支持網(wǎng)絡(luò)區(qū)域所定義的網(wǎng)絡(luò)鏈接以及接口安全等級(jí)的動(dòng)態(tài)防火墻管理工具,支持IPv4、IPv6防火 墻設(shè)置以及以太網(wǎng)橋,支持服務(wù)或應(yīng)用程序直接添加防火墻規(guī)則接口。
成都創(chuàng)新互聯(lián)是一家專業(yè)提供廣信企業(yè)網(wǎng)站建設(shè),專注與成都網(wǎng)站制作、做網(wǎng)站、外貿(mào)營(yíng)銷網(wǎng)站建設(shè)、H5場(chǎng)景定制、小程序制作等業(yè)務(wù)。10年已為廣信眾多企業(yè)、政府機(jī)構(gòu)等服務(wù)。創(chuàng)新互聯(lián)專業(yè)網(wǎng)絡(luò)公司優(yōu)惠進(jìn)行中。1.運(yùn)行時(shí)配置
2.永久配置
位于Linux內(nèi)核中的包過(guò)濾功能體系稱為L(zhǎng)inux防火墻的“內(nèi)核態(tài)”
CentOS7默認(rèn)的管理防火墻規(guī)則的工具(Firewalld)稱為L(zhǎng)inux防火墻的“用戶態(tài)”
Firewalld | iptables | |
---|---|---|
配置文件 | /us/ib/firewalld/、 /etc/sysconfig/iptables | /etc/firewalld/ |
對(duì)規(guī)則的修改 | 不需要全部刷新策略,不丟失現(xiàn)行連接 | 需要全部刷新策略,丟失連接 |
防火墻類型 | 動(dòng)態(tài)防火墻 | 靜態(tài)防火墻 |
區(qū)域 | 描述 |
---|---|
drop (丟棄) | 任何接收的網(wǎng)絡(luò)數(shù)據(jù)包都被丟棄,沒(méi)有任何回復(fù)。僅能有發(fā)送出去的網(wǎng)絡(luò)連接 |
block (限制) | 任何接收的網(wǎng)絡(luò)連接都被IPv4的icmp-host-prohibited信息和IPv6的icmp6-adm-prohibited信息所拒絕 |
public (公共) | 在公共區(qū)域內(nèi)使用,不能相信網(wǎng)絡(luò)內(nèi)的其他計(jì)算機(jī)不會(huì)對(duì)您的計(jì)算機(jī)造成危害,只能接收經(jīng)過(guò)選取的連接 |
external (外部) | 特別是為路由器啟用了偽裝功能的外部網(wǎng)。您不能信任來(lái)自網(wǎng)絡(luò)的其他計(jì)算,不能相信它們不會(huì)對(duì)您的計(jì)算機(jī)造成危害,只能接收經(jīng)過(guò)選擇的連接 |
dmz (非軍事區(qū)) | 用于您的非軍事區(qū)內(nèi)的電腦,此區(qū)域內(nèi)可公開(kāi)訪問(wèn),可以有限地進(jìn)入您的內(nèi)部網(wǎng)絡(luò),僅僅接收經(jīng)過(guò)選擇的連接 |
work (工作) | 用于工作區(qū)。您可以基本相信網(wǎng)絡(luò)內(nèi)的其他電腦不會(huì)危害您的電腦。僅僅接收經(jīng)過(guò)選擇的連接 |
home (家庭) | 用于家庭網(wǎng)絡(luò)。您可以基本信任網(wǎng)絡(luò)內(nèi)的其他計(jì)算機(jī)不會(huì)危害您的計(jì)算機(jī)。僅僅接收經(jīng)過(guò)選擇的連接 |
internal (內(nèi)部) | 用于內(nèi)部網(wǎng)絡(luò)。您可以基本上信任網(wǎng)絡(luò)內(nèi)的其他計(jì)算機(jī)不會(huì)威脅您的計(jì)算機(jī)。僅僅接受經(jīng)過(guò)選擇的連接 |
trusted (信任) | 可接受所有的網(wǎng)絡(luò)連接 |
檢查數(shù)據(jù)來(lái)源的源地址
Firewalld會(huì)優(yōu)先使用/etc/firewalld/中的配置,如果不存在配置文件,則使用/usr/lib/firewalld/中的配置
輸入"firewall-config"命令,進(jìn)入圖形工具。
當(dāng)我們配置完畢后,需要重載防火墻才能才能生效,在重載防火墻前一定要將Runtime設(shè)定為永久配置,不然之前配置的運(yùn)行時(shí)配置會(huì)直接刪除,如果你配的就是永久,直接重載即可。
我們可以選擇配置防火墻規(guī)則的網(wǎng)卡、接口等,同時(shí)也能根據(jù)服務(wù)、端口、協(xié)議等進(jìn)行訪問(wèn)限制。圖形工具簡(jiǎn)潔方便,就不多做介紹了。
(1)啟動(dòng)、停止、查看 firewalld 服務(wù)
在安裝 CentOS7 系統(tǒng)時(shí),會(huì)自動(dòng)安裝 firewalld 和圖形化工具 firewall-config。執(zhí)行 以下命令可以啟動(dòng) firewalld 并設(shè)置為開(kāi)機(jī)自啟動(dòng)狀態(tài)。
[root@localhost ~]# systemctl start firewalld //啟動(dòng) firewalld
[root@localhost ~]# systemctl enable firewalld //設(shè)置 firewalld 為開(kāi)機(jī)自啟動(dòng)
如果 firewalld 正在運(yùn)行,通過(guò) systemctl status firewalld 或 firewall-cmd 命令可以查看其運(yùn)行狀態(tài)。
[root@localhost ~]# systemctl status firewalld //查看狀態(tài)
● firewalld.service - firewalld - dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
Active: active (running) since 一 2019-10-14 10:04:49 CST; 5h 59min ago
Docs: man:firewalld(1)
Main PID: 633 (firewalld)
CGroup: /system.slice/firewalld.service
└─633 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid
10月 14 10:04:45 localhost.localdomain systemd[1]: Starting firewalld - dynamic fi....
10月 14 10:04:49 localhost.localdomain systemd[1]: Started firewalld - dynamic fir....
10月 14 10:04:49 localhost.localdomain firewalld[633]: WARNING: ICMP type 'beyond-....
10月 14 10:04:49 localhost.localdomain firewalld[633]: WARNING: beyond-scope: INVA....
10月 14 10:04:49 localhost.localdomain firewalld[633]: WARNING: ICMP type 'failed-....
10月 14 10:04:49 localhost.localdomain firewalld[633]: WARNING: failed-policy: INV....
10月 14 10:04:49 localhost.localdomain firewalld[633]: WARNING: ICMP type 'reject-....
10月 14 10:04:49 localhost.localdomain firewalld[633]: WARNING: reject-route: INVA....
Hint: Some lines were ellipsized, use -l to show in full.
[root@localhost ~]# firewall-cmd --state //查看狀態(tài)
running
[root@localhost ~]#
如果想要禁用 firewalld,執(zhí)行以下命令即可實(shí)現(xiàn)。
[root@localhost ~]# systemctl stop firewalld //停止 firewalld
[root@localhost ~]#systemctl disable firewalld //設(shè)置 firewalld 開(kāi)機(jī)不自啟動(dòng)
(2)獲取預(yù)定義信息
firewall-cmd 預(yù)定義信息主要包括三種:可用的區(qū)域、可用的服務(wù)以及可用的 ICMP 阻塞類型,具體的查看命令如下所示。
[root@localhost ~]# firewall-cmd --get-zones //顯示預(yù)定義的區(qū)域
block dmz drop external home internal public trusted work
[root@localhost ~]# firewall-cmd --get-services //顯示預(yù)定義的服務(wù)
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp open*** ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
[root@localhost ~]# firewall-cmd --get-icmptypes //顯示預(yù)定義的 ICMP 類型
address-unreachable bad-header communication-prohibited destination-unreachable echo-reply echo-request fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisement neighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachable precedence-cutoff protocol-unreachable redirect required-option-missing router-advertisement router-solicitation source-quench source-route-failed time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option
[root@localhost ~]#
firewall-cmd --get-icmptypes 命令的執(zhí)行結(jié)果中各種阻塞類型的含義分別如下所示:
destination-unreachable:目的地址不可達(dá)
echo-reply:應(yīng)答回應(yīng)(pong)
parameter-problem:參數(shù)問(wèn)題
redirect:重新定向
router-advertisement:路由器通告
router-solicitation:路由器征尋
source-quench:源端抑制
time-exceeded:超時(shí)
timestamp-reply:時(shí)間戳應(yīng)答回應(yīng)
timestamp-request:時(shí)間戳請(qǐng)求
(3)區(qū)域管理
使用 firewall-cmd 命令可以實(shí)現(xiàn)獲取和管理區(qū)域,為指定區(qū)域綁定網(wǎng)絡(luò)接口等功能。
選項(xiàng)說(shuō)明:
--get-default-zone 顯示網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域
--set-default-zone=<zone> 設(shè)置網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域
--get-active-zones 顯示已激活的所有區(qū)域
--get-zone-of-interface=<interface> 顯示指定接口綁定的區(qū)域
--zone=<zone> --add-interface=<interface> 為指定接口綁定區(qū)域
--zone=<zone> --change-interface=<interface> 為指定的區(qū)域更改綁定的網(wǎng)絡(luò)接口
--zone=<zone> --remove-interface=<interface> 為指定的區(qū)域刪除綁定的網(wǎng)絡(luò)接口
--list-all-zones 顯示所有區(qū)域及其規(guī)則
[--zone=<zone>] --list-all 顯示所有指定區(qū)域的所有規(guī)則,省略--zone=<zone>時(shí)表示僅對(duì)默認(rèn)區(qū)域操作
具體操作如下所示:
[root@localhost ~]# firewall-cmd --get-default-zone
public
[root@localhost ~]#
[root@localhost ~]# firewall-cmd --list-all
public (active)
target: default
icmp-block-inversion: no
interfaces: ens33
sources:
services: ssh dhcpv6-client
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
[root@localhost ~]#
[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33
public
[root@localhost ~]#
[root@localhost ~]# firewall-cmd --zone=internal --change-interface=ens33
The interface is under control of NetworkManager, setting zone to 'internal'.
success
[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33
internal
[root@localhost ~]# firewall-cmd --zone=internal --list-interfaces
ens33
[root@localhost ~]#
[root@localhost ~]# firewall-cmd --get-active-zones
internal
interfaces: ens33
[root@localhost ~]#
(4)服務(wù)管理
為 了 方 便 管 理 , firewalld 預(yù) 先 定 義 了 很 多 服 務(wù) , 存 放 在 /usr/lib/firewalld/services/ 目錄中,服務(wù)通過(guò)單個(gè)的 XML 配置文件來(lái)指定。這些配置文件則按以下格式命名:service-name.xml,每個(gè)文件對(duì)應(yīng)一項(xiàng)具體的網(wǎng)絡(luò)服務(wù),如 ssh 服 務(wù)等。
選項(xiàng)說(shuō)明:
[--zone=<zone>] --list-services 顯示指定區(qū)域內(nèi)允許訪問(wèn)的所有服務(wù)
[--zone=<zone>] --add-service=<service> 為指定區(qū)域設(shè)置允許訪問(wèn)的某項(xiàng)服務(wù)
[--zone=<zone>] --remove-service=<service> 刪除指定區(qū)域已設(shè)置的允許訪問(wèn)的某項(xiàng)服務(wù)
[--zone=<zone>] --list-ports 顯示指定區(qū)域內(nèi)允許訪問(wèn)的所有端口號(hào)
[--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol> 為指定區(qū)域設(shè)置允許訪問(wèn)的某個(gè)/某段端口號(hào) (包括協(xié)議名)
[--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocol> 刪除指定區(qū)域已設(shè)置的允許訪問(wèn)的端口號(hào)(包括協(xié)議名)
[--zone=<zone>] --list-icmp-blocks 顯示指定區(qū)域內(nèi)拒絕訪問(wèn)的所有 ICMP 類型
[--zone=<zone>] --add-icmp-block=<icmptype> 為指定區(qū)域設(shè)置拒絕訪問(wèn)的某項(xiàng) ICMP 類型
[--zone=<zone>] --remove-icmp-block=<icmptype> 刪除指定區(qū)域已設(shè)置的拒絕訪問(wèn)的某項(xiàng) ICMP 類型,省略--zone=<zone>時(shí)表示對(duì)默認(rèn)區(qū)域操作
具體操作如下所示:
[root@localhost ~]# firewall-cmd --list-services //顯示默認(rèn)區(qū)域內(nèi)允許訪問(wèn)的所有服務(wù)
ssh dhcpv6-client
[root@localhost ~]# firewall-cmd --add-service=http //設(shè)置默認(rèn)區(qū)域允許訪問(wèn) http 服務(wù)
success
[root@localhost ~]# firewall-cmd --add-service=https //設(shè)置默認(rèn)區(qū)域允許訪問(wèn) https 服務(wù)
success
[root@localhost ~]# firewall-cmd --list-services //顯示默認(rèn)區(qū)域內(nèi)允許訪問(wèn)的所有服務(wù)
ssh dhcpv6-client http https
[root@localhost ~]#
[root@localhost ~]# firewall-cmd --zone=internal --add-service=mysql //設(shè)置 internal 區(qū)域允許訪問(wèn) mysql 服務(wù)
success
[root@localhost ~]# firewall-cmd --zone=internal --remove-service=samba-client //設(shè)置 internal 區(qū)域不允許訪問(wèn) samba-client 服務(wù)
success
[root@localhost ~]# firewall-cmd --zone=internal --list-services //顯示 internal 區(qū)域內(nèi)允許訪問(wèn)的所有服務(wù)
ssh mdns dhcpv6-client mysql
[root@localhost ~]#
(5)端口管理
在進(jìn)行服務(wù)配置時(shí),預(yù)定義的網(wǎng)絡(luò)服務(wù)可以使用服務(wù)名配置,服務(wù)所涉及的端口就會(huì)自 動(dòng)打開(kāi)。但是,對(duì)于非預(yù)定義的服務(wù)只能手動(dòng)為指定的區(qū)域添加端口。例如,執(zhí)行以下操作 即可實(shí)現(xiàn)在 internal 區(qū)域打開(kāi) 443/TCP 端口。
[root@localhost ~]# firewall-cmd --zone=internal --add-port=443/tcp
success
[root@localhost ~]#
若想實(shí)現(xiàn)在 internal 區(qū)域禁止 443/TCP 端口訪問(wèn),可執(zhí)行以下命令。
[root@localhost ~]# firewall-cmd --zone=internal --remove-port=443/tcp
success
[root@localhost ~]#
(6)兩種配置模式
前面提到 firewall-cmd 命令工具有兩種配置模式:運(yùn)行時(shí)模式(Runtime mode)表示 當(dāng)前內(nèi)存中運(yùn)行的防火墻配置,在系統(tǒng)或 firewalld 服務(wù)重啟、停止時(shí)配置將失效;永久模 式(Permanent mode)表示重啟防火墻或重新加載防火墻時(shí)的規(guī)則配置,是永久存儲(chǔ)在配置 文件中的。
firewall-cmd 命令工具與配置模式相關(guān)的選項(xiàng)有三個(gè):
--reload:重新加載防火墻規(guī)則并保持狀態(tài)信息,即將永久配置應(yīng)用為運(yùn)行時(shí)配置
--permanent:帶有此選項(xiàng)的命令用于設(shè)置永久性規(guī)則,這些規(guī)則只有在重新啟動(dòng)firewalld 或重新加載防火墻規(guī)則時(shí)才會(huì)生效;若不帶有此選項(xiàng),表示用于設(shè)置運(yùn)行時(shí) 規(guī)則。
--runtime-to-permanent:將當(dāng)前的運(yùn)行時(shí)配置寫(xiě)入規(guī)則配置文件中,使之成為永久性
選項(xiàng) | 說(shuō)明 |
---|---|
--get-default-zone | 顯示網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域 |
--set-default-zone= <zone> | 設(shè)置網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域 |
--get-active -zones | 顯示已激活的所有區(qū)域 |
--get-zone-of-interface= <interface> | 顯示指定接口綁定的區(qū)域 |
--zone= <zone> --add-interface= <interface> | 為指定接口綁定區(qū)域 |
--zone= <zone> --change-interface= <interface> | 為指定的區(qū)域更改綁定的網(wǎng)絡(luò)接口 |
--zone= <zone> --remove-interface= <interface> | 為指定的區(qū)域刪除綁定的網(wǎng)絡(luò)接口 |
--query-interface= <interface> | 查詢區(qū)域中是否包含某接口 |
--list-all-zones | 顯示所有區(qū)域及其規(guī)則 |
[--zone= <zone>] --list-all | 顯示所有指定區(qū)域的所有規(guī)則 |
[--zone= <zone>] --list-services | 顯示指定區(qū)域內(nèi)允許訪問(wèn)的所有服務(wù) |
[--zone= <zone>] --add-service= <service> | 為指定區(qū)域設(shè)置允許訪問(wèn)的某項(xiàng)服務(wù) |
[--zone= <zone>] --remove-service= <service> | 刪除指定區(qū)域已設(shè)置的允許訪問(wèn)的某項(xiàng)服務(wù) |
[--zone= <zone>] --query-service= <service> | 查詢指定區(qū)域中是否啟用了某項(xiàng)服務(wù) |
[--zone= <zone>] --list-ports | 顯示指定區(qū)域內(nèi)允許訪問(wèn)的所有端口號(hào) |
[--zone= <zone>] --add-port= <port>[-<port> ]/ <protocol> [--timeout= <seconds>] | 啟用區(qū)域端口和協(xié)議組合,可選配置超時(shí)時(shí)間 |
[--zone= <zone>] --remove-port= <port>[-<port>]/<protocol> | 禁用區(qū)域端口和協(xié)議組合 |
[--zone= <zone>] --query-port=<port>[-<port> ]/<protocol> | 查詢區(qū)域中是否啟用了端口和協(xié)議組合 |
[--zone= <zone>] --list-icmp-blocks | 顯示指定區(qū)域內(nèi)阻塞的所有ICMP類型 |
[--zone= <zone>] --add-icmp-block= <icmptype> | 為指定區(qū)域設(shè)置阻塞的某項(xiàng)ICMP類型 |
[--zone= <zone>] --remove-icmp-block= <icmptype> | 刪除指定區(qū)域已阻塞的某項(xiàng)ICMP類型 |
[--zone= <zone>] --query-icmp-block= <icmptype> | 查詢指定區(qū)域的ICMP阻塞功能 |
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn,海內(nèi)外云服務(wù)器15元起步,三天無(wú)理由+7*72小時(shí)售后在線,公司持有idc許可證,提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案,具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì),專為企業(yè)上云打造定制,能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。
分享名稱:CentOS7系統(tǒng)的Firewalld防火墻基礎(chǔ)詳解-創(chuàng)新互聯(lián)
本文來(lái)源:http://www.rwnh.cn/article8/ccijip.html
成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供云服務(wù)器、外貿(mào)網(wǎng)站建設(shè)、營(yíng)銷型網(wǎng)站建設(shè)、網(wǎng)站策劃、用戶體驗(yàn)、虛擬主機(jī)
聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請(qǐng)盡快告知,我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng),如需處理請(qǐng)聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時(shí)需注明來(lái)源: 創(chuàng)新互聯(lián)
猜你還喜歡下面的內(nèi)容