一、Linux防火墙的基础Linux的防火墙体系主要工作在网络层,针对TCP/IP数据包实时过滤和限制,属于典型的包过滤防火墙(或称为网络层防火墙)。Linux系统的防火墙体系基于内核共存:firewalld、iptables、ebtables,默认使用firewalld来管理netfilter子系统。
1、firewalld概述 firewalld的作用是为包过滤机制提供匹配规则(或称为策略),通过各种不同的规则,告诉netfilter对来自指定源,前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙,firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。支持IPv4、IPv6防火墙设置以及以太网桥,并且拥有两种配置模式:
2、firewalld网络区域 firewalld将所有的网络数据流量划分为多个区域,从而简化防火墙管理。根据数据包的源IP地址或传入网络接口等条件,将数据流量转入相应区域的防火墙规则。
3、firewalld预定义区域说明
二、firewalld防火墙的配置方法在Centos 7系统中,可以使用三种方式配置firewalld防火墙:
1、firewalld-cmd的基础命令 [root@centos01 ~]# systemctl start firewalld <!--启动firewalld-->[root@centos01 ~]# systemctl enable firewalld<!--设置开机自动启动firewalld-->[root@centos01 ~]# systemctl status firewalld <!--查看防火墙运行状态-->[root@localhost ~]# firewall-cmd --state <!--查看防火墙允许状态-->running[root@centos01 ~]# systemctl stop firewalld<!--停止firewalld-->[root@centos01 ~]# systemctl disable firewalld<!--设置开机不自动启动firewalld-->[root@centos01 ~]# firewall-cmd --get-zones <!--查看防火墙预定义的区域-->[root@centos01 ~]# firewall-cmd --get-service <!--查看防火墙支持的预定义服务类型-->[root@centos01 ~]# firewall-cmd --get-default-zone <!--查看系统的默认区域 -->[root@localhost /]# firewall-cmd --reload <!--重载防火墙-->[root@centos01 ~]# firewall-cmd --get-active-zones <!--查看激活的区域-->[root@centos01 ~]# firewall-cmd --get-icmptypes <!--显示预定义的ICMP类型-->address-unreachable bad-header communication-prohibited destination-unreachable echo-reply echo-request fragmentation-needed host-precedence-violation host-prohibitedhost-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisementneighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachableprecedence-cutoff protocol-unreachable redirect required-option-missingrouter-advertisement router-solicitation source-quench source-route-failed time-exceededtimestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option firewall-cmd --get-icmptypes命令执行结果中部分阻塞类型的含义如下:
2、firewalld区域管理选项
区域管理示例如下: [root@centos01 ~]# firewall-cmd --get-default-zone <!--显示当前系统中的默认区域-->[root@centos01 ~]# firewall-cmd --list-all<!--显示默认区域的所有规则-->[root@centos01 ~]# firewall-cmd --get-zone-of-interface=ens32 <!--查看ens32接口所在的区域-->internal[root@centos01 ~]# firewall-cmd --zone=internal --change-interface=ens32 <!--修改ens32接口对应的区域更改到internal区域--> The interface is under control of NetworkManager, setting zone to 'internal'.success[root@centos01 ~]# firewall-cmd --zone=internal --list-interface <!--查看internal区域的接口列表-->ens32[root@centos01 ~]# firewall-cmd --get-active-zones <!--显示所有激活区域-->internal interfaces: ens32 3、firewalld服务管理 为了方便管理,firewalld预先定义了很多服务,存放在/usr/lib/firewalld/services/目录中,服务通过单个的XML配置文件来指定。这些配置文件则按以下格式命名:service-name.xml,每个文件对应一项具体的网络服务,如ssh服务等。我们需要将service配置文件放置在/etc/firewalld/services/目录中。service配置具有以下优点:
1)firewalld-cmd命令区域中服务管理的常用选项说明:
2)firewalld服务管理示例如下(为默认区域设置允许访问的服务): [root@centos01 ~]# firewall-cmd --list-services <!--显示默认区域内允许访问的所有服务-->dhcpv6-client ssh [root@centos01 ~]# firewall-cmd --add-service=http <!--设置默认区域允许访问http服务-->success[root@centos01 ~]# firewall-cmd --add-service=https <!--设置默认区域允许访问https服务-->success[root@centos01 ~]# firewall-cmd --list-services <!--显示默认区域内允许访问的所有服务-->dhcpv6-client ssh https http 3)firewalld服务管理示例如下(为internal区域设置允许访问的服务): [root@centos01 ~]# firewall-cmd --zone=internal --add-service=mysql <!--设置internal区域允许访问mysql服务-->success[root@centos01 ~]# firewall-cmd --zone=internal --remove-service=samba-client <!--设置internal区域不允许访问Samba-client服务-->success[root@centos01 ~]# firewall-cmd --zone=internal --list-services <!--显示internal区域内允许访问的所有服务-->ssh mdns dhcpv6-client mysql 4、端口管理 在进行服务配置时,预定义的网络服务可以使用服务名配置,服务所涉及的端口就会自动打开。但是,对于非预定义的服务只能手动为指定的区域添加端口。例如,执行以下操作即可实现在internal区域打开443/TCP端口。示例如下: [root@centos01 ~]# firewall-cmd --zone=internal --add-port=443/tcp <!--在internal区域打开443/tcp端口-->success 若想实现在internal区域禁止443/TCP端口访问,可执行以下命令: [root@centos01 ~]# firewall-cmd --zone=internal --remove-port=443/tcp <!--在internal区域禁止443/tcp端口访问-->success 以上配置都为临时配置,若想将当前配置保存为永久配置,可以使用下面命令: [root@centos01 ~]# firewall-cmd --runtime-to-permanentsuccess 直接配置为永久性规则,须带--permanent选项,如下: [root@centos01 ~]# firewall-cmd --add-icmp-block=echo-request --permanent <!--禁止ping-->success[root@centos01 ~]# firewall-cmd --zone=external --add-icmp-block=echo-request --permanent <!--配置external区域禁止ping-->success 三、firewalld两种配置模式前面提到firewall-cmd命令工具有两种配置模式:运行时模式(Runtime mode)表示当前内存中运行的防火墙配置,在系统或firewalld服务重启、停止时配置将失效;永久模式(Permanent mode)表示重启防火墙或重新加载防火墙时的规则配置,是永久存储在配置文件中的。
|
|