firewalld

一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统。按照给定的规则，允许或者限制网络报文通过。
硬件防⽕墙：通过硬件和软件的组合，基于硬件的防⽕墙保护整个内部网络安全。（例如 华为E9000）
软件防⽕墙：通过纯软件，单独使⽤软件系统来完成防⽕墙功能，保护安装它的系统。
iptables是Linux系统的防火墙， IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。

netfilter
属于的“内核态”（Kernel Space， 又称为内核空间）的防火墙功能体系。
是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。
iptables
属于“用户态”（User Space，又称为用户空间）的防火墙管理体系。
是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。

表名                        作用                    
raw                     确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle              修改数据包内容，用来做流量整形，给数据包设置标记。包含五个规则链，INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING
nat                      负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、 PREROUTING、 POSTROUTING
filter                   负责过滤数据包，确定是否放行该数据包(过滤)。包含三个规则链，INPUT、 FORWARD、 OUTPUT

链名                       作用                     
INPUT                  处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT               处理出站数据包，一般不在此链上做配置。
FORWARD            处理转发数据包，匹配流经本机的数据包。
PREROUTING        在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。POSTROUTING      在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

规则表之间的优先顺序：
数据包到达防火墙时，规则表之间的优先顺序：raw >mangle > nat > filter

规则链之间的匹配顺序
主机型防火墙:
入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT -->本机的应用程序
出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序---->OUTPUT ----->POSTROUTING
网络型防火墙：
转发数据（需要经过防火墙转发的数据包)：PREROUTING -->FORWARD -->POSTROUTING

内核中数据包的传输过程
当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
如果数据包是进入本机的，数据包就会到达INPUT链。数据包到达INPUT链后， 任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后返回给发送方。
如果数据包是要转发出去的，且内核允许转发，数据包就会经过FORWARD链，然后到达POSTROUTING链输出。

iptables的安装和规则配置
Centos 7默认使用firewalld防火墙，没有安装iptables， 若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables 。
iptables的配置方法
使用iptables命令行。
使用图形化管理工具system- config- firewall
使用iptables命令行配置规则
iptables  [-t 表名]  管理选项  [链名]  [匹配条件] [-j 控制类型]
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
控制类型使用大写字母，其余均为小写

控制类型                     作用
ACCEPT                    允许数据包通过(默认)
DROP                        直接丢弃数据包，不给出任何回应信息
REJECT                      拒绝数据包通过，会给数据发送端一个响应信息
SNAT                         修改数据包的源地址
DNAT                        修改数据包的目的地址
MASQUERADE          伪装成一个非固定公网IP地址
LOG                           在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

管理选项                   作用
-A                         在指定链的末尾追加(--append)一条新的规则
-I                         （大写i）在指定链的开头插入(--insert)一条新的规则，未指定序号时默认作为第一条规则
-R                           修改、替换(--replace) 指定链中的某一条规则，可指定规则序号或具体内容
-P                           设置指定链的默认策略(--policy)
-D                           删除(--delete) 指定链中的某一条规则，可指定规则序号或具体内容
-F                            清空(--flush)指定链中的所有规则，若未指定链名，则清空表中的所有链
-L                            列出(--list) 指定链中所有的规则，若未指定链名，则列出表中的所有链
-n                            使用数字形式(--numeric) 显示输出结果，如显示IP地址而不是主机名
-v                             显示详细信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers        查看规则时，显示规则的序号

匹配条件    说明
-p    指定要匹配的数据包的协议类型
-s    指定要匹配的数据包的源IP地址
-d    指定要匹配的数据包的目的IP地址
-i    指定数据包进入本机的网络接口
-o    指定数据包离开本机做使用的网络接口
–sport    指定源端口号
–dport    指定目的端口号

查看规则 -nL
iptables -nL 

添加规则 -A -I
iptables -t filter -A INPUT -p icmp -j REJECT

删除规则 -D
按序号删除，比较准确
按内容删除，如果有2条相同内容，会删除序号小的那个

修改规则
-R 直接修改。但一般不用这种形式
可以先添加一条新规则，之后再删除旧规则。这样比较保险

设置默认策略 -P
iptables -P INPUT DROP

匹配条件
 通用匹配
协议匹配                       -p 协议名
地址匹配                      -s 源地址、-d 目的地址 。可以是IP、网段、域名、空(任何地址)
接口匹配                      -i 入站网卡、-o 出站网卡

! 取反时需要注意。

隐含匹配
要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类 型等条件
端口匹配
格式                    含义
--sport 1000    匹配源端口是1000的数据包
--sport 1000:3000    匹配源端口是1000-3000的数据包
--sport 1000:    匹配源端口是1000及以上的数据包
--sport :3000    匹配源端口是3000及以下的数据包

ICMP类型                                  含义
Echo-Request （代码为8）    表示请求
Echo- -Reply （代码为0）    表示回显
Dest ination-Unreachable （代码为3）    表示目标不可达

显示匹配
要求以“-m扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件
多端口匹配
-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表
 IP范围匹配
-m iprange --src-range 源IP范围
-m iprange --dst-range 目的IP范围
MAC地址匹配
 -m mac -- -mac- source MAC地址 
状态匹配
 -m state --state连接状态
状态                  含义
NEW               主机连接目标主机,在目标主机上看到的第一个想要连接的包
ESTABLISHED  主机已与目标主机进行通信,判断标准只要目标主机回应了第一个包,就进入该状态
RELATED          主机已与目标主机进行通信,目标主机发起新的链接方式，一般与ESTABLISHED     配合使用
INVALID            无效的封包,例如数据破损的封包状态

总结
1、Linux防火墙的两个组件：

内核态 netilter（保存包过滤处理的规则集）
用户态 iptables（防火墙规则管理工具）

2、数据包五要素：
源IP，目的IP，源端口，目的端口 ，协议UDP/TCP

3、四表：

raw 对数据包进行状态跟踪
mangle 修改数据包内容，给数据包设置标记
nat 地址转换，转换源/目的IP或者端口
fileter 过滤数据包 放行 丢弃

4、五链：

INPUT 入站
OUTPUT 出站
FORWARD 转发
PREROUTING 路由前修改目的地址
POSTROUTING 路由后修改源IP

5、匹配顺序
1）数据包到达防火墙时，规则表之间的优先顺序：raw >mangle > nat > filter。
2）规则链之间的匹配顺序：
主机型防火墙

入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT -->本机的应用程序
出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序---->OUTPUT ----->POSTROUTING；

网络型防火墙

转发数据（需要经过防火墙转发的数据包)：PREROUTING -->FORWARD -->POSTROUTING

3）链中的规则集：从上往下一次匹配，匹配到规则即停止，若都没有匹配到则按默认策略处理

6、管理选项
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

增：-A 在末尾添加，-I 在指定位置插入
删：-D 删除指定规则，-F 清空所有规则
改：-R，或者-A 添加后 -D 删除
查：-nL 以数字形式显示，--line-numbers 显示规则的序号
设置默认规则：-P

注意：
删除规则前，以及将默认规则修改为DROP之前，一定要先想清楚会不会导致ssh断连。

7、 匹配条件

-p tcp|udp|icmp
-s 源IP
-d 目的IP
-i 入站网卡
-o 出站网卡

systemctl disable --now firewalld   //设置firwalld开机不自启，且现在就关闭
yum install -y iptables iptables-services //安装iptables 和 iptables-services
systemctl start iptables   安装完后启动服务
新建目录：/var/www/html
 cd /var/www/html        //切换目录
 cd /var/www/html        //切换目录
mount /dev/sr0 ./centos7    //将光驱挂载到centos7目录下
iptables -nL --line-numbers   //显示规则的序号
iptables -D INPUT 2  //删除INPUT链中的第2条规则

Firewalld防火墙
firewalld防火墙是centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙。
支持IPv4、IPv6防火墙设置以及以太网桥
支持服务或应用程序直接添加防火墙规则接口
拥有两种配置模式：临时模式、永久模式

firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统（属于内核态）来实现包过滤防火墙功能。

Firewalld和iptables的关系
netfilter
位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态”

Firewalld/iptables
CentOS7默认的管理防火墙规则的工具（Firewalld）
称为Linux防火墙的“用户态”

 Firewalld和iptables的区别

1.对规则的设置不同：
ptables主要是基于接口（网卡），来设置规则，从而判断网络的安全性。
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。
2、配置文件不同：
iptables在/etc/sysconfig/iptables中储存配置；
firewalld 将配置储存在/etc/firewalld/（优先加载）和/usr/lib/firewalld/（默认的配置文件）中的各种XML文件里。
当/etc/firewalld/中没有相关区域的配置文件时，才会加载/usr/lib/firewalld/中的配置文件。

3、对规则的修改：
使用iptables每一个单独更改，意味着清除所有旧的规则和从/etc/sysconfig/iptables里读取所有新的规则。
使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内，改变设置而不丢失现行连接。

4、防火墙类型不同：
iptables防火墙类型为静态防火墙
firewalld防火墙类型为动态防火墙

3 Firewalld区域
3.1 firewalld区域的概念
firewalld防火墙为了简化管理，将所有网络流量分为多个区域(zone)。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。
这些区域配置文件存在于/usr/lib/firewalld/zones目录中，还有一个目录/etc/firewalld/zones。firewalld使用规则时，会首先到/etc/firewalld/目录中查找，如果可以找到就直接使用，找不到会继续到/usr/lib/firewalld/目录中查找。

firewalld防火墙定义了9个区域

区域                                    作用
trusted（信任区域）           允许所有的传入流量。
public（公共区域）             允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。
external（外部区域）          允许与ssh预定义服务匹配的传入流量其余均拒绝。
home（家庭区域）              允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其他均拒绝。
internal（内部区域）            默认值与home区域相同。
work（工作区域）                允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其他均拒绝
dmz（隔离区域也称非军事区域）允许与ssh预定义服务匹配的传入流量，其他均拒绝。
block（限制区域 ）                拒绝所有传入流量。
drop（丢弃区域）                  丢弃所有传入流量，并且不产生包含icmp的错误响应

3.3 firewalld区域介绍和区域优先级
firewalld区域介绍

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口。
默认情况下，public区域是默认区域，包含所有接口（网卡）。

firewalld数据处理流程
检查数据来源的源地址：
若源地址关联到特定的区域，则执行该区域所指定的规则
若源地址未关联到特定的区域，则使用传入网络接口的区域 并执行该区域所指定的规则
若网络接口未关联到特定的区域，则使用默认区域并执行该 区域所指定的规则
区域优先级：源地址绑定的区域 > 网卡绑定的区域 > 默认区域（只要没有绑定过指定区域的网卡，都适用于于默认区域的规则。默认区域可自定义，不修改则为public）

4 Firewalld防火墙的配置方法
1、firewall-config 图形化工具（生产环境一般只有字符界面，不使用这种方法）
2、firewall-cmd 命令行工具（生产环境中没有图形化界面，所以只能在命令行进行配置）
3、编写 /etc/firewalld 中的配置文件。
Firewalld 会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配置。
/etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/ 中拷贝
/usr/lib/firewalld/ ：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/ 中的配置

firewall-config 图形化工具
在命令行输入”firewall-config“，回车后会弹出图形化管理工具。生产环境一般只有字符界面，不使用这种方法。    配置模式中 运行时配置 或者永久配置

firewall-cmd 命令行工具
不指定区域时，则对默认区域进行操作（默认区域可自定义，不修改则为public）
#默认区域
 --get-default-zone ：显示当前默认区域
 --set-default-zone= ：设置默认区域
 ​
 --get-active-zones ：显示当前正在使用的区域及其网卡接口
 --get-zones：显示所有可用的区域
 ​
 #网络接口
 --get-zone-of-interface=ens33 ：查看指定接口ens33绑定的区域
 --zone= --add-interface= ：为指定接口绑定区域
 --zone= --change-interface= ：为指定区域更改绑定的网络接口
 --zone= --remove-interface= ：为指定区域删除绑定的网络接口
 ​
 #源地址
 --zone= --add-source=[/] ：为指定源地址绑定区域
 --zone= --change-source=[/] ：为指定的区域更改绑定的源地址
 --zone= --remove-source=[/] ：为指定的区域删除绑定的源地址
 ​
 #显示指定区域的所有规则
 --list-all-zones ：显示所有区域及其规则
 --zone= --list-all ：显示所有指定区域的所有规则，若不指定区域表示仅对默认的区域操作
 ​
 #服务管理
 --zone= --list-service ：显示指定区域内允许访问的所有服务
 --zone= --add-service= ：为指定的区域设置允许访问的某项服务
 --zone= --remove-service= ：删除指定区域已设置的允许访问的某项服务
 ​
 #端口管理
 --zone= --list-ports:x显示指定区域内允许访问的所有端口号
 --zone= --add-port=[-portid]/:为指定的区域设置允许访问的某个端口号/某段端口号（包括协议）
 --zone= --remove-port=[-portid]/:删除指定区域已设置允许访问的端口号（包括协议）
 ​
 #icmp协议
 --zone= --list-icmp-blocks :显示指定区域内拒接访问的所有icmp类型
 --zone= --add-icmp-block=：为指定区域设置允许访问的某项icmp类型
 --zone= --remove-icmp-block=删除指定区域已设置允许访问的某项icmp类型
 firealld-cmd --get-icmptypes ：显示所有icmp类型

Firewalld两种配置模式
运行时配置：
实时生效，并持续至Firewalld重新启动或重新加载配置文件
不中断现有连接
不能修改服务器配置

永久配置：
不立即生效，除非Firewaddl重新启动或重新加载配置
中断现有连接
可以修改服务配置

运行时配置（临时配置）
运行时配置，实时生效，不会中断现有连接。重启后丢失

永久配置
永久配置不立即生效，需要重启服务或重新加载后才生效。重启服务或重新加载时会中断现有连接。下次重启后不会丢失，永久存在
--permanent 设置成永久生效，需要重启服务或重新加载 后才生效。
 #同时添加 httpd、https 服务到默认区域，并设置成永久生效。
 firewall-cmd --add-service={http,https} --permanent
 firewall-cmd --reload
 #添加使用 --permanent选项表示设置成永久生效，需要重新启动 firewalld 服务或执行firewall-cmd --reload 命令重新加载后才生效；

把运行时配置转换成永久配置
 firewall-cmd --runtime-to-permanent 
 #将当前的运行时配置，写入规则配置文件中，使之成为永久性配置。

拒绝某个地址访问所有服务，可以通过block和drop区域，即将这个源地址和block区域绑定（或者和drop区域绑定）。但是拒绝这个源地址访问单个服务，要通过富规则实现。