FireWalld防火墻

概述

firewalld防火墻是Centos7系統(tǒng)默認(rèn)的防火墻管理工具，取代了之前的iptables防火墻，也

是工作在網(wǎng)絡(luò)層，屬于包過濾防火墻。

firewalld和iptables都是用來管理防火墻的工具(屬于用戶態(tài))來定義防火墻的各種規(guī)則功

能，內(nèi)部結(jié)構(gòu)都指向netfilter網(wǎng)絡(luò)過濾子系統(tǒng)(屬于內(nèi)核態(tài))來實現(xiàn)包過濾防火墻功能

fircwalld提供了支持網(wǎng)絡(luò)區(qū)域所定義的網(wǎng)絡(luò)連接以及接口安全等級的動態(tài)防火墻管理工具。
它支持IPv4、IPv6防火墻設(shè)置以及以太網(wǎng)橋(在某些高級服務(wù)可能會用到，比如云計算)
并且擁有兩種配置模式:運行時配置與水久配置

• netfilter

  • 位于Linux內(nèi)核中的包過濾功能體系
  • 稱為Linux防火墻的"內(nèi)核態(tài)’

• Firewalld/iptables

  • CentOS7默認(rèn)的管理防火墻規(guī)則的工具(Firewalld)
  • 稱為Linux防火墻的“用戶態(tài)”

firewalld和iptables區(qū)別

• firewalld與iptables 的區(qū)別:

  • iptables主要是基于接口，設(shè)置規(guī)則，從而判斷網(wǎng)絡(luò)的安全性。

    firewalld是基于區(qū)域，根據(jù)不同的區(qū)域來設(shè)置不同的規(guī)則，從而保證網(wǎng)絡(luò)的安

    全，與便件防火墻的設(shè)置相類似。

  • iptables在/etc/sysconfig/ iptables中儲存配置。

    firewalld將配置儲存在/etc/firewalld/ (優(yōu)先加載)和

    ? /usr/lib/firewalld/ ( 默認(rèn)的配置文件)中的各種 XML 文件里。

  • 使用iptables每一個單獨更改意味著清除所有舊有的規(guī)從/etc/sysconfig/iptables

    里讀取所有新的規(guī)則，規(guī)則修改后會立即生效

    使用firewalld卻不會再創(chuàng)建任何新的規(guī)則，僅僅運行規(guī)則中的不同之處。因此

    firewalld可以在運行時間內(nèi)，改變設(shè)置而不丟失現(xiàn)行連接。

  • iptables防火墻類型為靜態(tài)防火墻

    firewalld防火墻類型為動態(tài)防火墻

firewalld區(qū)域

• 區(qū)域介紹

  • 區(qū)域如同進(jìn)入主機的安全門，每個區(qū)域都具有不同限制程度的規(guī)則
  • 可以使用一個或多個區(qū)域，但是任何一個活躍區(qū)域至少需要關(guān)聯(lián)源地址或接口
  • 默認(rèn)情況下，public區(qū) 域是默認(rèn)區(qū)域，包含所有接口(網(wǎng)卡)

• firewalld數(shù)據(jù)處理

  • 如數(shù)據(jù)包的源地址與區(qū)域綁定，則此數(shù)據(jù)包不管從哪個網(wǎng)卡傳入，都使用該區(qū)域的規(guī)則過濾數(shù)據(jù)包；
  • 如數(shù)據(jù)包的源地址未與區(qū)域綁定，則此數(shù)據(jù)包從哪個網(wǎng)卡傳入，則使用該網(wǎng)卡綁定的區(qū)域規(guī)則過濾數(shù)據(jù)包
  • 如網(wǎng)卡未綁定區(qū)域規(guī)則，則使用默認(rèn)區(qū)域規(guī)則過濾數(shù)據(jù)包

• 9大預(yù)定義區(qū)域

  • public (默認(rèn)只允許ssh, dhcp協(xié)議數(shù)據(jù)包傳入)
  • home (默認(rèn)只允許ssh, dhcp, samba, mdns協(xié)議數(shù)據(jù)包傳入)
  • work (默認(rèn)只允許ssh, dhcp協(xié)議數(shù)據(jù)包傳入)
  • internal (默認(rèn)只允許ssh, dhcp, samba, mdns協(xié)議數(shù)據(jù)包傳入)
  • exLernal (默認(rèn)只允許ssh協(xié)議數(shù)據(jù)包傳入，傳出數(shù)據(jù)包會做地址偽裝轉(zhuǎn)換MASQUERADE)
  • dmz (非軍事區(qū)域，默認(rèn)只允許ssh協(xié)議數(shù)據(jù)包傳入)
  • trusted (允許所有)
  • block (拒絕所有，有響應(yīng)消息)
  • drop(丟棄所有，無響應(yīng)消息)

• 默認(rèn)情況下，public區(qū)域是默認(rèn)區(qū)域，默認(rèn)綁定所有接口(網(wǎng)卡)

最終一個區(qū)域的安全程度是取決于管理員在此區(qū)域中設(shè)置的規(guī)則。

區(qū)域如同進(jìn)入主機的安全門，每個區(qū)域都具有不同限制程度的規(guī)則，只會允許符合規(guī)則的

流量傳入。

可以根據(jù)網(wǎng)絡(luò)規(guī)模，使用一個或多個區(qū)域，但是任何一個活躍區(qū)域至少需要關(guān)聯(lián)源地址

或接口。

firewalld配置

• firewalld配置方法

1. firewall-config 使用圖形化界面
2. cd /etc/firewalld/zones 修改配置文件
3. firewall -cmd 使用命令行進(jìn)行操作

systemctl start firewalld     ##配置前先開啟防火墻

一個區(qū)域可以綁定多個網(wǎng)卡或IP，一個網(wǎng)卡或IP只能綁定一個區(qū)域

查

firewall-cmd --get-default-zone    ##顯示當(dāng)前默認(rèn)區(qū)域

			 --get-active-zones    ##顯示當(dāng)前正在使用的區(qū)域及其對應(yīng)的網(wǎng)卡接口
			 --list-all-zones      ##顯示所有區(qū)域及其規(guī)則
			 --list-all --zone=XXX  ##顯示某個區(qū)域及其規(guī)則
			 --list-services --zone=XXX  ##顯示某個區(qū)域的服務(wù)
			 --list-ports          ##顯示指定區(qū)域內(nèi)允許訪問的所有端口號
			 --get-zone-of-interface=   ##顯示指定接口綁定的區(qū)域

增

firewall-cmd --add-interface=xxx --zone=XXX   ##為指定接口綁定區(qū)域
firewall-cmd --add-source=xxx --zone=XXX      ##為源IP綁定區(qū)域
             --add-service=xxx --zone=XXX     ##為指定服務(wù)綁定區(qū)域
             --add-service={服務(wù)1,服務(wù)2,...} --zone=XXX 
             --add-port=端口1/協(xié)議 --zone=XXX 
             --add-port=端口1-端口2/協(xié)議 --zone=XXX 
             --add-port={端口1,端口2,...}/協(xié)議 --zone=XXX 

刪

firewall-cmd --remove-interface=xxx --zone=XXX
firewall-cmd --remove-source=xxx --zone=XXX

改

firewall-cmd  --set-default-zone=XXX    ##設(shè)置默認(rèn)區(qū)域
              --change-interface=xxx --zone=XXX    ##修改接口的區(qū)域
			  --change-source=xxx --zone=XXX      ##修改源地址

永久配置（不會立即生效需要重新加載）
firewall-cmd .....  --permanent
firewall-cmd --reload    或   systemctl restart firewalld

運行時配置（會立即生效，但firewalld服務(wù)重啟后即失效）
firewall-cmd ....
firewall-cmd --runtime-to-permanent    #將之前的運行時配置都轉(zhuǎn)換成永久配置

文章來源地址http://www.zghlxwxcb.cn/news/detail-454901.html

設(shè)置地址轉(zhuǎn)換
（1）設(shè)置 SNAT
firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.80.0/24 -j SNAT --to-source 12.0.0.1

（2）設(shè)置 DNAT
firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11

到了這里，關(guān)于8.FireWalld防火墻的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！