• firewalld防火墙


    Firewalld

    firewalld(Dynamic Firewall Manager of Linux systems,Linux系统的动态防火墙管理器)服务是默认的防火墙配置管理工具,它拥有基于CLI(命令行界面)和基于GUI(图形用户界面)的两种管理方式。

    firewalld支持动态更新技术并加入了区域(zone)的概念。简单来说,区域就是firewalld预先准备了几套防火墙策略集合(策略模板),用户可以根据生产场景的不同而选择合适的策略集合,从而实现防火墙策略之间的快速切换。

    firewalld中常见的区域名称(默认为public)以及相应的策略规则如表所示。

    firewalld中常用的区域名称及策略规则

    区域 默认规则策略
    trusted 允许所有的数据包
    home 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关,则允许流量
    internal 等同于home区域
    work 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、ipp-client与dhcpv6-client服务相关,则允许流量
    public 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、dhcpv6-client服务相关,则允许流量
    external 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
    dmz 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
    block 拒绝流入的流量,除非与流出的流量相关
    drop 拒绝流入的流量,除非与流出的流量相关

    终端管理工具

    firewall-cmd是firewalld防火墙配置管理工具的CLI(命令行界面)版本,它的参数一般都是以“长格式”来提供的。

     firewall-cmd命令中常用的参数以及作用

    参数 作用
    --get-default-zone 查询默认的区域名称
    --set-default-zone=<区域名称> 设置默认的区域,使其永久生效
    --get-zones 显示可用的区域
    --get-services 显示预先定义的服务
    --get-active-zones 显示当前正在使用的区域与网卡名称
    --add-source= 将源自此IP或子网的流量导向指定的区域
    --remove-source= 不再将源自此IP或子网的流量导向某个指定区域
    --add-interface=<网卡名称> 将源自该网卡的所有流量都导向某个指定区域
    --change-interface=<网卡名称> 将某个网卡与区域进行关联
    --list-all 显示当前区域的网卡配置参数、资源、端口以及服务等信息
    --list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等信息
    --add-service=<服务名> 设置默认区域允许该服务的流量
    --add-port=<端口号/协议> 设置默认区域允许该端口的流量
    --remove-service=<服务名> 设置默认区域不再允许该服务的流量
    --remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量
    --reload 让“永久生效”的配置规则立即生效,并覆盖当前的配置规则
    --panic-on 开启应急状况模式
    --panic-off 关闭应急状况模式

    使用firewalld配置的防火墙策略默认为运行时(Runtime)模式,又称为当前生效模式,而且会随着系统的重启而失效。如果想让配置策略一直存在,就需要使用永久(Permanent)模式了,方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数,这样配置的防火墙策略就可以永久生效了。但是,永久生效模式有一个的特点,就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效,需要手动执行firewall-cmd --reload命令。

    查看当前有哪些域

    [root@superwu10 ~]# firewall-cmd --get-zones 
    block dmz drop external home internal libvirt public trusted work

    查看firewalld服务当前所使用的区域。

    [root@superwu10 ~]# firewall-cmd --get-default-zone 
    public
    

    查询指定网卡在firewalld服务中绑定的区域。  

    [root@superwu10 ~]# firewall-cmd --get-zone-of-interface=ens160 //在同一台服务器上可以为不同的网卡绑定不同的域
    public
    

    把网卡默认区域修改为external,并在系统重启后生效。  

    [root@superwu10 ~]# firewall-cmd --zone=external --change-interface=ens160 --permanent 
    The interface is under control of NetworkManager, setting zone to 'external'.
    success            
    [root@superwu10 ~]# firewall-cmd --get-default-zone 
    public
    [root@superwu10 ~]# firewall-cmd --get-zone-of-interface=ens160 --permanent 
    external
    

    把firewalld服务的默认区域设置为public。  

    默认区域也叫全局配置,指的是对所有网卡都生效的配置,优先级较低。在下面的代码中可以看到,当前默认区域为public,而ens160网卡的区域为external。此时便是以网卡的区域名称为准。

    [root@superwu10 ~]# firewall-cmd --set-default-zone=public 
    Warning: ZONE_ALREADY_SET: public
    success
    [root@superwu10 ~]# firewall-cmd --get-default-zone 
    public
    [root@superwu10 ~]# firewall-cmd --get-zone-of-interface=ens160 //此时网卡的域(external)优先级高于全局域(public)
    external
    

    查询SSH和HTTPS协议的流量是否允许放行。

    [root@superwu10 ~]# firewall-cmd --zone=public --query-service=ssh   //query-service查询服务
    yes
    [root@superwu10 ~]# firewall-cmd --zone=public --query-service=https
    no
    

    把HTTPS协议的流量设置为永久允许放行,并立即生效。

    [root@superwu10 ~]# firewall-cmd --zone=public --add-service=https --permanent 
    success
    [root@superwu10 ~]# firewall-cmd --reload //加载配置文件,使永久生效的配置立即且永久生效
    success
    [root@superwu10 ~]# firewall-cmd --zone=public --query-service=https
    yes
    

    把HTTP协议的流量设置为永久拒绝,并立即生效。 

    [root@superwu10 ~]# firewall-cmd --zone=public --remove-service=http --permanent   //--remove-service移除服务
    Warning: NOT_ENABLED: http
    success               
    [root@superwu10 ~]# firewall-cmd --reload 
    success
    [root@superwu10 ~]# firewall-cmd --zone=public --query-service=http
    no
    

    把访问8080和8085端口的流量策略设置为允许,永久且立即生效。

    [root@superwu10 ~]# firewall-cmd --zone=public --add-port=8080-8085/tcp --permanent 
    success
    [root@superwu10 ~]# firewall-cmd --reload 
    success
    [root@superwu10 ~]# firewall-cmd --zone=public --list-ports 
    8080-8085/tcp
    

    把原本访问本机888端口的流量转发到22端口,要且求当前和长期均有效(端口转发)。 

    端口转发格式:firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址> 

    [root@superwu10 ~]# firewall-cmd --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10 --permanent 
    success
    [root@superwu10 ~]# firewall-cmd --reload 
    success
    [root@superwu10 ~]# firewall-cmd --zone=public --list-forward-ports 
    port=888:proto=tcp:toport=22:toaddr=192.168.10.10
    

    富规则的设置

    富规则也叫复规则,表示更细致、更详细的防火墙策略配置,它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。

    拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务(22端口)

    [root@superwu10 ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
    success
    [root@superwu10 ~]# firewall-cmd --reload 
    success
    [root@superwu10 ~]# firewall-cmd --zone=public --list-rich-rules 
    rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject
    

    firewalld防火墙的紧急模式

    紧急模式会切断一切网络连接,因此在远程管理服务器时,在按下回车键前一定要三思

    [root@linuxprobe ~]# firewall-cmd --panic-on  //启用紧急模式阻断一切网络
    success
    [root@linuxprobe ~]# firewall-cmd --panic-off   //若开启紧急模式后网络已经断开,关闭紧急模式只能本地登录关闭。
    success

    图形管理工具  

     firewall-config是firewalld防火墙配置管理工具的GUI(图形用户界面)版本,默认情况下系统并没有提供firewall-config命令,我们需要自行用dnf命令进行安装。

    在使用firewall-config工具配置完防火墙策略之后,无须进行二次确认,因为只要有修改内容,它就自动进行保存。

    安装图形管理工具

    [root@superwu ~]# dnf install firewall-config
    

    打开图形管理工具

    [root@superwu ~]# firewall-config 

    放行public域中的http流量,且当前生效。

    注意:勾选http后会马上生效。

    放行public域中的8080-8088端口的(tcp)流量,立即生效且重启后依然生效。

     还需要在Options菜单中单击Reload Firewalld命令,让配置的防火墙策略立即生效。

     

     开启SNAT技术

     端口转发,将本机888端口的流量转发到22端口,且要求当前和长期均有效

     

     使用firewall-config配置富规则非常方便,例如在public域禁止192.168.10.0/24网段的主机使用ssh连接。

    [root@superwu ~]# firewall-cmd --zone=public --list-rich-rules 
    rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject
    

    设置网卡和防火墙域的绑定(针对不同的网卡绑定不同的域)

     

     注意:删除网卡和域的绑定需要使用firewall-cmd进行,图形化页面无法解绑。

    [root@superwu ~]# firewall-cmd  --get-zone-of-interface=ens192
    work             
    [root@superwu ~]# firewall-cmd  --zone=work --remove-interface=ens192
    success
    [root@superwu ~]# firewall-cmd  --get-zone-of-interface=ens192
    no zone
  • 相关阅读:
    做开发的童鞋应该都了解这几款软件
    给文件对比工具自定义快捷键的方法
    C/C++ 编程有哪些值得推荐的辅助工具
    如何用Beyond Compare修改对比文件颜色
    据说这些工具可以提高程序员的工作效率
    遇到Beyond Compare禁止编辑该怎么办
    BZOJ
    周三
    大总结
    周二上午
  • 原文地址:https://www.cnblogs.com/wushuai2018/p/15894349.html
Copyright © 2020-2023  润新知