平常運維（五）

CentOS 7

firewalled

1. 打開firewalled

   systemctl disable iptables     #關閉服務
    systemctl stop iptables         #中止運行的服務
    systemctl enable firewalld    #開啓firewalld服務
    systemctl start firewalld        #打開firewalld服務

firewalld默認有9個zone （zone是個單位）
默認zone 爲public
每一個zone是一個規則集

firewall-cmd --get-zones      ##查看全部zone
firewall-cmd --get-default-zone    ##查看默認zone

9個zone、

drop、 block、 public、 external、 dmz、 work、 home、 internal、trusted  

drop( 丟棄),任何接收的網絡數據包都被丟棄，沒有任何回覆。
僅能有發送出去的網絡鏈接。

block( 限制) 任何接收的網絡鏈接都被PV4 的icmp-host-prohibited信息和PV6 的icmp6-adm-prohibited 信息所拒絕

public (公共)在公共區域內使用，
不能相信網絡內的其餘計算機不會對你的計算機形成危害，只能接收通過選取的鏈接。

external (外部)特別是爲路由器啓用了假裝功能的外部網。
你不能信任來自網絡的其餘計算，不能相信它們不會對你的計算機形成危害，只能接收通過選擇的鏈接。

dmz (非軍事區)用於你的非軍事區內的電腦，
此區域內可公開訪問，能夠有限地進入你的內部網絡，僅僅接收通過選擇的鏈接。

work( 工做) 用於工做區。
你能夠基本相信網絡內的其餘電腦不會危害你的電腦。僅僅接收通過選擇的鏈接。

home (家庭)用於家庭網絡。
你能夠基本信任網絡內的其餘計算機不會危害你的計算機。僅僅接收通過選擇的鏈接。

internal (內部) 用於內部網絡。
你能夠基本上信任網絡內的其餘計算機不會威脅你的計算機。僅僅接受通過選擇的鏈接。

trusted (信任)可接受全部的網絡鏈接。

關於zone的操做

firewall-cmd --set-default-zone=work  #設定默認zone
firewall-cmd --get-zone-of-interface=ens37  #查找指定的網卡
firewall-cmd --zone=public --add-interface=lo #給指定網卡設置zone
firewall-cmd --zone=dmz --change-interface=lo #針對網卡更改zone
firewall-cmd --zone=dmz --remove-interface=lo #針對網卡刪除zone
firewall-cmd --get-active-zones  #查看系統全部網卡所在的zone

[root@huidou01 ~]$ firewall-cmd --get-zone-of-interface=ens37
no zone
#須要手動關閉systemctl stop NetworkManager 服務  

[root@huidou01 ~]$ firewall-cmd --zone=work --add-interface=ens37
    success
[root@huidou01 ~]$ firewall-cmd --get-zone-of-interface=ens37  
work

services 概念

zone下面的一個單元，或者說是一個指定的端口

firewall-cmd --get-service    //查看全部的service
firewall-cmd --list-service     //查看當前zone下面有哪些service
firewall-cmd --zone=public --add-service=http      //把http增長到public zone下面
firewall-cmd --zone=public --remove-service=http    //在public zone中刪除

ls /usr/lib/firewalld/zones/ zone的配置文件模板

firewall-cmd --zone=public --add-service=http --permanent 更改配置文件，以後會在/etc/firewalld/zones目錄下面生成配置文件

#需求：ftp服務自定端口1121，須要在work zone下面放行ftp

cp /usr/lib/firewalld/services/ftp.xml  /etc/firewalld/services
vi /etc/firewalld/service/ftp.xml    把21端口改爲1121
cp /usr/lib/firewalld/zones/work.xml  /etc/firwalld/zones/
vi /etc/firewalld/zones/work.xml    增長一行
    <service name="ftp"/>
firewall-cmd --reload    從新加載
firewall-cmd --zone=work --list-services

firewalld zone 規則集合每一個zone都有iptables規則

每一個zone下面都有 service，若是有service 就做爲白名單放行，把服務增長到配置文件裏去而後reload就行