linux防火牆高級設置

Firewalld實驗

實驗拓撲圖

需求分析

（1）公司內網用戶須要經過網關服務器共享上網
（2）互聯網用戶須要訪問網站服務器
（3）只容許192.168.1.0/24ping網關和服務器
（4）網站服務器和網關服務器均經過SSH來遠程管理，爲了安全，將SSH默認端口改成12345，只容許192.168.1.10主機SSH網關和服務器，容許互聯網SSH內部服務器

此次實驗咱們須要四臺虛擬機，咱們把Centos7 64位做爲網關服務器。
Centos7-2做爲企業內網測試機，Centos7-3做爲網站服務器，Centos7-4做爲internet測試機。

1、設備準備

首先在虛擬機Centos7-3，和Centos7-4上安裝httpd服務

1.一、在Centos7 64位建立3塊網卡，作靜態，網卡1綁定VMnet1，爲信任區域，網卡2綁定VMnet2，爲DMZ區域，網卡3綁定VMnet3.爲外部區域。

1.二、設置網卡地址，

網卡33，設爲外部網絡，IP地址爲100.1.1.10 255.255.255.0
網卡36，設爲信任網絡，IP地址爲192.168.10.1 255.255.255.0
網卡37，設爲DMZ區域網絡，IP地址爲192.168.20.1 255.255.255.0

[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# vim ifcfg-ens33

[root@localhost network-scripts]#cp -p ifcfg-ens33 ifcfg-ens36
[root@localhost network-scripts]# vim ifcfg-ens36

[root@localhost network-scripts]#cp -p ifcfg-ens33 ifcfg-ens37
[root@localhost network-scripts]# vim ifcfg-ens37

重啓網絡服務：查看IP地址

[root@localhost network-scripts]#service network restart
[root@localhost network-scripts]#ifconfig

開啓網關服務器的路由轉發功能。

[root@localhost ~]# vim /etc/sysctl.conf 
net.ipv4.ip_forward=1
[root@localhost ~]# sysctl -p

二、進入Centos7-2，將主機網卡改成自定義，綁定VMent3網卡

進入主機，修改IP地址，子網掩碼和網關。
將IP地址設爲192.168.10.10，網關設爲192.168.10.1

[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# vim ifcfg-ens33

[root@localhost ]#service network restart    //重啓網絡服務
[root@localhost ~]# ifconfig     //查看本機地址

[root@localhost ~]# ping 192.168.10.1   //測試與網關服務器的連通性

二、進入Centos7-3，將主機網卡改成自定義，綁定VMent2網卡

配置主機IP地址爲192.168.20.20，網關爲192.168.20.1

[root@localhost ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static           //將dhcp改成static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=f4d8cf47-c855-4d04-8c68-75ab8644df70
DEVICE=ens33
ONBOOT=yes
IPADDR=192.168.20.20       //IP地址
NETMASK=255.255.255.0     //子網掩碼
GATEWAY=192.168.20.1             //網關
[root@localhost ~]# service network restart       //重啓網絡服務
[root@localhost ~]# ifconfig      //查看網卡IP地址

[root@localhost ~]# ping 192.168.20.1     //測試與網關的連通性

三、將Centos7-3的主機名修改成dmz而後配置防火牆規則

[root@localhost ~]# hostnamectl set-hostname dmz             //修改主機名
[root@localhost ~]# su                   
[root@dmz ~]# systemctl start httpd                 //啓動http服務
[root@dmz ~]# cd /var/www/html                          //進入網頁區域配置文件
[root@dmz html]# vim index.html     //進入輸入網頁顯示內容                                        
[root@dmz html]# firewall-cmd --set-default-zone=dmz      //將默認區域改成dmz
success
[root@dmz html]# firewall-cmd --add-service=http --zone=dmz --permanent        //將http服務添加到dmz永久設置
success
[root@dmz html]# firewall-cmd --remove-service=ssh --zone=dmz --permanent     //禁止ssh登陸
success
[root@dmz html]# firewall-cmd --add-icmp-block=echo-request --zone=dmz --permanent     //禁用icmp協議
success
[root@dmz html]# firewall-cmd --reload            //從新加載防火牆
success

四、進入Centos7-4，將主機網卡改成自定義，綁定VMent1網卡

配置主機IP地址爲100.1.1.20 ，網關地址爲100.1.1.10

[root@extemal ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static               //將dhcp改成static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=0d5d6fbf-efdf-4b5b-90f9-f08be3fda756
DEVICE=ens33
ONBOOT=yes
IPADDR=100.1.1.20                       //配置IP地址
NETMASK=255.255.255.0                 //配置子網掩碼
GATEWAY=100.1.1.10                      //配置網關
[root@localhost ~]# service network restart       //重啓網絡服務
[root@localhost ~]# ifconfig      //查看網卡IP地址

[root@localhost ~]# hostnamectl set-hostname extemal                  //修改主機名
[root@localhost ~]# su
[root@extemal ~]# systemctl stop firewalld.service                    //關閉防火牆
[root@extemal ~]# setenforce 0                                
[root@extemal ~]# systemctl start httpd                                //開啓http服務
[root@extemal ~]# vim /var/www/html/index.html                  //配置網頁內容
<h1>this is extwrnal web</h1>

五、在Centos7 64位服務器上配置防火牆

[root@localhost ~]# firewall-cmd --set-default-zone=external                             //將默認區域改 爲extemal
success
[root@localhost ~]# firewall-cmd --change-interface=ens36 --zone=trusted --permanent          //將ens36設爲信任區域
The interface is under control of NetworkManager, setting zone to 'trusted'.    
success
[root@localhost ~]# firewall-cmd --change-interface=ens37 --zone=dmz --permanent          //將ens37設爲dmz區域
The interface is under control of NetworkManager, setting zone to 「dmz」'.    
success
[root@localhost ~]# firewall-cmd --zone=dmz --remove-service=ssh --permanent     ////禁止ssh登陸
success
[root@localhost ~]# firewall-cmd --zone=dmz --add-service=http --permanent   //添加http服務
success
[root@localhost ~]# firewall-cmd --zone=dmz --add-icmp-block=echo-request --permanent     阻塞icmp協議
success
[root@localhost ~]# firewall-cmd --zone=external --add-service=http --permanent            //在外部區域添加http服務
success
[root@localhost ~]# firewall-cmd --reload        //從新加載防火牆
success

六、返回Centos 7-2，測試，使用企業內網測試機查看，網站服務器和internel網站的網頁

七、配置

[root@localhost ~]# firewall-cmd --zone=external --add-forward port=port=80:proto=tcp:toaddr=192.168.20.20 --permanent      //設置端口映射
success
[root@localhost ~]# firewall-cmd --reload 
success

八、在Centos7-4上經過瀏覽器查看網站服務器網頁。