Linux-Centos7防火墙配置
文章目录
- Firewalld
- 区域名称及策略规则
- firewalld-cmd命令
- Iptables
- 策略与规则链
- 基本命令参数
- 配置示例
- 命令配置
- 编辑防火墙配置文件
关于防火墙管理工具，RHEL7之前使用iptables，7之后使用firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器），二者都不是真正的防火墙，都只是用来定义防火墙策略的防火墙管理工具，真正的防火墙需要通过内核层面来实现。
目前对于防火墙只是处于入门阶段，随着理解的深入再逐渐完善本文，目前仅做工作记录。
Firewalld
RHEL7默认的防火墙管理工具，新特性：
- 动态更新技术
- 加入区域(zone)管理
区域名称及策略规则
区域 默认规则策略
trusted 允许所有的数据包
home 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
internal 等同于home区域
work 拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block 拒绝流入的流量，除非与流出的流量相关
drop 拒绝流入的流量，除非与流出的流量相关
firewalld-cmd命令
firewalld-cmd命令中使用的参数以及作用
参数 作用
--get-default-zone 查询默认的区域名称
--set-default-zone=<区域名称> 设置默认的区域，使其永久生效
--get-zones 显示可用的区域
--get-services 显示预先定义的服务
--get-active-zones 显示当前正在使用的区域与网卡名称
--remove-source= 将源自此IP或子网的流量导向指定的区域
--remove-source= 不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称> 将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称> 将某个网卡与区域进行关联
--list-all 显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service=<服务名> 设置默认区域允许该服务的流量
--add-port=<端口号/协议> 设置默认区域允许该端口的流量
--remove-service=<服务名> 设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量
--reload 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
--panic-on 开启应急状况模式
--panic-off 关闭应急状况模式
常用命令：
systemctl status firewalld.service 查看firewalld状态
systemctl start firewalld.service 开启firewalld
systemctl stop firewalld.service 关闭firewalld
firewall-cmd --zone=public --add-port=80/tcp --permanent 永久添加指定端口
firewall-cmd --zone=public --remove-port=8080/tcp --permanent 永久移除指定端口
firewall-cmd --query-port=3306/tcp 查看端口是否被开放，返回yes/no
firewall-cmd --list-all 查看所有开放的端口
systemctl enable firewalld.service 开启自启
systemctl disable firewalld.service 禁止开机自启
systemctl is-enabled firewalld.service 查看是否开机自启
firewall-cmd --reload 更新防火墙规则（立即生效，永久添加时需要reload）
另外，查看已经开放的端口，也可以直接到/etc/firewalld/zones/目录下去查看指定文件，例如查看对外公开的防火墙端口：
vim /etc/firewalld/zones/public.xml
Iptables
早期Linux系统的默认防火墙管理工具。
策略与规则链
按照从上至下的顺序来读取配置进行匹配，找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（放行或阻止）如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。规则：放行 与 阻止。
iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：
在进行路由选择前处理数据包（PREROUTING）
处理流入的数据包（INPUT）
处理流出的数据包（OUTPUT）
处理转发的数据包（FORWARD）
在进行路由选择后处理数据包（POSTROUTING）
使用最多的是INPUT规则链，即默认阻止，自定义放行规则。
处理方式：
ACCEPT（允许流量通过）
REJECT（拒绝流量通过，拒绝并回复）
LOG（记录日志信息）
DROP（拒绝流量通过，默默拒绝不回复）
基本命令参数
参数 作用
-P 设置默认策略
-F 清空规则链
-L 查看规则链
-A 在规则链的末尾加入新规则
-I num 在规则链的头部加入新规则
-D num 删除某一条规则
-s 匹配来源地址IP/MASK，加叹号“!”表示除这个IP外
-d 匹配目标地址
-i 网卡名称 匹配从这块网卡流入的数据
-o 网卡名称 匹配从这块网卡流出的数据
-p 匹配协议，如TCP、UDP、ICMP
--dport num 匹配目标端口号
--sport num 匹配来源端口号
配置示例
命令配置
iptables -L 查看已有的防火墙规则链
iptables -F 清空已有的防火墙规则链
iptables -P INPUT DROP 设置默认的规则链
iptables -I INPUT -p icmp -j ACCEPT 添加允许ICMP流量进入的策略规则
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT 只允许指定网段的主机访问本机22端口
iptables -A INPUT -p tcp --dport 22 -j REJECT 拒绝其他所有主机流量访问22端口
iptables -I INPUT -p tcp --dport 12345 -j REJECT 拒绝所有人以TCP协议访问本机12345端口的策略规则
iptables -I INPUT -p udp --dport 12345 -j REJECT 拒绝所有人以UDP协议访问本机12345端口的策略规则
iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT 拒绝192.168.10.5主机访问本机80端口
注意：通过命令行配置的防火墙规则，系统重启后会失效，永久生效需要执行保存命令：
service iptables save
编辑防火墙配置文件
打开防火墙配置文件
vim /etc/sysconfig/iptables
文件内容如下：
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
注意：
1.匹配规则是从上至下，因此要把允许策略放在上面，拒绝策略放在下面。
2.必须重启防火墙，新的配置才能生效
service iptables restart
(完)
参考链接：
https://www.linuxprobe.com/chapter-08.html （推荐）
https://www.linuxidc.com/Linux/2017-03/141434.htm
http://blog.csdn.net/xlgen157387/article/details/52672988
http://blog.csdn.net/sunny05296/article/details/66004445 firewall命令