Linux基础——Firewalld防火墙（一）

L宝宝聊IT

发布于 2018-06-27 14:03:21

1.3K0

发布于 2018-06-27 14:03:21

文章被收录于专栏：L宝宝聊IT

RedhatEnterprise Linux7 已经默认使用firewalld 作为防火墙，其使用方式已经变化。基于 iptables 的防火墙被默认不启动，但仍然可以继续使用。

RHEL7 中有几种防火墙共存：firewalld、iptables、ebtables等，默认使用 firewalld 作为防火墙，管理工具是firewall-cmd。使用 firewalld 来管理netfilter,不过底层调用的命令仍然是 iptables等。

因为这几种 daemon 是冲突的，所以建议禁用其他几种服务。

查看防火墙几种服务的运行状态：

Systemctl status {firewalld,iptables,ip6tables,ebtables}

或

Systemctl is-active firewalld.service

Systemctl is-active iptables.service

Systemctl is-active ip6tables.service

Systemctl is-active ebtables.service

禁用iptables、ip6tables、ebtables防火墙，

Systemctl mask {iptables,ip6tables,ebtables}

RHEL7 虽然有 iptables 但是不建议使用了，使用新的 firewalld 服务。

查看 firewalld 软件包是否安装：

rpm -q firewalld

Firewalld 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的防火墙管理工具。拥有运行时配置和永久配置选项。它也支持允许服务或者应用程序直接添加防火墙规则的接口。以前的 system-config-firewall 防火墙模型是静态的，每次修改都要求防火墙完全重启。这个过程包括内核 netfilter 防火墙模块的卸载和新配置所需模块的装载等。相反，firewalldaemon 动态管理防火墙，不需要重启整个防火墙便可应用更改。因而也就没有必要重载所有内核防火墙模块了。

什么是区域：网络区域定义了网络连接的可信等级。

数据包要进入到内核必须要通过这些zone中的一个，而不同的zone里定义的规则不一样（即信任度不一样，过滤的强度也不一样）。可以根据网卡所连接的网络的安全性来判断，这张网卡的流量到底使用哪个 zone，比如上图来自 eth0 的流量全部使用 zone1 的过滤规则，eth1的流量使用 zone2。一张网卡同时只能绑定到一个 zone

预定义的服务：服务是端口和/或协议入口的组合。

端口和协议：定义了 tcp 或 udp 端口，端口可以是一个端口或者端口范围。

ICMP 阻塞：可以选择 Internet 控制报文协议的报文。这些报文可以是信息请求亦可是对信息请求或错误条件创建的响应。

伪装：私有网络地址可以被映射到公开的 IP 地址。这是一次正规的地址转换。

端口转发：端口可以映射到另一个端口以及/或者其他主机。

在进行 firewalld 配置之前，首先介绍一下区域（zones）这个概念。默认情况就有一些有效的区域。由 firewalld 提供的区域按照从不信任到信任的顺序排序。

•丢弃区域（Drop Zone）：如果使用丢弃区域，任何进入的数据包将被丢弃。这个类似与我们之前使用iptables -j drop。使用丢弃规则意味着将不存在响应。

•阻塞区域（Block Zone）：阻塞区域会拒绝进入的网络连接，返回icmp-host-prohibited，只有服务器已经建立的连接会被通过即只允许由该系统初始化的网络连接。

•公共区域（Public Zone）：只接受那些被选中的连接，默认只允许 ssh 和 dhcpv6-client。这个 zone 是缺省 zone

•外部区域（External Zone）：这个区域相当于路由器的启用伪装（masquerading）选项。只有指定的连接会被接受，即 ssh，而其它的连接将被丢弃或者不被接受。

•隔离区域（DMZ Zone）：如果想要只允许给部分服务能被外部访问，可以在 DMZ 区域中定义。它也拥有只通过被选中连接的特性，即 ssh。

•工作区域（Work Zone）：在这个区域，我们只能定义内部网络。比如私有网络通信才被允许，只允许ssh，ipp-client 和 dhcpv6-client。

•家庭区域（Home Zone）：这个区域专门用于家庭环境。它同样只允许被选中的连接，即 ssh，ipp-client，mdns，samba-client和 dhcpv6-client。

•内部区域（Internal Zone）：这个区域和工作区域（Work Zone）类似，只有通过被选中的连接，和 home 区域一样。

•信任区域（Trusted Zone）：信任区域允许所有网络通信通过。记住：因为 trusted 是最被信任的，即使没有设置任何的服务，那么也是被允许的，因为trusted 是允许所有连接的

以上是系统定义的所有的 zone，但是这些 zone 并不是都在使用。只有活跃的 zone 才有实际操作意义。

Firewalld 的原则：

如果一个客户端访问服务器，服务器根据以下原则决定使用哪个 zone 的策略去匹配

1.如果一个客户端数据包的源 IP 地址匹配 zone 的 sources，那么该zone 的规则就适用这个客户端；一个源只能属于一个 zone，不能同时属于多个 zone。

2.如果一个客户端数据包进入服务器的某一个接口（如eth0）区配 zone 的interfaces，则么该 zone 的规则就适用这个客户端；一个接口只能属于一个 zone，不能同时属于多个zone。

3.如果上述两个原则都不满足，那么缺省的 zone 将被应用

你可以使用任何一种 firewalld 配置工具来配置或者增加区域，以及修改配置。工具有例如firewall-config这样的图形界面工具， firewall-cmd 这样的命令行工具，或者你也可以在配置文件目录中创建或者拷贝区域文件，/usr/lib/firewalld/zones 被用于默认和备用配置，/etc/firewalld/zones被用于用户创建和自定义配置文件。

命令行工具 firewall-cmd 支持全部防火墙特性，基本应用如下：

应用示例：

1、获取 firewalld 状态

firewall-cmd --state

2、在不改变状态的条件下重新加载防火墙：

firewall-cmd --reload

如果你使用--complete-reload，状态信息将会丢失。

3、获取支持的区域

firewall-cmd --get-zones

这条命令输出用空格分隔的列表

4、获取所有支持的服务

firewall-cmd --get-services