firewalld防火墙详细介绍

news/2024/11/26 3:24:38/

目录

一、firewalld概述

二、firewalld与iptables的区别

1.位置不同

2.配置存储位置不同

3.规则运行不同

4.防火墙类型不同

三、firewalld区域的概念

四、firewalld防火墙9个区域

1、trusted（信任区域）

2、public（公共区域）

3、external（外部区域）

4、home（家庭区域）

5、internal（内部区域）

6、work（工作区域）

7、dmz（隔离区域也称为非军事区域）

8、block（限制区域）

9、drop（丢弃区域）

五、firewalld数据处理过程

1、检查数据来源的源地址

2、firewalld检查数据包的源地址规则

六、Firewalld防火墙的配置

1、firewalld防火墙的配置方法

2、运行时配置

3、永久配置

 七、常用的firewall-cmd 命令选项

1、常用选项

2、区域管理

3、服务管理 

4、端口管理

5、设置地址转换

（1）设置 SNAT

（2）设置 DNAT

 八、拓展：Firewalld的富规则

1.允许特定IP地址访问特定端口

2.允许特定IP地址访问特定服务 

3.拒绝特定IP地址访问特定端口 

4.允许特定接口访问特定端口 

5.允许特定IP地址访问特定端口，并限制连接次数 

6.允许特定IP地址访问特定端口，并设置连接超时时间

一、firewalld概述

  • firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙
  • firewalld和iptables都是用来管理防火墙的工具(属于用户态)来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统(属于内核态)来实现包过滤防火墙功能。
  • firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。它支持IPV4、IPv6防火墙设置以及以太网桥(在某些高级服务可能会用到，比如云计算) ，并且拥有两种配置模式：运行时配置与永久配置

 二、firewalld与iptables的区别

1.位置不同

iptables主要是基于接口，来设置规则，从而判断网络的安全性。
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。

2.配置存储位置不同

iptables在 /etc/sysconfig/iptables 中储存配置
firewalld将配置储存在 /etc/firewalld/ (优先加载) 和 /usr/lib/firewalld/ (默认的配置文件) 中的各种XML文件里。

3.规则运行不同

使用iptables每一个单独更改意味着清除所有旧有的规则和从 /etc/sysconfig/iptables 里读取所有新的规则。
使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内，改变设置而不丢失现行连接。

4.防火墙类型不同

iptables防火墙类型为静态防火墙
firewalld防火墙类型为动态防火墙

三、firewalld区域的概念

  • firewalld防火墙为了简化管理，将所有网络流量分为多个区域（zone）。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。
  • 最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
  • 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
  • 可以根据网络规模，使用一个或多个区域，但是任何一个 活跃区域 至少需要关联 源地址或接口。
  • 默认情况下，public区域是默认区域，包含所有接口（网卡）

四、firewalld防火墙9个区域

1、trusted（信任区域）

允许所有的传入流量。

2、public（公共区域）

允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。

3、external（外部区域）

允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。 默认将通过此区域转发的IPv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络。

4、home（家庭区域）

允许与ssh、ipp-client、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。

5、internal（内部区域）

默认值时与home区域相同。

6、work（工作区域）

允许与 ssh、ipp-client、dhcpv6-client 预定义服务匹配的传入流量，其余均拒绝。

7、dmz（隔离区域也称为非军事区域）

允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。

8、block（限制区域）

拒绝所有传入流量。

9、drop（丢弃区域）

丢弃所有传入流量，并且不产生包含 ICMP的错误响应。

五、firewalld数据处理过程

1、检查数据来源的源地址

firewalld对于进入系统的数据包，会根据数据包的源IP地址或传入的网络接口等条件，将数据流量转入相应区域的防火墙规则。对于进入系统的数据包，首先检查的就是其源地址。

2、firewalld检查数据包的源地址规则

  • 若源地址关联到特定的区域，则执行该区域所指定的规则
  • 若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则
  • 若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则（一般来讲，默认区域的规则是拒绝所有）

六、Firewalld防火墙的配置

1、firewalld防火墙的配置方法

（1）使用firewall-cmd 命令行工具。
（2）使用firewall-config 图形工具。
（3）编写/etc/firewalld/中的配置文件

systemctl start firewalld.service                            #启动防火墙

2、运行时配置

  • 实时生效，并持续至Firewalld重新启动或重新加载配置
  • 不中断现有连接
  • 不能修改服务配置

3、永久配置

  • 不立即生效,除非Firewalld重新启动或重新加载配置
  • 中断现有连接
  • 可以修改服务配置

 七、常用的firewall-cmd 命令选项

1、常用选项

firewall-cmd
--get-default-zone  :显示当前默认区域
--set-default-zone=<zone>  :设置默认区域--get-active-zones :显示当前正在使用的区域及其对应的网卡接口
--get-zones  :显示所有可用的区域--get-zone-of-interface=<interface>  :显示指定接口绑定的区域
--zone=<zone>  --add-interface=<interface>  :为指定接口绑定区域
--zone=<zone>  --change-interface=<interface>  :为指定的区域更改绑定的网络接口
--zone=<zone>  --remove-interface=<interface>  :为指定的区域删除绑定的网络接口--get-zone-of-source=<source> [/<mask>]  :显示指定源地址绑定的区域
--zone=<zone> -add-source=<source> [/<mask>] :为指定源地址绑定区域
--zone=<zone> -change-source=<source> [/<mask>] :为指定的区域更改绑定的源地址
--zone=<zone> -remove-source=<source> [/<mask>] :为指定的区域删除绑定的源地址--list-all-zones :显示所有区域及其规则
[--zone=<zone>] --list-al1 :显示所有指定区域的所有规则,省略--zone=<zone>时表示仅对默认区域操作[--zone=<zone>] --list-services :显示指定区域内允许访问的所有服务
[--zone=<zone>] --add-service=<service> :为指定区域设置允许访问的某项服务
[--zone=<zone>] --remove-service=<service> :删除指定区域已设置的允许访问的某项服务[--zone=<zone>] --list-ports :显示指定区域内允许访问的所有端口号
[--zone=<zone>] --add-port=<portid> [-<portid>]/<protocol> :为指定区域设置允许访问的某个/某段端口号(包括协议名)
[--zone=<zone>] --remove-port=<portid> [-<portid>]/<protocol> :删除指定区域已设置的允许访问的端口号(包括协议名)[--zone=<zone>] --list-icmp-blocks :显示指定区域内拒绝访问的所有ICMP类型
[--zone=<zone>] --add-icmp-block=<icmptype> :为指定区域设置拒绝访问的某项ICMP类型
[--zone=<zone>] --remove-icmp-block=<icmptype> :删除指定区域已设置的拒绝访问的某项ICMP类型
firewall-cmd --get-icmptypes :显示所有ICMP类型永久保存设置
方法一：
在命令的结尾加入 --permanent 设置成永久生效，需要重启服务或重新加载 后才生效
firewall-cmd --add-service=http --add-service=https --permanent
firewall-cmd --reload	
firewall-cmd --list-all	方法二：--runtime-to-permanent：将当前的运行时配置写入规则配置文件中，使之成为永久性配置
root@localhost ~]#firewall-cmd  --add-service={ftp,https} 
[root@localhost ~]#firewall-cmd   --list-service
[root@localhost ~]#firewall-cmd  --runtime-to-permanent
[root@localhost ~]#systemctl restart firewalld
[root@localhost ~]#firewall-cmd   --list-service

 

2、区域管理

(1)显示当前系统中的默认区域firewall-cmd --get-default-zone
(2)显示默认区域的所有规则firewall-cmd --list-all
(3)显示当前正在使用的区域及其对应的网卡接口firewall-cmd --get-active-zones
(4)设置默认区域firewall-cmd --set-default-zone=homefirewall-cmd --get-default-zone

 3、服务管理 

(1)查看默认区域内允许访问的所有服务firewall-cmd --list-service(2)添加httpd 服务到public 区域firewall-cmd --add-service=http --zone=public(3)查看public区域已配置规则firewall-cmd --list-all --zone=public(4)删除public区域的httpd服务firewall-cmd --remove-service=http --zone=public(5)同时添加httpd、https服务到默认区域,设置成永久生效firewall-cmd --add-service=http --add-service=https --permanentfirewall-cmd --reloadfirewall-cmd --list-al1
#添加使用--permanent选项表示设置成永久生效,需要重新启动firewalld服务或执行firewall-cmd --reload命令
重新加载防火墙规则时才会生效。若不带有此选项,表示用于设置运行时规则,但是这些规则在系统或firewalld服务重启、停止时配置将失效。--runtime-to-permanent   :将当前的运行时配置写入规则配置文件中,使之成为永久性配置。

4、端口管理

(1)允许TCP的443端口到internal区域firewall-cmd --zone=internal --add-port=443/tcpfirewall-cmd --list-all --zone=internal(2)从internal区域将TCP的443端口移除firewall-cmd --zone=internal --remove-port=443/tcp(3)允许UDP的2048-2050端口到默认区域firewall-cmd --add-port=2048-2050/udpfirewall-cmd --list-all

5、设置地址转换

（1）设置 SNAT

firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.80.0/24 -j SNAT --to-source 12.0.0.1

（2）设置 DNAT

firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11

 八、拓展：Firewalld的富规则

Firewalld的富规则是一种更高级别的防火墙规则，它允许用户使用更复杂的条件来定义防火墙策略。富规则包括源和目标地址、端口、协议、服务、接口等多个条件，可以更细粒度地控制网络流量。以下是一些常见的富规则：

1.允许特定IP地址访问特定端口

firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'

2.允许特定IP地址访问特定服务 

firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="http" accept'

3.拒绝特定IP地址访问特定端口 

firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" reject'

4.允许特定接口访问特定端口 

firewall-cmd --add-rich-rule='rule family="ipv4" interface name="eth0" port protocol="tcp" port="22" accept'

5.允许特定IP地址访问特定端口，并限制连接次数 

firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" limit value="5/m" accept'

6.允许特定IP地址访问特定端口，并设置连接超时时间

firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" timeout value="30s" accept'


http://www.ppmy.cn/news/85386.html

相关文章

Unreal Niagara粒子入门1

Unreal Niagara粒子入门1

记录下学习Niagara粒子的过程&#xff0c;这次调的是比较简单的一个效果&#xff1a; 使用了随粒子生命的缩放、打开速率解算、基本的发射器和Niagara容器。 1.创建Niagara Niagara中&#xff0c;发射器和NiagaraSystem文件是可以分开创建的&#xff1a; 通常直接点Niagara…
阅读更多...
1 echarts与map相遇

1 echarts与map相遇

echarts与map 版本 "echarts": "^5.1.2","echarts-gl": "^2.0.9",效果 基本方法 echarts中地图大多是以地理坐标为主&#xff0c;数据格式使用geojson数据格式。geojson是GIS数据格式中第二常用格式&#xff0c;使用GIS软件都能实现…
阅读更多...
【2023 · CANN训练营第一季】应用开发（初级）第四章——模型推理

【2023 · CANN训练营第一季】应用开发（初级）第四章——模型推理

AscendCL运行资源管理 申请运行管理资源时&#xff0c;需按顺序依次申请: Device、Context、Stream&#xff0c;然后根据实际需求调用aclrtGetRunMode接口获取软件栈的运行模型(当同一个应用既支持在Host运行&#xff0c;也支持在Device运行时&#xff0c;在编程时需要就需要根…
阅读更多...
系列1——geotools简介

系列1——geotools简介

geotools简介 官网 https://docs.geotools.org/latest/userguide/index.html 架构图 常用功能列表 ModulePurposegt-renderImplements of Java2D rendering engine to draw a mapgt-jdbcImplements for accessing spatial databasegt-mainImplements for accessing spatial…
阅读更多...
C++——哈希表

C++——哈希表

哈希表&#xff08;Hash table&#xff09;&#xff0c;也被称为散列表&#xff0c;是一种常用的数据结构&#xff0c;用于实现键-值对的存储和检索。它通过将键映射到数组中的索引位置来实现快速的数据查找。 在 C 中&#xff0c;可以使用标准库中的 unordered_map 类来实现哈…
阅读更多...
LDO基本知识

LDO基本知识

本文引用TI文档 压降 压降电压 VDO 是指为实现正常稳压&#xff0c;输入电压 VIN 必须高出 所需输出电压 VOUT(nom) 的最小压差。 如果 VIN 低于此值&#xff0c;线性稳压器将以压降状态工作&#xff0c;不再调 节所需的输出电压。在这种情况下&#xff0c;输出电压 VOUT(drop…
阅读更多...
传染病学模型 | Matlab实现SEIRS传染病学模型 (SEIRS Epidemic Model)

传染病学模型 | Matlab实现SEIRS传染病学模型 (SEIRS Epidemic Model)

文章目录 效果一览基本描述模型介绍程序设计参考资料效果一览 基本描述 传染病学模型 | Matlab实现SEIRS传染病学模型 (SEIRS Epidemic Model) 模型介绍 SEIRS是一种基于计算机模拟的传染病学模型，用于研究人群中传染病的传播和控制。与其他传染病学模型不同，SEIRS模型考虑了…
阅读更多...
Java集合类型对象的快速初始化

Java集合类型对象的快速初始化

在Java中&#xff0c; 集合类型的对象初始化&#xff0c; 一般是先创建对象&#xff0c; 然后往集合里面增加元素&#xff0c;这种写法直观&#xff0c;但是撰写代码的时候感觉比较冗余&#xff0c; 是否有什么酷炫的方式简化定义初始化呢&#xff1f; 本篇介绍字符串数组、Lis…
阅读更多...
最新文章

Copyright @ 2022~2023