互联网上提供了各种网络服务,而防火墙可以设置各种规则来限制访问,保护服务器。
linux
的防火墙体系主要工作在网络层,针对tcp/ip
数据包实施过滤和限制,属于典型的包过滤防火墙。
linux
系统的防火墙体系基于内核编码实现,具有非常稳定的性能和极高的效率。
linux
内核中实现包过滤防火墙的内部结构内核态
的防火墙功能体系linux
防火墙的命令程序用户态
的防火墙管理体系centos 7
默认的防火墙管理工具,取代之前的iptables
防火墙用户态
firewalld
和iptables
内部结构都指向netfilter
这个强大的网络过滤子系统,以实现包过滤防火墙功能zone
概念ipv4
和ipv6
地址firewall-cmd
和图形化管理工具firewall-config
名称 | firewalld | iptables |
---|---|---|
配置文件 | /usr/lib/firewalld/和/etc/firewalld/ | /etc/sysconfig/iptables |
对规则的修改 | 不需要全部刷新策略,不丢失现行连接 | 需要全部刷新策略,丢失连接 |
防火墙类型 | 动态防火墙 | 静态防火墙 |
区域 | 描述 |
---|---|
drop (丢弃) | 任何接收的网络数据包都被丢弃,没有任何回复。仅能有发送出去的网络连接 |
block (限制) | 任何接收的网络连接都被ipv4 的icmp-host-prohibited 信息和ipv6 的icmp6-adm-prohibited 信息所拒绝 |
public (公共) | 在公共区域内使用,不能相信网络内的其他计算机不会对您的计算机造成危害,只能接收经过选取的连接 |
external (外部) | 特别是为路由器启用了伪装功能的外部网。您不能信任来自网络的其他计算,不能相信它们不会对您的计算机造成危害,只能接收经过选择的连接 |
dmz (非军事区) | 用于您的非军事区内的电脑,此区域内可公开访问,可以有限地进入您的内部网络,仅仅接收经过选择的连接 |
work (工作) | 用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接 |
home (家庭) | 用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接 |
internal (内部) | 用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算机。仅仅接受经过选择的连接 |
trusted (信任) | 可接受所有的网络连接 |
检查数据来源的源地址
firewalld
重新启动或重新加载配置firewalld
重新启动或重新加载配置firewalld
会优先使用/etc/firewalld/
中的配置,如果不存在配置文件,则使用/usr/ib/firewalld/
中的配置
/etc/firewalld/
:用户自定义配置文件,需要时可通过从/usr/ib/firewalld/
中拷贝
/usr/ib/firewalld/
:默认配置文件,不建议修改,若恢复至默认配置,可直接删除/etc/firewalld/
中的配置
[root@localhost ~]# firewall-config
[root@localhost ~]# firewall-cmd 命令
--get-default-zone 显示网络连接或接口的默认区域 --set-default-zone=<zone> 设置网络连接或接口的默认区域 --get-active-zones 显示已激活的所有区域 --get-zone-of-interface=<interface> 显示指定接口绑定的区域 --zone=<zone> --add-interface=<interface> 为指定接口绑定区域 --zone=<zone> --change-interface=<interface> 为指定的区域更改绑定的网络接口 --zone=<zone> --remove-interface=<interface> 为指定的区域删除绑定的网络接口 --query-interface=<interface> 查询区域中是否包含某接口 --list-all-zones 显示所有区域及其规则 [--zone=<zone>] --list-all 显示所有指定区域的所有规则
[--zone=<zone>] --list-services 显示指定区域内允许访问的所有服务 [--zone=<zone>] --add-service=<service> 为指定区域设置允许访问的某项服务 [--zone=<zone>] --remove-service=<service> 删除指定区域已设置的允许访问的某项服务 [--zone=<zone>] --query-service=<service> 查询指定区域中是否启用了某项服务
[--zone=<zone>] --list-ports 显示指定区域内允许访问的所有端口号 [--zone=<zone>] --add-port=<port>[-<port>]/<protocol> [--timeout=<seconds>] 启用区域端口和协议组合,可选配置超时时间 [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol> 禁用区域端口和协议组合 [--zone=<zone>] --query-port=<port>[-<port>]/<protocol> 查询区域中是否启用了端口和协议组合
[--zone=<zone>] --list-icmp-blocks 显示指定区域内阻塞的所有icmp类型 [--zone=<zone>] --add-icmp-block=<icmptype> 为指定区域设置阻塞的某项icmp类型 [--zone=<zone>] --remove-icmp-block=<icmptype> 删除指定区域已阻塞的某项icmp类型 [--zone=<zone>] --query-icmp-block=<icmptype> 查询指定区域的icmp阻塞功能
[root@localhost ~]# systemctl stop firewalld [root@localhost ~]# systemctl start firewalld
[root@localhost ~]# systemctl disable firewalld [root@localhost ~]# systemctl enable firewalld
[root@localhost ~]# systemctl status firewalld [root@localhost ~]# firewall-cmd --state running
预定义信息主要包括三种:可用的区域、可用的服务以及可用的
icmp
阻塞类型
[root@localhost ~]# firewall-cmd --get-zones block dmz drop external home internal public trusted work
[root@localhost ~]# firewall-cmd --get-services rh-satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
icmp
阻塞类型[root@localhost ~]# firewall-cmd --get-icmptypes address-unreachable bad-header communication-prohibited destination-unreachable echo-reply echo-request fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisement neighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachable precedence-cutoff protocol-unreachable redirect required-option-missing router-advertisement router-solicitation source-quench source-route-failed time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option
destination-unreachable
:目的地址不可达。
echo-reply
:应答回应(pong)。
parameter-problem
:参数问题。
redirect
:重新定向。
router-advertisement
:路由器通告。
router-solicitation
:路由器征寻。
source-quench
:源端抑制。
time-exceeded
:超时。
timestamp-reply
:时间戳应答回应。
timestamp-request
:时间戳请求。
使用
firewall-cmd
命令可以实现获取和管理区域,为指定区域绑定网络接口等功能。
--get-default-zone 显示网络连接或接口的默认区域 --set-default-zone=<zone> 设置网络连接或接口的默认区域 --get-active-zones 显示已激活的所有区域 --get-zone-of-interface=<interface> 显示指定接口绑定的区域 --zone=<zone> --add-interface=<interface> 为指定接口绑定区域 --zone=<zone> --change-interface=<interface> 为指定的区域更改绑定的网络接口 --zone=<zone> --remove-interface=<interface> 为指定的区域删除绑定的网络接口 --list-all-zones 显示所有区域及其规则 [--zone=<zone>] --list-all 显示所有指定区域的所有规则,省略--zone=<zone>时表示仅对默认区域操作
[root@localhost ~]# firewall-cmd --get-default-zone public
[root@localhost ~]# firewall-cmd --list-all public (active) target: default icmp-block-inversion: no interfaces: ens33 sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:
ens33
对应的区域[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33 public
ens33
对应区域改为internal
区域[root@localhost ~]# firewall-cmd --zone=internal --change-interface=ens33 the interface is under control of networkmanager, setting zone to 'internal'. success [root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33 internal
internal
区域下有哪些网络接口[root@localhost ~]# firewall-cmd --zone=internal --list-interfaces ens33
[root@localhost ~]# firewall-cmd --get-active-zones internal interfaces: ens33
为了方便管理,firewalld
预先定义了很多服务,存放在/usr/lib/firewalld/services/
目录中,服务通过单个的xml
配置文件来指定。
这些配置文件则按以下格式命名:service-name.xml
,每个文件对应一项具体的网络服务,如ssh
服务等。
与之对应的配置文件中记录了各项服务所使用的tcp/udp
端口。在最新版本的firewalld
中默认已经定义了70
多种服务供我们使用,对于每个网络区域,均可以配置允许访问的服务。
当默认提供的服务不适用或者需要自定义某项服务的端口时,我们需要将service
配置文件放置在/etc/firewalld/services/
目录中。
service
配置具有以下优点。
[--zone=<zone>] --list-services 显示指定区域内允许访问的所有服务 [--zone=<zone>] --add-service=<service> 为指定区域设置允许访问的某项服务 [--zone=<zone>] --remove-service=<service> 删除指定区域已设置的允许访问的某项服务 [--zone=<zone>] --list-ports 显示指定区域内允许访问的所有端口号 [--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol> 为指定区域设置允许访问的某个/某段端口号(包括协议名) [--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocol> 删除指定区域已设置的允许访问的端口号(包括协议名) [--zone=<zone>] --list-icmp-blocks 显示指定区域内拒绝访问的所有 icmp 类型 [--zone=<zone>] --add-icmp-block=<icmptype> 为指定区域设置拒绝访问的某项 icmp 类型 [--zone=<zone>] --remove-icmp-block=<icmptype> 删除指定区域已设置的拒绝访问的某项 icmp 类型,省略--zone=<zone>时表示对默认区域操作
[root@localhost ~]# firewall-cmd --list-services ssh dhcpv6-client
http
服务[root@localhost ~]# firewall-cmd --add-service=http success
https
服务[root@localhost ~]# firewall-cmd --add-service=https success
[root@localhost ~]# firewall-cmd --list-services ssh dhcpv6-client http https
internal
区域内允许访问的所有服务[root@localhost ~]# firewall-cmd --zone=internal --list-services ssh mdns samba-client dhcpv6-client
internal
区域允许访问mysql
服务[root@localhost ~]# firewall-cmd --zone=internal --add-service=mysql success
internal
区域不允许访问samba-client
服务[root@localhost ~]# firewall-cmd --zone=internal --remove-service=samba-client success
internal
区域内允许访问的所有服务[root@localhost ~]# firewall-cmd --zone=internal --list-services ssh mdns dhcpv6-client mysql
在进行服务配置时,预定义的网络服务可以使用服务名配置,服务所涉及的端口就会自动打开。
但是,对于非预定义的服务只能手动为指定的区域添加端口。
internal
区域打开443/tcp
端口[root@localhost ~]# firewall-cmd --zone=internal --add-port=443/tcp success
internal
区域禁止443/tcp
端口访问[root@localhost ~]# firewall-cmd --zone=internal --remove-port=443/tcp success
前面提到firewall-cmd
命令工具有两种配置模式:
runtime mode
表示当前内存中运行的防火墙配置,在系统或firewalld
服务重启、停止时配置将失效。permanent mode
表示重启防火墙或重新加载防火墙时的规则配置,是永久存储在配置文件中的。firewall-cmd
命令工具与配置模式相关的选项有三个。
--reload
:重新加载防火墙规则并保持状态信息,即将永久配置应用为运行时配置。
--permanent
:带有此选项的命令用于设置永久性规则,这些规则只有在重新启动firewalld
或重新加载防火墙规则时才会生效;若不带有此选项,表示用于设置运行时规则。
--runtime-to-permanent
:将当前的运行时配置写入规则配置文件中,使之成为永久性。
[root@localhost ~]# firewall-cmd --runtime-to-permanent success
如对本文有疑问, 点击进行留言回复!!
linux下文本编辑器vim的使用方法(复制、粘贴、替换、行号、撤销、多文件操作)
网友评论