系統(tǒng)運(yùn)維 Firewalld概述 Firewalld簡介

支持網(wǎng)絡(luò)區(qū)域所定義的網(wǎng)絡(luò)鏈接以及接口安全等級的動態(tài)防火墻管理工具

創(chuàng)新互聯(lián)公司堅持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：網(wǎng)站設(shè)計、網(wǎng)站制作、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時代的鼓樓網(wǎng)站設(shè)計、移動媒體設(shè)計的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！

支持IPv4、IPv6防火 墻設(shè)置以及以太網(wǎng)橋

支持服務(wù)或應(yīng)用程序直接添加防火墻規(guī)則接口

擁有兩種配置模式

運(yùn)行時配置

永久配置

Firewalld和iptables的關(guān)系 netfilter netfilter是Linux2.4.x之后新一代的Linux防火墻機(jī)制，是linux內(nèi)核的一個子系統(tǒng)

netfilter采用模塊化設(shè)計，具有良好的可擴(kuò)充性

位于Linux內(nèi)核中的包過濾功能體系 稱為Linux防火墻的“內(nèi)核態(tài)” Firewalld/iptables CentOS7默認(rèn)的管理防火墻規(guī)則的工具(Firewalld) 稱為Linux防火墻的“用戶態(tài)” Firewalld和iptables的區(qū)別 - Firewalld iptables 配置文件 /usr/lib/firewalld<br/>/etc/firewalld/ /etc/sysconfig/iptables 對規(guī)則的修改 不需要全部刷新策略，不丟失現(xiàn)行連接 需要全部刷新策略，丟失連接 靜態(tài)防火墻 動態(tài)防火墻(靈活) 靜態(tài)防火墻 Firewalld網(wǎng)絡(luò)區(qū)域 區(qū)域介紹 區(qū)域 描述 drop（丟棄） 任何接收的網(wǎng)絡(luò)數(shù)據(jù)包都被丟棄，沒有任何回復(fù)。僅能有發(fā)送出去的網(wǎng)絡(luò)連接 block（限制） 任何接收的網(wǎng)絡(luò)連接都被lPv4的icmp-host-prohibited信息和IPv6的icmp6-adm-prohibited信息所拒絕 public（公共） 在公共區(qū)域內(nèi)使用，不能相信網(wǎng)絡(luò)內(nèi)的其他計算機(jī)不會對您的計算機(jī)造成危害，只能接收經(jīng)過選取的連接 external（外部） 特別是為路由器啟用了偽裝功能的外部網(wǎng)。您不能信任來自網(wǎng)絡(luò)的其他計算，不能相信它們不會對您的計算機(jī)造成危害，只能接收經(jīng)過選擇的連接 dmz（非軍事區(qū)） 用于您的非軍事區(qū)內(nèi)的電腦，此區(qū)域內(nèi)可公開訪問，可以有限地進(jìn)入您的內(nèi)部網(wǎng)絡(luò)，僅僅接收經(jīng)過選擇的連接 work（工作） 用于工作區(qū)。您可以基本相信網(wǎng)絡(luò)內(nèi)的其他電腦不會危害您的電腦。僅僅接收經(jīng)過選擇的連接 home（家庭） 用于家庭網(wǎng)絡(luò)。您可以基本信任網(wǎng)絡(luò)內(nèi)的其他計算機(jī)不會危害您的計算機(jī)。僅僅接收經(jīng)過選擇的連接 internal（內(nèi)部） 用于內(nèi)部網(wǎng)絡(luò)。您可以基本上信任網(wǎng)絡(luò)內(nèi)的其他計算機(jī)不會威脅您的計算機(jī)。僅僅接受經(jīng)過選擇的連接 trusted（信任） 可接受所有的網(wǎng)絡(luò)連接 Firewalld數(shù)據(jù)處理流程 檢查數(shù)據(jù)來源的源地址 若源地址關(guān)聯(lián)到特定的區(qū)域，則執(zhí)行該區(qū)域所指定的規(guī)則 若源地址未關(guān)聯(lián)到特定的區(qū)域，則使用傳入網(wǎng)絡(luò)接口的區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則 若網(wǎng)絡(luò)接口未關(guān)聯(lián)到特定的區(qū)域，則使用默認(rèn)區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則 Firewalld防火墻的配置方法 運(yùn)行時配置 實時生效，并持續(xù)至Firewalld重新啟動或重新加載配置 不中斷現(xiàn)有連接 不能修改服務(wù)配置 永久配置 不立即生效，除非Firewalld重新啟動或重新加載配置 中斷現(xiàn)有連接 可以修改服務(wù)配置 Firewall-config圖形工具 運(yùn)行時配置/永久配置

重新加載防火墻 更改永久配置并生效

關(guān)聯(lián)網(wǎng)卡到指定區(qū)域

修改默認(rèn)區(qū)域

連接狀態(tài)

“區(qū)域”選項卡 “服務(wù)”子選項卡 “端口”子選項卡 “協(xié)議”子選項卡 “源端口”子選項卡, “偽裝”子選項卡 “端口轉(zhuǎn)發(fā)”子選項卡 "ICMP過濾器”子選項卡

"服務(wù)”選項卡 “模塊”子選項卡 “目標(biāo)地址”子選項卡
Firewall-cmd命令行工具

啟動、停止、查看 firewalld服務(wù)

systemctl start firewalld      //啟動 firewalld
systemctl enable firewalld     //設(shè)置 firewalld 為開機(jī)自啟動
systemctl status firewalld     //查看 firewalld 狀態(tài)信息
firewall-cmd --state           //查看 firewalld 狀態(tài)信息
systemctl stop firewalld       //停止 firewalld 
systemctl disable firewalld    //設(shè)置 firewalld 開機(jī)不自啟動

獲取預(yù)定義信息

firewall-cmd預(yù)定義信息主要包括三種：可用的區(qū)域、可用的服務(wù)以及可用的 ICMP阻塞類型

firewall-cmd --get-zones      //顯示預(yù)定義的區(qū)域 
firewall-cmd --get-service    //顯示預(yù)定義的服務(wù)
firewall-cmd --get-icmptypes  //顯示預(yù)定義的 ICMP 類型

firewall-cmd --get-icmptypes命令的執(zhí)行結(jié)果中各種阻塞類型的含義

destination-unreachable：目的地址不可達(dá)。

echo-reply：應(yīng)答回應(yīng)（pong）。

parameter-problem：參數(shù)問題。

redirect：重新定向。

router-advertisement：路由器通告。

router-solicitation：路由器征尋。

source-quench：源端抑制。

time-exceeded：超時。

timestamp-reply：時間戳應(yīng)答回應(yīng)。

timestamp-request：時間戳請求。

區(qū)域管理

使用 firewall-cmd命令可以實現(xiàn)獲取和管理區(qū)域，為指定區(qū)域綁定網(wǎng)絡(luò)接口等功能。 選項 說明 --get -default -zone 顯示網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域 --set -default -zone=<zone> 設(shè)置網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域 --get -active -zones 顯示已激活的所有區(qū)域 --get- zone -of -interface=<interface> 顯示指定接口綁定的區(qū)域 --zone=<zone> --add-interface=<interface> 為指定接口綁定區(qū)域 --zone=<zone> --change-interface=<interface> 為指定的區(qū)域更改綁定的網(wǎng)絡(luò)接口 --zone=<zone> --remove-interface=<interface> 為指定的區(qū)域刪除綁定的網(wǎng)絡(luò)接口 --list-all-zones 顯示所有區(qū)域及其規(guī)則 [--zone=<zone>] --list-a 顯示所有指定區(qū)域的所有規(guī)則，省略--zone=<zone>時表示僅 服務(wù)管理 firewalld預(yù)先定義了 很 多 服 務(wù) ，存放在/usr/lib/firewalld/services/目錄中，服務(wù)通過單個的 XML配置文件來指定，這些配置文件則按以下格式命名：service-name.xml，每個文件對應(yīng)一項具體的網(wǎng)絡(luò)服務(wù)，當(dāng)默認(rèn)提供的服務(wù)不適用或者需要自定義某項服務(wù)的端口時，我們需要將 service配置文件放置在 /etc/firewalld/services/目錄中。service配置優(yōu)點：通過服務(wù)名字來管理規(guī)則更加人性化、通過服務(wù)來組織端口分組的模式更加高效，如果一個服務(wù)使用了若干個網(wǎng)絡(luò)端口，則服 務(wù)的配置文件就相當(dāng)于提供了到這些端口的規(guī)則管理的批量操作快捷方式。 firewall-cmd命令區(qū)域中服務(wù)管理的常用選項說明： 選項 說明 [--zone=<zone>] --list-services 顯示指定區(qū)域內(nèi)允許訪問的所有服務(wù) [--zone=<zone>] --add-service=<service> 為指定區(qū)域設(shè)置允許訪問的某項服務(wù) [--zone=<zone>] --remove-service=<service> 刪除指定區(qū)域已設(shè)置的允許訪問的某項服務(wù) [--zone=<zone>] --list-ports 顯示指定區(qū)域內(nèi)允許訪問的所有端口號 [--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol> 為指定區(qū)域設(shè)置允許訪問的某個/某段端口號 （包括協(xié)議名） [--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocol> 刪除指定區(qū)域已設(shè)置的允許訪問的端口號（包括協(xié)議名） [--zone=<zone>] --list-icmp-blocks 顯示指定區(qū)域內(nèi)拒絕訪問的所有 ICMP類型 [--zone=<zone>] --add-icmp-block=<icmptype> 為指定區(qū)域設(shè)置拒絕訪問的某項 ICMP類型 [--zone=<zone>] --remove-icmp-block=<icmptype> 刪除指定區(qū)域已設(shè)置的拒絕訪問的某項 ICMP 類 型，省略--zone=<zone>時表示對默認(rèn)區(qū)域操作

端口管理

在進(jìn)行服務(wù)配置時，預(yù)定義的網(wǎng)絡(luò)服務(wù)可以使用服務(wù)名配置，服務(wù)所涉及的端口就會自 動打開。但是，對于非預(yù)定義的服務(wù)只能手動為指定的區(qū)域添加端口。

firewall-cmd --zone=internal --add-port=443/tcp      //再internal區(qū)域打開443端口
firewall-cmd --zone=internal --remove-port=443/tcp   //再internal區(qū)域禁用443端口

兩種配置模式 firewall-cmd命令工具有兩種配置模式：運(yùn)行時模式（Runtime mode）表示 當(dāng)前內(nèi)存中運(yùn)行的防火墻配置，在系統(tǒng)或 firewalld服務(wù)重啟、停止時配置將失效、永久模 式（Permanent mode）表示重啟防火墻或重新加載防火墻時的規(guī)則配置，是永久存儲在配置 文件中的。 firewall-cmd命令工具與配置模式相關(guān)的選項有三個： 選項 說明 --reload 重新加載防火墻規(guī)則并保持狀態(tài)信息，即將永久配置應(yīng)用為運(yùn)行時配置 --permanent 帶有此選項的命令用于設(shè)置永久性規(guī)則，這些規(guī)則只有在重新啟動 firewalld 或重新加載防火墻規(guī)則時才會生效；若不帶有此選項，表示用于設(shè)置運(yùn)行時規(guī)則 --runtime-to-permanent 將當(dāng)前的運(yùn)行時配置寫入規(guī)則配置文件中，使之成為永久性 /etc/firewalld/中的配置文件 Firewalld會優(yōu)先使用/etc/firewalld/中的配置，如果不存在配置文件，則使用/usr/lib/firewalld/中的配置 /etc/firewalld/：用戶自定義配置文件，需要時可以通過從/usr/lib/firewalld/中拷貝 /usr/lib/firewalld/：默認(rèn)配置文件，不建議修改，若恢復(fù)至默認(rèn)配置，可直接刪除/etc/firewalld/中的配置

本文名稱：詳述CentOS7中Firewalld防火墻基礎(chǔ)
網(wǎng)頁網(wǎng)址：http://www.rwnh.cn/article46/cgjdeg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站策劃、品牌網(wǎng)站制作、做網(wǎng)站、網(wǎng)站收錄、網(wǎng)站設(shè)計公司、外貿(mào)網(wǎng)站建設(shè)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)