一、firewalld的简介
firewalld防火墙是Centos7系统默认的防火墙管理工具。 它取代了以前的iptables防火墙。 它也工作在网络层,属于数据包过滤防火墙。
firewalld和iptables是用来管理防火墙的工具,用来定义防火墙的各种规则功能,内部结构指向netfilter网络过滤子系统(属于内核态)来实现数据包过滤防火墙功能。
firewalld提供动态防火墙管理工具,支持网络区域中定义的网络链接和接口的安全级别。 它支持Ipv4,Ipv6防火墙设置和以太网网桥(可能被一些高级服务如云计算使用),并具有2种配置模式:运行时配置和持久配置。
二、iptables与firewalld的联系与区别
联系:
firewalld提供daemon和服务以及命令行和图形界面配置工具。 它只替换Iptv服务的一部分。 底层将继续使用iptv作为防火墙规则管理的入口点。 firewalld本身没有防火墙的功能,但需要通过内核的netfilter来实现。firewalld意味着它与iptables相同。 它们的作用是维护规则,而规则的实际使用是内核的netfilter,只不过firewalld和iptables有不同的结构和用途。
区别一:
iptables主要基于用于设置规则以确定网络安全性的接口。
firewalld以地域为基础,根据不同地域设置不同的规则,保证网络安全。此设置类似于硬件防火墙设置。
区别二:
iptables 在 /etc/sysconfig/iptables 中储存配置,
firewalld 将配置储存在 /etc/firewalld/(优先加载)和 /usr/lib/firewalld/(默认的配置文件)中的各种 XML 文件里。
区别三:
使用 iptables 每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables 里读取所有新的规则
使用 firewalld 却不会再创建任何新的规则,仅仅运行规则中的不同之处。因此firewalld 可以在运行时间内,改变设置而不丢失
现行连接。
三、firewalld区域
3.1 firewalld区域的概念
为了简化管理,firewalld防火墙将所有网络流量拆分为多个区域(zone)。然后,根据数据包的源IP地址或传入网络接口等条件,将流量传递到相应的区域。每个区域都定义了自己打开或关闭的端口和服务列表。
这些区域配置文件存在于/usr/lib/firewalld/zones目录中,还有一个目录/etc/firewalld/zones。firewalld使用规则时,会首先到/etc/firewalld/目录中查找,如果可以找到就直接使用,找不到会继续到/usr/lib/firewalld/目录中查找。
3.2 firewalld的九个区域
|----------------------|---------------------------------------------------------------|
| 区域 | 作用 |
| trusted(信任区域) | 允许所有的传入流量。 |
| public(公共区域) | 允许与ssh或dhcpv6-client预定义服务匹配的传入流量,其余均拒绝。是新添加网络接口的默认区域。 |
| external(外部区域) | 允许与ssh预定义服务匹配的传入流量其余均拒绝。 |
| home(家庭区域) | 允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量,其他均拒绝。 |
| internal(内部区域) | 默认值与home区域相同。 |
| work(工作区域) | 允许与ssh、dhcpv6-client预定义服务匹配的传入流量,其他均拒绝 |
| dmz(隔离区域也称非军事区域) | 允许与ssh预定义服务匹配的传入流量,其他均拒绝。 |
| block(限制区域) | 拒绝所有传入流量。 |
| drop(丢弃区域) | 丢弃所有传入流量,并且不产生包含icmp的错误响应。 |
3.3 firewalld区域介绍和区域优先级
firewalld区域介绍
最后一个区域的安全程度取决于该区域的管理员已设置的规则。
该地区就像一个安全门的主机。 每个区域都有不同级别限制的规则,只允许符合规则的流量通过。
根据网络的大小,可以使用一个或多个区域,但任何活动区域必须至少与源地址或接口相关联。
默认情况下,公共区域是默认区域,包括所有接口(网卡)。
firewalld数据处理流程
检查数据来源的源地址:
如果源地址与特定区域相关联,则执行该区域中指定的规则
如果源地址未与特定区域相关联,则使用传入网络接口的区域,并执行在该区域中指定的规则。
如果网络接口未与特定区域关联,则使用默认区域并执行该区域中指定的规则。
区域优先级:源地址绑定的区域 > 网卡绑定的区域 > 默认区域(只要没有绑定过指定区域的网卡,都适用于于默认区域的规则。默认区域可自定义,不修改则为public)
3.4 firewalld防火墙的配置方法
1、使用firewall-cmd 命令行工具。
2、使用firewall-config 图形工具。
3、编写/etc/firewalld/中的配置文件。
Firewalld 会优先使用/etc/firewalld/
中的配置,如果不存在配置文件,则使用/usr/lib/firewalld/
中的配置。
/etc/firewalld/
:用户自定义配置文件,需要时可通过从/usr/lib/firewalld/ 中拷贝
/usr/lib/firewalld/
:默认配置文件,不建议修改,若恢复至默认配置,可直接删除/etc/firewalld/ 中的配置
四、 fiewall-cmd命令行使用
4.1 默认区域的查看与设置
不指定区域时,则对默认区域进行操作(默认区域可自定义,不修改则为public)
格式:
firewall-cmd:
--get-default-zone :显示当前默认区域
--set-default-zone=<zone> :设置默认区域
bash
[root@IKUN3 ~]#firewall-cmd --get-default-zone
public
[root@IKUN3 ~]#firewall-cmd --set-default-zone=work
success
[root@IKUN3 ~]#firewall-cmd --get-default-zone
work
[root@IKUN3 ~]#
4.2 对指定网卡进行操作
格式:
firewall-cmd:
--get-active-zones :显示当前正在使用的区域及其对应的网卡接口
--get-zones :显示所有可用的区域
--get-zone-of-interface=<interface> :显示指定接口绑定的区域
--zone=<zone> --add-interface=<interface> :为指定接口绑定区域
--zone=<zone> --change-interface=<interface> :为指定的区域更改绑定的网络接口
--zone=<zone> --remove-interface=<interface> :为指定的区域删除绑定的网络接口
bash
[root@CXK3 ~]#firewall-cmd --get-zones #获取全部的区域
[root@CXK3~]#firewall-cmd --get-active-zones #显示当前工作的区域信息
[root@CXK3 ~]#firewall-cmd --get-zone-of-interface=ens33 #显示指定接口的区域
[root@CXK3 ~]#firewall-cmd --zone=home --add-interface=ens33 #为指定的区域增加指定的网卡接口
[root@CXK3 ~]#firewall-cmd --get-zone-of-interface=ens33
[root@CXK3 ~]#firewall-cmd --zone=work --add-interface=ens33
[root@CXK3 ~]#firewall-cmd --get-zone-of-interface=ens33
[root@CXK3 ~]#firewall-cmd --zone=home --change-interface=ens33 #为接口更改指定的区域
[root@CXK3 ~]#firewall-cmd --get-zone-of-interface=ens33
[root@CXK3 ~]#firewall-cmd --zone=home --remove-interface=ens33 #删除指定区域的接口
[root@CXK3 ~]#firewall-cmd --get-zone-of-interface=ens33 #恢复成默认状态
4.3 对源地址进行操作
格式:
firewall-cmd:
--add-source=xxxxxx --zone=<zone> //增加源地址指定区域
--remove-source=xxxxxx --zone=<zone> //删除源地址指定区域
bash
[root@CXK3 ~]#firewall-cmd --add-source=2.2.2.2 --zone=home #增加源地址指定区域
[root@CXK3 ~]#firewall-cmd --get-active-zone
[root@CXK3 ~]#firewall-cmd --remove-source=2.2.2.2 --zone=home #删除源地址指定的区域
[root@CXK3 ~]#firewall-cmd --get-active-zone
4.4 查看指定区域的所有规则
不指定区域时,则对默认区域进行操作(默认区域可自定义,不修改则为public)
firewall-cmd --list-all-zones:显示所有区域及其规则
firewall-cmd --list-all : 不指定区域时,查看的是默认区域
firewall-cmd --list-all --zone=work:显示work区域的所有规则
bash
firewall-cmd --list-all-zones
bash
[root@CXK3 ~]#firewall-cmd --list-all #查看默认区域的所有规则
[root@CXK3 ~]#firewall-cmd --list-all --zone=work #指定区域为work的配置
4.5 服务管理
1. 查看默认区域内允许访问的所有服务
bash
firewall-cmd --list-service #指定的区域显示可用服务
2. 添加服务
bash
[root@CXK3 ~]#firewall-cmd --add-service=http #单个服务的添加
[root@CXK3 ~]#firewall-cmd --add-service={ftp,https} #多个服务的添加
注意后面不跟指定的区域,就会添加到默认区域中
指定区域添加 :
bash
[root@CXK3 ~]#firewall-cmd --add-service={ftp,https} --zone=work
[root@CXK3 ~]#firewall-cmd --list-service --zone=work
3. 查看public 区域已配置规则
bash
firewall-cmd --list-all --zone=public
4. 删除public 区域的http服务
bash
firewall-cmd --remove-service=http --zone=public
firewall-cmd --list-service --zone=public
4.6 端口管理
1. 允许TCP的443端口到internal 区域
bash
firewall-cmd --zone=internal --add-port=443/tcp
firewall-cmd --list-all --zone=internal
2. 从internal 区域将TCP的443端口移除
bash
firewall-cmd --zone=internal --remove-port=443/tcp
3. 允许UDP的2048~2050端口到默认区域
bash
firewall-cmd --add-port=2048-2050/udp
firewall-cmd --list-all
4.7 永久保存设置
方式一:
在命令的结尾加入 --permanent 设置成永久生效,需要重启服务或重新加载 后才生效。
bash
firewall-cmd --add-service=http --add-service=https --permanent #永久添加,但是不会实时生效需要firewalld重载才能进行生效
firewall-cmd --reload
firewall-cmd --list-all
方式二:
--runtime-to-permanent:将当前的运行时配置写入规则配置文件中,使之成为永久性配置。
bash
root@CXK3 ~]#firewall-cmd --add-service={ftp,https}
[root@CXK3 ~]#firewall-cmd --list-service
[root@CXK3 ~]#firewall-cmd --runtime-to-permanent
[root@CXK3 ~]#systemctl restart firewalld
[root@CXK3 ~]#firewall-cmd --list-service