Firewalld防火牆基礎

firewalld概述

支持網絡區域所定義的網絡連接以及接口安全等級動態防火牆管理工具
支持ipv4，ipv6防火牆設置以及以太網橋
支持服務或應用程序直接添加防火牆規則接口
擁有兩種配置模式

• 運行時配置
• 永久配置

firewalld和iptables的關係

netfilter

• 位於Linux內核中的包過濾功能體系
• 稱爲Linux防火牆的「內核態」

firewalld/iptables

• centos7默認的管理防火牆規則的工具（firewalld）
• 稱爲Linux防火牆的「用戶態」

firewalld和iptables的區別

	firewalld	iptables
配置文件	/usr/lib/firewalld/和/etc/firewalld	/etc/sysconfig/iptables
對規則的修改	不須要所有刷新策略，不丟失現行鏈接	須要所有刷新新策略，丟失鏈接
防火牆類型	動態防火牆	靜態防火牆

firewalld網絡區域

默認區域爲public

區域跟網卡綁定的

NAT 一對一的地址轉換 安全
PAT 多對一 多個局域網地址轉換爲一個公網地址 經過端口來區分
節約地址資源

iptables SNAT源地址轉換
DNAT目標地址轉換

區域介紹

• 區域如同進入主機的安全門，每一個區域都具備不一樣限制程度的規則
• 可使用一個或多個區域，可是任何一個活躍區域至少須要關聯源地址或接口
• 默認狀況下，public區域是默認區域，包含全部接口（網卡）

firewalld數據處理流程

檢查數據來源的源地址

• 若源地址關聯到特定的區域，則執行該區域所指定的規則
• 若源地址未關聯到特定的區域，則使用傳入網絡接口的區域並執行該區域所指定的規則
• 若網絡接口未關聯到特定的區域，則使用默認區域並執行該區域所指定的規則

firewalld防火牆的配置方法

運行時配置

實時生效，並持續至firewalld從新啓動或從新加載配置
不中斷現有鏈接
不能修改服務配置

永久配置

不當即生效，除非firewalld從新啓動或從新加載配置
終端現有鏈接
能夠修改服務配置

• firewalld-config圖形工具

• firewalld-cmd命令行工具

• /etc/firewalld/中的配置文件

• firewalld會有限使用/etc/firewalld/中的配置，若是不存在配置文件，則使用/etc/firewalld/中的配置

• /etc/firewalld/：用戶自定義配置文件，須要時能夠經過從/usr/lib/firewalld/中拷貝
• /usr/lib/firewalld/：默認配置文件，不建議修改，若恢復至默認配置，可直接刪除/etc/firewalld/中的配置

  firewalld-config圖形工具

  運行時配置/永久配置
  從新加載防火牆
  更改永久配置並生效（關聯網卡到指定區域）
  修改默認區域
  鏈接狀態

「區域」選項卡

「服務」子選項卡
「端口」子選項卡
「協議」子選項卡
「源端口」子選項卡
「假裝」子選項卡
「端口轉發」子選項卡
「ICMP過濾器」子選項卡

「服務」選項卡

「模塊」子選項卡
「目標地址」子選項卡

需求描述

禁止主機ping服務器
只容許192.168.109.133主機訪問SSH服務
容許全部主機訪問Apache服務

firewall-cmd 命令

1）啓動、中止、查看 firewalld 服務

在安裝 CentOS7 系統時，會自動安裝 firewalld 和圖形化工具 firewall-config。執行
如下命令能夠啓動 firewalld 並設置爲開機自啓動狀態。

[root@localhost ~]# systemctl start firewalld //啓動 firewalld 
[root@localhost ~]# systemctl enable firewalld //設置 firewalld 爲開機自啓動

若是 firewalld 正在運行，經過 systemctl status firewalld 或 firewall-cmd 命令
能夠查看其運行狀態。

[root@localhost ~]# systemctl status firewalld  ##查看服務狀態
[root@localhost ~]# firewall-cmd --state

若是想要禁用 firewalld，執行如下命令便可實現。

[root@localhost ~]# systemctl stop firewalld //中止 firewalld 
[root@localhost ~]#systemctl disable firewalld //設置 firewalld 開機不自啓動

2）獲取預約義信息

firewall-cmd 預約義信息主要包括三種：可用的區域、可用的服務以及可用的 ICMP 阻
塞類型，具體的查看命令以下所示。

[root@localhost ~]# firewall-cmd --get-zones //顯示預約義的區域 
[root@localhost ~]# firewall-cmd --get-service //顯示預約義的服務

[root@localhost ~]# firewall-cmd --get-icmptypes //顯示預約義的 ICMP 類型

firewall-cmd --get-icmptypes 命令的執行結果中各類阻塞類型的含義分別以下所示。

* destination-unreachable：目的地址不可達。 
* echo-reply：應答迴應（pong）。 
* parameter-problem：參數問題。 
* redirect：從新定向。 
* router-advertisement：路由器通告。 
* router-solicitation：路由器徵尋。 
* source-quench：源端抑制。 
* time-exceeded：超時。 
* timestamp-reply：時間戳應答迴應。 
* timestamp-request：時間戳請求。

3）區域管理

使用 firewall-cmd 命令能夠實現獲取和管理區域，爲指定區域綁定網絡接口等功能。

選項 說明 
--get-default-zone 顯示網絡鏈接或接口的默認區域 
--set-default-zone=<zone> 設置網絡鏈接或接口的默認區域 
--get-active-zones 顯示已激活的全部區域 
--get-zone-of-interface=<interface> 顯示指定接口綁定的區域 
--zone=<zone> --add-interface=<interface> 爲指定接口綁定區域 
--zone=<zone> 
--change-interface=<interface> 
爲指定的區域更改綁定的網絡接口 
--zone=<zone> 
--remove-interface=<interface> 
爲指定的區域刪除綁定的網絡接口 
--list-all-zones 顯示全部區域及其規則 
[--zone=<zone>] --list-all 顯示全部指定區域的全部規則，省略--zone=<zone>時表示僅 
對默認區域操做

（1）顯示當前系統中的默認區域。

[root@localhost ~]# firewall-cmd --get-default-zone

public

（2）顯示默認區域的全部規則。

[root@localhost ~]# firewall-cmd --list-all

（3）顯示網絡接口 ens33 對應區域。

[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33

（4）將網絡接口 ens33 對應區域更改成 internal 區域。

[root@localhost ~]# firewall-cmd --zone=internal --change-interface=ens33 
[root@localhost ~]# firewall-cmd --zone=internal --list-interfaces 
[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33

（5）顯示全部激活區域。

[root@localhost ~]# firewall-cmd --get-active-zones

4）服務管理

爲 了 方 便 管 理 ， firewalld 預 先 定 義 了 很 多 服 務 ， 存 放 在
/usr/lib/firewalld/services/ 目錄中，服務經過單個的 XML 配置文件來指定。這些配置文件則按如下格式命名：service-name.xml，每一個文件對應一項具體的網絡服務，如 ssh 服
務等。與之對應的配置文件中記錄了各項服務所使用的 tcp/udp 端口。在最新版本的
firewalld 中默認已經定義了 70 多種服務供咱們使用，對於每一個網絡區域，都可以配置允
許訪問的服務。當默認提供的服務不適用或者須要自定義某項服務的端口時，咱們須要將
service 配置文件放置在 /etc/firewalld/services/ 目錄中。service 配置具備如下優勢。

* 經過服務名字來管理規則更加人性化。 
* 經過服務來組織端口分組的模式更加高效，若是一個服務使用了若干個網絡端口，則服務的配置文件就至關於提供了到這些端口的規則管理的批量操做快捷方式。

列出了 firewall-cmd 命令區域中服務管理的經常使用選項說明。

* [--zone=<zone>] --list-services 顯示指定區域內容許訪問的全部服務 
* [--zone=<zone>] --add-service=<service> 
爲指定區域設置容許訪問的某項服務 
* [--zone=<zone>] --remove-service=<service>
刪除指定區域已設置的容許訪問的某項服務 
* [--zone=<zone>] --list-ports 顯示指定區域內容許訪問的全部端口號 
* [--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol> 
爲指定區域設置容許訪問的某個/某段端口號 （包括協議名） 
* [--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocol> 
刪除指定區域已設置的容許訪問的端口號（包括協議名） 
* [--zone=<zone>] --list-icmp-blocks 
顯示指定區域內拒絕訪問的全部 ICMP 類型 
* [--zone=<zone>] --add-icmp-block=<icmptype> 
爲指定區域設置拒絕訪問的某項 ICMP 類型 
* [--zone=<zone>] --remove-icmp-block=<icmptype> 
刪除指定區域已設置的拒絕訪問的某項 ICMP 類型
省略--zone=<zone>時表示對默認區域操做

（1）爲默認區域設置容許訪問的服務。

[root@localhost ~]# firewall-cmd --list-services 
//顯示默認區域內容許訪問的全部服務 
[root@localhost ~]# firewall-cmd --add-service=http 
//設置默認區域容許訪問 http 服務success 
[root@localhost ~]#firewall-cmd --add-service=https 
//設置默認區域容許訪問 https 服務 
[root@localhost ~]# firewall-cmd --list-services

（2）爲 internal 區域設置容許訪問的服務。

[root@localhost ~]# firewall-cmd --zone=internal --add-service=mysql 
//設置 internal 區域容許訪問 mysql 服務  
[root@localhost~]#firewall-cmd --zone=internal --remove-service=samba-client 
//設置 internal 區域不容許訪問 samba-client 服務 
[root@localhost ~]# firewall-cmd --zone=internal --list-services 
//顯示 internal 區域內容許訪問的全部服務

5）端口管理

在進行服務配置時，預約義的網絡服務可使用服務名配置，服務所涉及的端口就會自動打開。可是，對於非預約義的服務只能手動爲指定的區域添加端口。

• 執行如下操做便可實如今 internal 區域打開 443/TCP 端口。

[root@localhost ~]# firewall-cmd --zone=internal --add-port=443/tcp

若想實如今 internal 區域禁止 443/TCP 端口訪問，可執行如下命令。

[root@localhost ~]#firewall-cmd --zone=internal --remove-port=443/tcp

6）兩種配置模式

前面提到 firewall-cmd 命令工具備兩種配置模式：運行時模式（Runtime mode）表示當前內存中運行的防火牆配置，在系統或 firewalld 服務重啓、中止時配置將失效；永久模式（Permanent mode）表示重啓防火牆或從新加載防火牆時的規則配置，是永久存儲在配置 文件中的。

firewall-cmd 命令工具與配置模式相關的選項有三個。

• --reload：從新加載防火牆規則並保持狀態信息，即將永久配置應用爲運行時配置。
• --permanent：帶有此選項的命令用於設置永久性規則，這些規則只有在從新啓動 firewalld 或從新加載防火牆規則時纔會生效；若不帶有此選項，表示用於設置運行時規則。
• --runtime-to-permanent：將當前的運行時配置寫入規則配置文件中，使之成爲永久性

謝謝閱讀！！！