一、Linux防火墻的基礎Linux的防火墻體系主要工作在網(wǎng)絡層，針對TCP/IP數(shù)據(jù)包實時過濾和限制，屬于典型的包過濾防火墻（或稱為網(wǎng)絡層防火墻）。Linux系統(tǒng)的防火墻體系基于內核共存：firewalld、iptables、ebtables，默認使用firewalld來管理netfilter子系統(tǒng)。
1、firewalld概述 firewalld的作用是為包過濾機制提供匹配規(guī)則（或稱為策略），通過各種不同的規(guī)則，告訴netfilter對來自指定源，前往指定目的或具有某些協(xié)議特征的數(shù)據(jù)包采取何種處理方式。為了更加方便地組織和管理防火墻，firewalld提供了支持網(wǎng)絡區(qū)域所定義的網(wǎng)絡鏈接以及接口安全等級的動態(tài)防火墻管理工具。支持IPv4、IPv6防火墻設置以及以太網(wǎng)橋，并且擁有兩種配置模式：
2、firewalld網(wǎng)絡區(qū)域 firewalld將所有的網(wǎng)絡數(shù)據(jù)流量劃分為多個區(qū)域，從而簡化防火墻管理。根據(jù)數(shù)據(jù)包的源IP地址或傳入網(wǎng)絡接口等條件，將數(shù)據(jù)流量轉入相應區(qū)域的防火墻規(guī)則。
3、firewalld預定義區(qū)域說明
二、firewalld防火墻的配置方法在Centos 7系統(tǒng)中，可以使用三種方式配置firewalld防火墻：
1、firewalld-cmd的基礎命令 [root@centos01 ~]# systemctl start firewalld <!--啟動firewalld-->[root@centos01 ~]# systemctl enable firewalld<!--設置開機自動啟動firewalld-->[root@centos01 ~]# systemctl status firewalld <!--查看防火墻運行狀態(tài)-->[root@localhost ~]# firewall-cmd --state <!--查看防火墻允許狀態(tài)-->running[root@centos01 ~]# systemctl stop firewalld<!--停止firewalld-->[root@centos01 ~]# systemctl disable firewalld<!--設置開機不自動啟動firewalld-->[root@centos01 ~]# firewall-cmd --get-zones <!--查看防火墻預定義的區(qū)域-->[root@centos01 ~]# firewall-cmd --get-service <!--查看防火墻支持的預定義服務類型-->[root@centos01 ~]# firewall-cmd --get-default-zone <!--查看系統(tǒng)的默認區(qū)域 -->[root@localhost /]# firewall-cmd --reload <!--重載防火墻-->[root@centos01 ~]# firewall-cmd --get-active-zones <!--查看激活的區(qū)域-->[root@centos01 ~]# firewall-cmd --get-icmptypes <!--顯示預定義的ICMP類型-->address-unreachable bad-header communication-prohibited destination-unreachable echo-reply echo-request fragmentation-needed host-precedence-violation host-prohibitedhost-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisementneighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachableprecedence-cutoff protocol-unreachable redirect required-option-missingrouter-advertisement router-solicitation source-quench source-route-failed time-exceededtimestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option firewall-cmd --get-icmptypes命令執(zhí)行結果中部分阻塞類型的含義如下：
2、firewalld區(qū)域管理選項
區(qū)域管理示例如下： [root@centos01 ~]# firewall-cmd --get-default-zone <!--顯示當前系統(tǒng)中的默認區(qū)域-->[root@centos01 ~]# firewall-cmd --list-all<!--顯示默認區(qū)域的所有規(guī)則-->[root@centos01 ~]# firewall-cmd --get-zone-of-interface=ens32 <!--查看ens32接口所在的區(qū)域-->internal[root@centos01 ~]# firewall-cmd --zone=internal --change-interface=ens32 <!--修改ens32接口對應的區(qū)域更改到internal區(qū)域--> The interface is under control of NetworkManager, setting zone to 'internal'.success[root@centos01 ~]# firewall-cmd --zone=internal --list-interface <!--查看internal區(qū)域的接口列表-->ens32[root@centos01 ~]# firewall-cmd --get-active-zones <!--顯示所有激活區(qū)域-->internal interfaces: ens32 3、firewalld服務管理 為了方便管理，firewalld預先定義了很多服務，存放在/usr/lib/firewalld/services/目錄中，服務通過單個的XML配置文件來指定。這些配置文件則按以下格式命名：service-name.xml，每個文件對應一項具體的網(wǎng)絡服務，如ssh服務等。我們需要將service配置文件放置在/etc/firewalld/services/目錄中。service配置具有以下優(yōu)點：
1）firewalld-cmd命令區(qū)域中服務管理的常用選項說明：
2）firewalld服務管理示例如下(為默認區(qū)域設置允許訪問的服務)： [root@centos01 ~]# firewall-cmd --list-services <!--顯示默認區(qū)域內允許訪問的所有服務-->dhcpv6-client ssh [root@centos01 ~]# firewall-cmd --add-service=http <!--設置默認區(qū)域允許訪問http服務-->success[root@centos01 ~]# firewall-cmd --add-service=https <!--設置默認區(qū)域允許訪問https服務-->success[root@centos01 ~]# firewall-cmd --list-services <!--顯示默認區(qū)域內允許訪問的所有服務-->dhcpv6-client ssh https http 3）firewalld服務管理示例如下（為internal區(qū)域設置允許訪問的服務）： [root@centos01 ~]# firewall-cmd --zone=internal --add-service=mysql <!--設置internal區(qū)域允許訪問mysql服務-->success[root@centos01 ~]# firewall-cmd --zone=internal --remove-service=samba-client <!--設置internal區(qū)域不允許訪問Samba-client服務-->success[root@centos01 ~]# firewall-cmd --zone=internal --list-services <!--顯示internal區(qū)域內允許訪問的所有服務-->ssh mdns dhcpv6-client mysql 4、端口管理 在進行服務配置時，預定義的網(wǎng)絡服務可以使用服務名配置，服務所涉及的端口就會自動打開。但是，對于非預定義的服務只能手動為指定的區(qū)域添加端口。例如，執(zhí)行以下操作即可實現(xiàn)在internal區(qū)域打開443/TCP端口。示例如下： [root@centos01 ~]# firewall-cmd --zone=internal --add-port=443/tcp <!--在internal區(qū)域打開443/tcp端口-->success 若想實現(xiàn)在internal區(qū)域禁止443/TCP端口訪問，可執(zhí)行以下命令： [root@centos01 ~]# firewall-cmd --zone=internal --remove-port=443/tcp <!--在internal區(qū)域禁止443/tcp端口訪問-->success 以上配置都為臨時配置，若想將當前配置保存為永久配置，可以使用下面命令： [root@centos01 ~]# firewall-cmd --runtime-to-permanentsuccess 直接配置為永久性規(guī)則，須帶--permanent選項，如下： [root@centos01 ~]# firewall-cmd --add-icmp-block=echo-request --permanent <!--禁止ping-->success[root@centos01 ~]# firewall-cmd --zone=external --add-icmp-block=echo-request --permanent <!--配置external區(qū)域禁止ping-->success 三、firewalld兩種配置模式前面提到firewall-cmd命令工具有兩種配置模式：運行時模式（Runtime mode）表示當前內存中運行的防火墻配置，在系統(tǒng)或firewalld服務重啟、停止時配置將失效；永久模式（Permanent mode）表示重啟防火墻或重新加載防火墻時的規(guī)則配置，是永久存儲在配置文件中的。
|
|
|
