系統(tǒng)運(yùn)維
firewalld概述
firewalld簡介
支持網(wǎng)絡(luò)區(qū)域所定義的網(wǎng)絡(luò)鏈接以及接口安全等級(jí)的動(dòng)態(tài)防火墻管理工具
支持ipv4、ipv6防火 墻設(shè)置以及以太網(wǎng)橋
支持服務(wù)或應(yīng)用程序直接添加防火墻規(guī)則接口
擁有兩種配置模式
運(yùn)行時(shí)配置
永久配置
firewalld和iptables的關(guān)系
netfilter
netfilter是linux2.4.x之后新一代的linux防火墻機(jī)制，是linux內(nèi)核的一個(gè)子系統(tǒng)
netfilter采用模塊化設(shè)計(jì)，具有良好的可擴(kuò)充性
位于linux內(nèi)核中的包過濾功能體系
稱為linux防火墻的“內(nèi)核態(tài)”
firewalld/iptables
centos7默認(rèn)的管理防火墻規(guī)則的工具(firewalld)
稱為linux防火墻的“用戶態(tài)”
firewalld和iptables的區(qū)別
–firewalldiptables配置文件
/usr/lib/firewalld<br/>/etc/firewalld/
/etc/sysconfig/iptables
對(duì)規(guī)則的修改
不需要全部刷新策略，不丟失現(xiàn)行連接
需要全部刷新策略，丟失連接
靜態(tài)防火墻
動(dòng)態(tài)防火墻(靈活)
靜態(tài)防火墻
firewalld網(wǎng)絡(luò)區(qū)域
區(qū)域介紹
區(qū)域描述drop（丟棄）
任何接收的網(wǎng)絡(luò)數(shù)據(jù)包都被丟棄，沒有任何回復(fù)。僅能有發(fā)送出去的網(wǎng)絡(luò)連接
block（限制）
任何接收的網(wǎng)絡(luò)連接都被lpv4的icmp-host-prohibited信息和ipv6的icmp6-adm-prohibited信息所拒絕
public（公共）
在公共區(qū)域內(nèi)使用，不能相信網(wǎng)絡(luò)內(nèi)的其他計(jì)算機(jī)不會(huì)對(duì)您的計(jì)算機(jī)造成危害，只能接收經(jīng)過選取的連接
external（外部）
特別是為路由器啟用了偽裝功能的外部網(wǎng)。您不能信任來自網(wǎng)絡(luò)的其他計(jì)算，不能相信它們不會(huì)對(duì)您的計(jì)算機(jī)造成危害，只能接收經(jīng)過選擇的連接
dmz（非軍事區(qū)）
用于您的非軍事區(qū)內(nèi)的電腦，此區(qū)域內(nèi)可公開訪問，可以有限地進(jìn)入您的內(nèi)部網(wǎng)絡(luò)，僅僅接收經(jīng)過選擇的連接
work（工作）
用于工作區(qū)。您可以基本相信網(wǎng)絡(luò)內(nèi)的其他電腦不會(huì)危害您的電腦。僅僅接收經(jīng)過選擇的連接
home（家庭）
用于家庭網(wǎng)絡(luò)。您可以基本信任網(wǎng)絡(luò)內(nèi)的其他計(jì)算機(jī)不會(huì)危害您的計(jì)算機(jī)。僅僅接收經(jīng)過選擇的連接
internal（內(nèi)部）
用于內(nèi)部網(wǎng)絡(luò)。您可以基本上信任網(wǎng)絡(luò)內(nèi)的其他計(jì)算機(jī)不會(huì)威脅您的計(jì)算機(jī)。僅僅接受經(jīng)過選擇的連接
trusted（信任）
可接受所有的網(wǎng)絡(luò)連接
firewalld數(shù)據(jù)處理流程
檢查數(shù)據(jù)來源的源地址
若源地址關(guān)聯(lián)到特定的區(qū)域，則執(zhí)行該區(qū)域所指定的規(guī)則
若源地址未關(guān)聯(lián)到特定的區(qū)域，則使用傳入網(wǎng)絡(luò)接口的區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則
若網(wǎng)絡(luò)接口未關(guān)聯(lián)到特定的區(qū)域，則使用默認(rèn)區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則
firewalld防火墻的配置方法
運(yùn)行時(shí)配置
實(shí)時(shí)生效，并持續(xù)至firewalld重新啟動(dòng)或重新加載配置
不中斷現(xiàn)有連接
不能修改服務(wù)配置
永久配置
不立即生效，除非firewalld重新啟動(dòng)或重新加載配置
中斷現(xiàn)有連接
可以修改服務(wù)配置
firewall-config圖形工具
運(yùn)行時(shí)配置/永久配置
重新加載防火墻
更改永久配置并生效
關(guān)聯(lián)網(wǎng)卡到指定區(qū)域
修改默認(rèn)區(qū)域
連接狀態(tài)
“區(qū)域”選項(xiàng)卡
“服務(wù)”子選項(xiàng)卡
“端口”子選項(xiàng)卡
“協(xié)議”子選項(xiàng)卡
“源端口”子選項(xiàng)卡,
“偽裝”子選項(xiàng)卡
“端口轉(zhuǎn)發(fā)”子選項(xiàng)卡
"icmp過濾器”子選項(xiàng)卡
"服務(wù)”選項(xiàng)卡
“模塊”子選項(xiàng)卡
“目標(biāo)地址”子選項(xiàng)卡
firewall-cmd命令行工具
啟動(dòng)、停止、查看 firewalld 服務(wù)
systemctl start firewalld //啟動(dòng) firewalldsystemctl enable firewalld //設(shè)置 firewalld 為開機(jī)自啟動(dòng)systemctl status firewalld //查看 firewalld 狀態(tài)信息firewall-cmd --state //查看 firewalld 狀態(tài)信息systemctl stop firewalld //停止 firewalld systemctl disable firewalld //設(shè)置 firewalld 開機(jī)不自啟動(dòng)獲取預(yù)定義信息
firewall-cmd 預(yù)定義信息主要包括三種：可用的區(qū)域、可用的服務(wù)以及可用的 icmp 阻塞類型
firewall-cmd --get-zones //顯示預(yù)定義的區(qū)域 firewall-cmd --get-service //顯示預(yù)定義的服務(wù)firewall-cmd --get-icmptypes //顯示預(yù)定義的 icmp 類型firewall-cmd --get-icmptypes 命令的執(zhí)行結(jié)果中各種阻塞類型的含義
destination-unreachable：目的地址不可達(dá)。
echo-reply：應(yīng)答回應(yīng)（pong）。
parameter-problem：參數(shù)問題。
redirect：重新定向。
router-advertisement：路由器通告。
router-solicitation：路由器征尋。
source-quench：源端抑制。
time-exceeded：超時(shí)。
timestamp-reply：時(shí)間戳應(yīng)答回應(yīng)。
timestamp-request：時(shí)間戳請(qǐng)求。
區(qū)域管理
使用 firewall-cmd 命令可以實(shí)現(xiàn)獲取和管理區(qū)域，為指定區(qū)域綁定網(wǎng)絡(luò)接口等功能。
選項(xiàng)說明--get -default -zone
顯示網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域
--set -default -zone=<zone>
設(shè)置網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域
--get -active -zones
顯示已激活的所有區(qū)域
--get- zone -of -interface=<interface>
顯示指定接口綁定的區(qū)域
--zone=<zone> --add-interface=<interface>
為指定接口綁定區(qū)域
--zone=<zone> --change-interface=<interface>
為指定的區(qū)域更改綁定的網(wǎng)絡(luò)接口
--zone=<zone> --remove-interface=<interface>
為指定的區(qū)域刪除綁定的網(wǎng)絡(luò)接口
--list-all-zones
顯示所有區(qū)域及其規(guī)則
[--zone=<zone>] --list-a
顯示所有指定區(qū)域的所有規(guī)則，省略--zone=<zone>時(shí)表示僅
服務(wù)管理
firewalld預(yù)先定義了 很 多 服 務(wù) ，存放在/usr/lib/firewalld/services/ 目錄中，服務(wù)通過單個(gè)的 xml 配置文件來指定，這些配置文件則按以下格式命名：service-name.xml，每個(gè)文件對(duì)應(yīng)一項(xiàng)具體的網(wǎng)絡(luò)服務(wù)，當(dāng)默認(rèn)提供的服務(wù)不適用或者需要自定義某項(xiàng)服務(wù)的端口時(shí)，我們需要將 service配置文件放置在 /etc/firewalld/services/ 目錄中。service 配置優(yōu)點(diǎn)：通過服務(wù)名字來管理規(guī)則更加人性化、通過服務(wù)來組織端口分組的模式更加高效，如果一個(gè)服務(wù)使用了若干個(gè)網(wǎng)絡(luò)端口，則服 務(wù)的配置文件就相當(dāng)于提供了到這些端口的規(guī)則管理的批量操作快捷方式。
firewall-cmd 命令區(qū)域中服務(wù)管理的常用選項(xiàng)說明：
選項(xiàng)說明[--zone=<zone>] --list-services
顯示指定區(qū)域內(nèi)允許訪問的所有服務(wù)
[--zone=<zone>] --add-service=<service>
為指定區(qū)域設(shè)置允許訪問的某項(xiàng)服務(wù)
[--zone=<zone>] --remove-service=<service>
刪除指定區(qū)域已設(shè)置的允許訪問的某項(xiàng)服務(wù)
[--zone=<zone>] --list-ports
顯示指定區(qū)域內(nèi)允許訪問的所有端口號(hào)
[--zone=<zone>] --a