Linux防火牆與iptables

Firewalld簡介

• 支持網絡區域所定義的網絡鏈接以及接口安全等級的動態防火牆管理工具
• 支持IPv四、IPv6防火牆設置以及以太網橋
• 支持服務或應用程序直接添加防火牆規則接口
• 擁有兩種配置模式
  （1）運行時配置
  （2）永久配置
  
  netfilter
• 位於Linux內核中的包過濾功能體系
• 稱爲Linux防火牆的「內核態」
  Friewalld/iptables
• Centos7默認的管理防火牆規則的工具（Firewalld）
• 稱爲Linux防火牆的「用戶態」

Friewalld和iptables的區別

iptables
四表五鏈！！！（重要）
鏈就是位置：共有五個，進路由（PRUROUTING）、進系統（INPUT）、轉發（FORWORD）、出系統（OUTPUT）、出路由（POSTROUTING）；表就是存儲的規則；數據包到了該鏈處，會去對應表中查詢設置的規則，而後決定是否放行、丟棄、轉發仍是修改等等操做。
表當中包含多個鏈，鏈當中包含多個規則！
具體的四表：

• filter表：過濾數據包
• Nat表：用於網絡地址轉換（IP、端口）
• Mangle表：修改數據包的服務類型、TTL、而且能夠配置路由實現QOS
• Raw表：決定數據包是否被狀態跟蹤機制處理
  具體的五鏈：
• INPUT鏈：進來的數據包應用此規則鏈中的策略
• OUTPUT鏈：外出的數據包應用此規則鏈中的策略
• FORWARD鏈：轉發數據包時應用此規則鏈中的策略
• PREROUTING鏈：對數據包做路由選擇前應用此鏈中的規則（全部的數據包進來的時候先有這個鏈處理）
• POSTROUTING鏈：對數據包做路由選擇前應用此鏈中的規則（全部的數據包出來的時候先有這個鏈處理）

  iptables 【-t 表名】選項 【鏈名】【條件】【-j 控制類型】

• -p 設置默認策略：iptables
• -P：INPUT (DROP|ACCEPT)
• -F：清空規則鏈
• -L：查看規則鏈
• -A：在規則鏈的末尾加入新規則
• -I：num 在規則鏈的頭部加入新規則
• -D：刪除某一條規則
• -s：匹配來源地址IP/MASK，加「 ！」表示除了這個ip外
• -d：匹配目標地址
• -i：網卡名稱 匹配從這塊網卡流入的數據
• -o：網卡名稱 匹配從這塊網卡流出的數據
• -p：匹配協議如tcp、udp、icmp
• --dport num 匹配目標端口號
• --sport num 匹配來源端口號
  
  默認的全部端口存放在public區域中。
  訪問權限由高到低。高權限訪問低權限。

運行時配置

• 實時生效，並持續至firewalld從新啓動或從新加載配置
• 不中斷先有鏈接
• 不能修改服務配置
  永久配置
• 不當即生效，除非Firewalld從新啓動或從新加載配置
• 中斷現有鏈接
• 能夠修改服務配置
  
  圖形化界面操做不作過多介紹，字符界面操做：

  [root@localhost~]#systemctl 選項 firewalld
  選項：start stop restart status

  防火牆管理操做

• firewall-cmd命令
• 支持所有防火牆特性
• 對於狀態和查詢模式，命令只返回狀態，沒有其餘輸出
• --permanent參數：攜帶該參數表示永久配置，不然表示運行時配置
• [--zone=<zone>]選項：不攜帶此選項表示針對默認區域操做，不然針對指定區域操做
  查詢Firewalld狀態

  systemctl status firewalld

  firewall-cmd-reload
  從新加載firewalld的配置

  顯示網絡鏈接或接口的默認區域

  firewall-cmd --get-default-zone

  
  設置網絡鏈接或接口的默認區域爲internal

  firewall-cmd --set-default-zone=internal

  
  顯示已激活的全部區域

  firewall-cmd --get-active-zones

  
  顯示ens33接口綁定的區域

  firewall-cmd --get-zone-of-interface=ens33

  
  爲ens33接口綁定work區域

  firewall-cmd --zone=work --add-interface=ens33

  
  爲work區域更改啊綁定的網絡接口ens33

  firewall-cmd --zone=work --change-interface=ens33

  爲work區域刪除綁定的網絡接口ens33

  firewall-cmd --zone=work --remove-interface=ens33

  顯示左右區域及規則

  firewall-cmd --list-all-zones

  顯示internal區域的全部規則

  firewall-cmd ---zones=internal --list-all

  如今默認區域的全部規則

  firewall-cmd --list-all