一.firewalld简介

 

        动态防火墙后台程序提供了一个动态管理的防火墙，用以支持网络“zone”，以分配对一个网络及其相关链接和界面一定程度上的信任。它具备对IPV4和 IPV6防火墙设置的支持。它支持以太网桥，并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。

 

        系统提供了图像化的配置工具firewall-config、system-config-firewall，提供命令行客户端firewall- cmd，用于配置firewalld永久性运行时间的改变：它依次用iptables工具与执行数据包筛选的内核中的Netfilter通信。

 

firewalld和iptables service之间最本质的不同是：

 

        1）iptables service在/etc/sysconfig/iptables中存储配置，而firewalld将配置存储在/usr/lib/firewalld/和 /etc/firewalld/ 中的各种XML文件里。

 

        2）使用iptables service每一个单独更改意味着清楚所有旧的规则和从 /etc/sysconfig/iptables 里读取所有新的规则，然而使用firewalld却不会创建任何新的规则；仅仅运行规则中的不同之处。此，firewalld可以在运行时间内，改变设置而不丢失现行连接。

 

二.配置参数

1.firewalld的网络“zone”

firewall-cmd --get-zones                                   查看可用区域

 

firewall-cmd --state                                           查看firewalld的状态

 

firewall-cmd --get-default-zone                       查看当前默认活动的区域

 

firewall-cmd --get-default-zone=trusted         修改默认区域为trusted，可以接受任何连接

 

2.firewall-cmd --get-default-zone=trusted         修改默认区域为trusted，可以接受任何连接

 

3.firewall-cmd --list-all                      查看防火墙策略

 

   firewall-cmd --add-service=http   防火墙添加通过http服务

 

   firewall-cmd --reload                      重新加载

 

4.使用配置文件添加防火墙通过服务

编辑/etcfirewalld/zones/public.xml

 

5.设置防火墙通过8080端口

 

测试前修改http默认访问端口，无法浏览

添加8080端口后可以访问

 

6.允许172.25.254.224主机访问任何连接，将172.25.254.224添加到trusted域中

 

7.删除添加的服务

 

三.Direct Rules

 

        通过firewall-cmd工具，可以使用  --direct选项在运行时间里增加或者移除链。如果不熟悉iptables，使用直接接口非常危险，因为泥坑无意间导致防火墙被***。直接端口模式，适用于服务或者程序，以便在运行时间内增加特定的防火墙规则。直接端口模式添加的规则优先应用。

 

1.firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 ! -s 172.25.254.224 -p tcp --dport 22 -j ACCEPT

除了224主机22端口不能访问，其他主机22端口都可访问

测试224主机，显示无法访问，别的主机可以

 

2.firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -s 172.25.254.224 -p tcp --dport 80 -j REJECT   

除了224主机80端口不能访问，其他主机80端口都可访问

 

3.删除第二条策略

 

四.不同网卡接口的访问设置

 

 

1.eth0和eth1都属于public域

2.将eth1网口从public域调整到trusted域中

3.与eth0连接的网段无法访问服务，因为有public域的限制

4.与eth1连接的网段可以访问服务，因为eth1在trusted域

 

五.Rich Rules

 

        通过“rich language”语法，可以用比直接接口方式更易理解的方法建立复杂防火墙规则。此外，还能永久保留设置。这种语言使用关键词值，是iptables工具的抽象表示，这种语言可以用来配置分区，也仍然支持现行的配置方式。

 

 

环境配置

 

服务端两块网卡   eth0 172.25.254.124

 

                               eth1 172.25.0.124

 

客户端IP 172.25.0.224

 

真机         172.25.254.24

 

 

服务端firewall-cmd --add-masqueeade                        开启地址伪装

 

 

1.端口转换 真机到客户端

 

将从172.25.254.24的22端口 伪装为172.25.0.224的22端口

测试，从真机进入到服务端128，显示的网卡为172.25.0.224

 

2.地址伪装   客户机到真机

 

将从客户传过来的数据伪装为172.25.254.124端口的源数据

 

ifconfig查看

 

六.允许非系统端口的服务通过防火墙（httpd服务修改端口为例）

 

 

1.防火墙通过http

 

 

2.修改http的端口为6666

 

3.添加系统http默认端口

由于修改后无法重启服务

 

原因是系统默认允许的http端口没有6666

 

添加6666端口到http的默认端口列表中

 

重启服务成功

 

4.访问http6666端口成功