone=public --change-source=2.2.2.2
success
//3.移除指定区域源地址
[root@localhost1 ~]#firewall-cmd --zone=public --remove-source=2.2.2.2
success
6.区域服务操作
//1.列出默认区域的服务
[root@localhost1 ~]#firewall-cmd --list-services
dhcpv6-client ssh
//2.列出指定区域的服务
[root@localhost1 ~]#firewall-cmd --list-services --zone=home
dhcpv6-client mdns samba-client ssh
//3.为指定区域添加服务
[root@localhost1 ~]#firewall-cmd --zone=work --add-service=http
success
//4.移除指定区域服务
[root@localhost1 ~]#firewall-cmd --zone=work --remove-service=http
success
7.区域服务端口操作
//1.添加指定区域服务端口
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/tcp
success
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/udp
success
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=20-22/tcp
success
//2.列出指定区域服务端口
[root@localhost1 ~]#firewall-cmd --zone=work --list-ports
53/tcp 53/udp 20-22/tcp
//3.删除指定区域默认端口
[root@localhost1 ~]#firewall-cmd --zone=work --remove-port=20-22/tcp
success
8.区域icmp类型操作
//1.获取所有icmp类型
[root@localhost1 ~]#firewall-cmd --get-icmptypes
address-unreachable bad-header communication-prohibited destination-unreachabl e echo-reply echo-request fragmentation-needed host-precedence-violation host- prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour -advertisement neighbour-solicitation network-prohibited network-redirect netw ork-unknown network-unreachable no-route packet-too-big parameter-problem port -unreachable precedence-cutoff protocol-unreachable redirect required-option-m issing router-advertisement router-solicitation source-quench source-route-fai led time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host -unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reas sembly ttl-zero-during-transit unknown-header-type unknown-option
//2.为指定区域添加icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --add-icmp-block=echo-request
success
//3.获取指定区域icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --list-icmp-blocks
echo-request
//4.删除指定区域icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --remove-icmp-block=echo-request
success
将修改的防火墙策略设为永久生效
1.在操作 firewall-cmd 命令行时最后加上 --permanent 选项,再重启(systemctl restart firewalld)或重载(firewall-cmd --reload)服务。
2.直接在操作完 firewall-cmd 命令行后,使用 firewall-cmd --runtime-to-permanet,将当前的运行时配置写入规则配置文件中,使之成为永久性配置。
firewalld设置NET地址转换
设置SNAT
firewall-cmd --zone=区域名 --direct --passthrough ipv4 -t nat -A POSTROUTING -s 私网地址(网段) -j SNAT --to-source 公网地址
[root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.116.0/24 -j SNAT --to-source 12.0.0.1
[root@localhost1 ~]#iptables -t nat -nL |grep SNAT
SNAT all -- 192.168.116.0/24 0.0.0.0/0 to:12.0.0.1
设置DNAT
firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 公网地址 -p tcp --dport 80 -j DNAT --to-destination 私网地址(网段)
[root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.116.10
[root@localhost1 ~]#iptables -t nat -nL |grep DNAT
DNAT tcp -- 0.0.0.0/0 12.0.0.1 tcp dpt:80 to:192.168.116.10
推荐阅读
-
在Linux系统下,使用命令解压zip文件
-
在Linux系统下安装和使用软件解压RAR文件的方法
-
定制linux系统_linux系统定制_定制自己linux的系统
-
asp系统定制_linux系统定制_定制linux系统
-
Linux命令之挂载文件系统mount-使用
-
手动挂载Linux系统磁盘:一个简易指南
-
磁盘分区和创建文件系统在Linux(十三)中的挂载
-
Linux系统初始化后重新挂载数据盘的步骤
-
如何在Linux系统中挂载Windows共享文件夹
-
什么是挂载,Linux挂载详解-纠正一个误区,并不是根目录下任何一个目录都可以作为挂载点,由于挂载操作会使得原有目录中文件被隐藏,因此根目录以及系统原有目录都不要作为挂载点,会造成系统异常甚至崩溃,挂载点最好是新建的空目录。