centos 7之firewalld防火牆配置IP假裝和端口轉發案例詳解
關於firewalld防火牆的直接規則、富規則等原理概述能夠參考上一篇博文：Centos 7的firewalld防火牆地址假裝和端口轉發原理html
環境以下圖所示：
網關服務器和網站服務器都採用centos 7操做系統，網關服務器安裝3塊千兆網卡，分別鏈接Internet、企業內網、網站服務器。
web
網關服務器鏈接互聯網卡ens32配置爲公網IP地址爲192.168.100.10，分配到firewall的external區域；鏈接內網網卡ens34地址爲192.168.10.100，分配到firewall的trusted區域；鏈接服務器網卡ens35地址爲192.168.20.100，分配到firewall的DMZ區域；vim
網站服務器和網關服務器都經過SSH來遠程管理，爲了安全，將SSH默認端口改成12345；centos
網站服務器開啓https，過濾未加密的http流量；安全
網站服務器拒絕ping，網關服務器拒絕來自互聯網上的ping；bash
內網用戶須要經過網關服務器共享上網；服務器
- 互聯網用戶須要訪問網站服務器；
1、開始基本的環境配置
一、配置網關服務器
[root@firewalld ~]# ifconfig <!--查看配置完成的IP地址信息-->
ens32: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.100.10 netmask 255.255.255.0 broadcast 192.168.100.255
inet6 fe80::20c:29ff:fe97:5c9f prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:97:5c:9f txqueuelen 1000 (Ethernet)
RX packets 880 bytes 135724 (132.5 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 498 bytes 71197 (69.5 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
ens34: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.10.100 netmask 255.255.255.0 broadcast 192.168.10.255
inet6 fe80::20c:29ff:fe97:5ca9 prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:97:5c:a9 txqueuelen 1000 (Ethernet)
RX packets 37 bytes 3555 (3.4 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 89 bytes 14988 (14.6 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
ens35: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.20.100 netmask 255.255.255.0 broadcast 192.168.20.255
inet6 fe80::20c:29ff:fe97:5cb3 prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:97:5c:b3 txqueuelen 1000 (Ethernet)
RX packets 51 bytes 5019 (4.9 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 85 bytes 13888 (13.5 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
二、網關服務器開啓路由轉發功能
[root@firewalld ~]# vim /etc/sysctl.conf net.ipv4.ip_forward = 1 [root@firewalld ~]# sysctl -p net.ipv4.ip_forward = 1
三、配置web服務器
[root@web ~]# ifconfig <!--查看配置完成的IP地址信息-->
ens32: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.20.10 netmask 255.255.255.0 broadcast 192.168.20.255
inet6 fe80::20c:29ff:fe62:325a prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:62:32:5a txqueuelen 1000 (Ethernet)
RX packets 237 bytes 21594 (21.0 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 220 bytes 30673 (29.9 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
[root@web ~]# route -n <!--查看網關信息-->
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.20.100 0.0.0.0 UG 100 0 0 ens32
192.168.20.0 0.0.0.0 255.255.255.0 U 100 0 0 ens32
192.168.122.0 0.0.0.0 255.255.255.0 U 0 0 0 virbr0
[root@web ~]# yum -y install httpd mod_ssl <!--安裝httpd和mod_ssl軟件包-->
[root@web ~]# systemctl start httpd <!--啓動httpd服務-->
[root@web ~]# systemctl enable httpd <!--設置開機自動啓動-->
[root@web ~]# echo "www.DMZ.web.com" > /var/www/html/index.html <!--建立網站首頁測試頁-->
[root@web ~]# vim /etc/ssh/sshd_config
<!--修改SSH服務監聽的端口號（須要關閉SELinux）-->
Port 12345
[root@web ~]# systemctl restart sshd <!--從新啓動SSH服務-->
四、配置內網客戶端
1）配置IP地址及網關
2）測試和網關服務器和網站服務器互通
3）測試是否能夠成功訪問網站服務器
五、配置外網客戶端
1） 配置IP地址及網關
2） 測試全網互通
3）測試是否成功訪問網站服務器
六、配置外網Centos客戶端
1）修更名字
[root@Centos04~]# hostnamectl set-hostname WAN_Web [root@ Centos04 ~]# bash
2）配置IP地址及網關，重啓網卡服務
[root@wan_web ~]# systemctl restart networkssh
3）查看配置完成的IP地址
[root@wan_web ~]# ifconfig
ens32: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.100.30 netmask 255.255.255.0 broadcast 192.168.100.255
inet6 fe80::20c:29ff:fe16:c54b prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:16:c5:4b txqueuelen 1000 (Ethernet)
RX packets 37 bytes 4898 (4.7 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 84 bytes 13483 (13.1 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
4）查看網關信息
[root@wan_web ~]# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 192.168.100.10 0.0.0.0 UG 100 0 0 ens32 192.168.100.0 0.0.0.0 255.255.255.0 U 100 0 0 ens32
2、在網站服務器上配置firewalld防火牆
[root@web ~]# systemctl start firewalld <!--啓動防火牆服務--> [root@web ~]# systemctl enable firewalld <!--設置開機自動啓動->
一、設置默認區域爲dmz區域
[root@web ~]# firewall-cmd --set-default-zone=dmz success
二、爲dmz區域打開https服務並添加tcp的12345端口
[root@web ~]# firewall-cmd --zone=dmz --add-service=https --permanent success [root@web ~]# firewall-cmd --zone=dmz --add-port=12345/tcp --permanent success
三、禁止ping
[root@web ~]# firewall-cmd --add-icmp-block=echo-request --zone=dmz --permanent success [root@web ~]# firewall-cmd --add-icmp-block=echo-reply --zone=dmz --permanent success
四、將預約義SSH服務移除
[root@web ~]# firewall-cmd --zone=dmz --remove-service=ssh --permanent success
五、從新加載firewalld配置，並查看以前的配置
[root@web ~]# firewall-cmd --reload success [root@web ~]# firewall-cmd --list-all dmz (active) target: default icmp-block-inversion: no interfaces: ens32 sources: services: https ports: 12345/tcp protocols: masquerade: no forward-ports: source-ports: icmp-blocks: echo-request echo-reply rich rules:
3、在網關服務器上配置firewalld防火牆
一、啓動防火牆服務，設置開機自動啓動
[root@firewalld ~]# systemctl start firewalld [root@firewalld ~]# systemctl enable firewalld
二、將網卡添加至指定區域
[root@firewalld ~]# firewall-cmd --set-default-zone=external<!--設置默認區域爲external--> success [root@firewalld ~]# firewall-cmd --change-interface=ens34 --zone=trusted <!--將ens34添加至trusted區域--> The interface is under control of NetworkManager, setting zone to 'trusted'. success [root@firewalld ~]# firewall-cmd --change-interface=ens35 --zone=dmz <!--將ens35添加至dmz區域--> The interface is under control of NetworkManager, setting zone to 'dmz'. success
三、查看配置，並將配置保存到文件中，成爲永久配置
[root@firewalld ~]# firewall-cmd --get-active-zones dmz interfaces: ens35 external interfaces: ens32 trusted interfaces: ens34 [root@firewalld ~]# firewall-cmd --runtime-to-permanent <!--將當前配置保存到文件中--> success
四、在企業內網測試機上訪問網站服務器，會發現https能夠成功訪問，而http訪問不了
五、配置external區域添加tcp的12345端口
[root@firewalld ~]# firewall-cmd --zone=external --add-port=12345/tcp --permanent success
六、配置external區域移除SSH服務
[root@firewalld ~]# firewall-cmd --zone=external --remove-service=ssh --permanent success
七、配置external區域禁止ping
[root@firewalld ~]# firewall-cmd --zone=external --add-icmp-block=echo-request --permanent success [root@firewalld ~]# firewall-cmd --zone=external --add-icmp-block=echo-reply --permanent success
八、從新加載防火牆配置，查看以前配置
[root@firewalld ~]# firewall-cmd --reload success [root@firewalld ~]# firewall-cmd --list-all external (active) target: default icmp-block-inversion: no interfaces: ens32 sources: services: ports: 12345/tcp protocols: masquerade: yes forward-ports: source-ports: icmp-blocks: echo-request echo-reply rich rules:
如下開始測試ssh鏈接：curl
九、在互聯網測試機經過SSH鏈接網關服務器的外部接口地址的12345端口
[root@wan_web ~]# ssh -p 12345 root@192.168.100.10 The authenticity of host '[192.168.100.10]:12345 ([192.168.100.10]:12345)' can't be established. ECDSA key fingerprint is SHA256:PUueT9fU9QbsyNB5NC5hbSXzaWxxQavBxXmfoknXl4I. ECDSA key fingerprint is MD5:6d:f7:95:0e:51:1a:d8:9e:7b:b6:3f:58:51:51:4b:3b. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added '[192.168.100.10]:12345' (ECDSA) to the list of known hosts. root@192.168.100.10's password: Last login: Wed Nov 27 02:27:01 2019 from 192.168.100.20 [root@firewalld ~]# ls anaconda-ks.cfg initial-setup-ks.cfg
十、使用內網測試機SSH登陸web網站服務器的12345端口
如下測試ping命令：tcp
十一、測試網站服務器拒絕ping
[root@firewalld ~]# ping 192.168.10.20 PING 192.168.10.20 (192.168.10.20) 56(84) bytes of data. From 192.168.10.100 icmp_seq=1 Destination Host Unreachable From 192.168.10.100 icmp_seq=2 Destination Host Unreachable From 192.168.10.100 icmp_seq=3 Destination Host Unreachable
十二、測試網關服務器拒絕來自公網ping
[root@wan_web ~]# ping 192.168.100.10 PING 192.168.100.10 (192.168.100.10) 56(84) bytes of data. From 192.168.100.10 icmp_seq=1 Destination Host Prohibited From 192.168.100.10 icmp_seq=2 Destination Host Prohibited From 192.168.100.10 icmp_seq=3 Destination Host Prohibited
[root@wan_web ~]# ping 192.168.10.20 PING 192.168.10.20 (192.168.10.20) 56(84) bytes of data. From 192.168.100.10 icmp_seq=1 Destination Host Unreachable From 192.168.100.10 icmp_seq=2 Destination Host Unreachable From 192.168.100.10 icmp_seq=3 Destination Host Unreachable
4、配置IP假裝與端口轉發
一、在外網測試機上搭建web服務，用於測試
[root@wan_web ~]# yum -y install httpd mod_ssl [root@wan_web ~]# systemctl start httpd [root@wan_web ~]# systemctl enable httpd [root@wan_web ~]# echo "WAN_Web.com" > /var/www/html/index.html
二、在內部測試機和dmz的網站服務區均可以訪問外網的網站（若訪問不了，則多是公網測試機的防火牆配置問題，可先將公網測試機的防火牆關閉，或放行相關服務的流量便可）
[root@web ~]# curl http://192.168.100.30 WAN_Web.com
三、查看網關服務器的external區域是否開啓了地址假裝
[root@firewalld ~]# firewall-cmd --list-all --zone=external external (active) target: default icmp-block-inversion: no interfaces: ens32 sources: services: ports: 12345/tcp protocols: masquerade: yes <!--地址假裝已啓用--> forward-ports: source-ports: icmp-blocks: echo-request echo-reply rich rules:
四、只爲源地址192.168.10.0/24網段的地址開啓地址IP假裝
在網關服務器上關閉external默認的地址假裝，添加富規則，要求external區域內，源地址爲192.168.10.0/24網段的地址開啓地址IP假裝
[root@firewalld ~]# firewall-cmd --remove-masquerade --zone=external success [root@firewalld ~]# firewall-cmd --zone=external --add-rich-rule='rule family=ipv4 source address=192.168.10.0/24 masquerade' success
在dmz區域的網站服務器上測試，發現沒法訪問外網網站，可是內網測試機能夠
[root@web ~]# curl http://192.168.100.30 curl: (7) Failed connect to 192.168.100.30:80; 沒有到主機的路由
五、配置端口轉發實現互聯網用戶能夠訪問內部web服務器
1）在網關服務器下作以下配置
[root@firewalld ~]# firewall-cmd --zone=external --add-forward-port=port=443:proto=tcp:toaddr=192.168.20.10 success
2）在互聯網測試機上能夠成功訪問內網的web服務器
5、 最後來一個使用富規則實現端口轉發
上述配置完成後，如今公司申請了一個新的公網ip地址192.168.100.200，那麼就須要從新作端口轉發了
一、將新申請的公網地址192.168.100.200配置在網關服務器的外網接口ens33上，做爲第二個IP地址
[root@firewalld ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens32
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
DEFROUTE=yes
NAME=ens32
DEVICE=ens32
ONBOOT=yes
IPADDR=192.168.100.10 <!--複製此行粘貼到下面-->
NATEMASK=255.255.255.0
ZONE=external
PREFIX=24 <!--複製此行粘貼到下面-->
IPADDR1=192.168.100.200
<!--修改成IPADD1，IP地址修改成100.200-->
IPV4_FAILURE_FATAL=no
PREFIX1=24 <!--修改成PREFIX1-->
IPV6INIT=no
UUID=152beb06-47c5-c5e8-95a9-385590654382
[root@firewalld ~]# systemctl restart network <!--重啓網卡服務-->
[root@firewalld ~]# ip add <!--查看IP地址是否配置成功-->
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 00:0c:29:97:5c:9f brd ff:ff:ff:ff:ff:ff
inet 192.168.100.10/24 brd 192.168.100.255 scope global ens32
valid_lft forever preferred_lft forever
inet 192.168.100.200/24 brd 192.168.100.255 scope global secondary ens32
valid_lft forever preferred_lft forever
inet6 fe80::20c:29ff:fe97:5c9f/64 scope link
valid_lft forever preferred_lft forever
二、使用富規則配置端口轉發
[root@firewalld ~]# firewall-cmd --zone=external --add-rich-rule='rule family=ipv4 destination address=192.168.100.200/32 forward-port port=443 protocol=tcp to-addr=192.168.20.10' success
三、在互聯網測試機上訪問測試結果
—————— 本文至此結束，感謝閱讀 ——————
相關文章
- 1. centos 7的firewalld防火牆配置IP假裝和端口轉發（內附配置案例）
- 2. centos 7 防火牆和端口配置 centos 7 防火牆和端口配置
- 3. centos 7配置firewall防火牆的地址假裝和端口轉發實例
- 4. Centos 7的firewalld防火牆地址假裝和端口轉發原理
- 5. centos 7 防火牆和端口配置
- 6. CentOS 7 防火牆和端口配置
- 7. Centos 7防火牆firewalld開放端口
- 8. CentOS 7/8 預裝的新型防火牆firewalld配置詳解，
- 9. Firewalld ip假裝和端口轉發
- 10. CentOS 7 防火牆端口配置
- 更多相關文章...
- • MyBatis配置文件詳解 - MyBatis教程
- • 使用TCP協議檢測防火牆 - TCP/IP教程
- • IntelliJ IDEA 代碼格式化配置和快捷鍵
- • IDEA下SpringBoot工程配置文件沒有提示
相關標籤/搜索
每日一句
-
每一个你不满意的现在，都有一个你没有努力的曾经。
最新文章
- 1. 字節跳動21屆秋招運營兩輪面試經驗分享
- 2. Java 3 年，25K 多嗎？
- 3. mysql安裝部署
- 4. web前端開發中父鏈和子鏈方式實現通信
- 5. 3.1.6 spark體系之分佈式計算-scala編程-scala中trait特性
- 6. dataframe2
- 7. ThinkFree在線
- 8. 在線畫圖
- 9. devtools熱部署
- 10. 編譯和鏈接
歡迎關注本站公眾號,獲取更多信息
相關文章
- 1. centos 7的firewalld防火牆配置IP假裝和端口轉發（內附配置案例）
- 2. centos 7 防火牆和端口配置 centos 7 防火牆和端口配置
- 3. centos 7配置firewall防火牆的地址假裝和端口轉發實例
- 4. Centos 7的firewalld防火牆地址假裝和端口轉發原理
- 5. centos 7 防火牆和端口配置
- 6. CentOS 7 防火牆和端口配置
- 7. Centos 7防火牆firewalld開放端口
- 8. CentOS 7/8 預裝的新型防火牆firewalld配置詳解，
- 9. Firewalld ip假裝和端口轉發
- 10. CentOS 7 防火牆端口配置