Firewalld防火墙

目录

一、Firewall概述

二、Firewalld防火墙区域

1.区域概述

2.区域分类

3.数据包处理原则

三、配置Firewalld

1.查看所在区域及规则

2.增加规则

3.删除规则

4.修改规则

5.永久配置

5.1将配置设置为永久设置 

5.2将运行时配置设置为永久配置

6.设置地址转换

---

一、Firewall概述

Firewalld防火墙是centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也工作在网络层，属于包过滤防火墙。

firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter网络过过滤子系统（属于内核态）来实现包过滤防火墙功能。

Firewalld 由 netfilter 和 firewalld 两个组件组成。 

netfilter：

• 位于Linux内核中的包过滤功能体系
• 称为Linux防火墙的“内核态”

firewalld：

•  Centos7默认的管理防火墙规则的工具
• 称为Linux防火墙的“用户态”

firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。 它支持IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算）， 并且拥有两种配置模式：运行时配置与永久配置。

iptables 与 firewalld 的区别：

1. iptables主要是基于接口，来设置规则，从而判断网络的安全性；firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。
2. iptables 在 /etc/sysconfig/iptables 中储存配置；firewalld 将配置储存在 /etc/firewalld/（优先加载）和 /usr/lib/firewalld/（默认的配置文件）中的各种 XML 文件里。
3. 使用 iptables 每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables 里读取所有新的规则；使用 firewalld 却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld 可以在运行时间内,改变设置而不丢失现行连接。
4. iptables 防火墙类型为静态防火墙；firewalld 防火墙类型为动态防火墙。

	firewalld	iptables
配置文件	/usr/lib/firewalld(默认配置文件) /etc/firewalld(优先加载)	/etc/sysconfig/iptables
对规则的修改	不需要全部刷新策略，不丢失现行连接	需要全部刷新策略，丢失现有连接
防火墙类型	动态防火墙	静态防火墙

二、Firewalld防火墙区域

1.区域概述

firewalld防火墙为了简化管理，将所有网络流量分为多个区域（zone）。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。

区域介绍：

• 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
• 可以使用一个或多个区域，但是任何一个活动区域至少需要关联源地址或接口
• 默认情况下，public区域是默认区域，包含所有接口（网卡） 
• 最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
• 一个区域可以关联多个网卡或源地址；一个网卡或源地址只能关联一个区域

2.区域分类

firewalld防火墙预定义了9个区域：

trust(信任区域)	允许所有的传入流量
public(公共区域)	允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。 新添加网络接口的默认区域。
external(外部区域)	允许与ssh预定义服务匹配的传入流量，其余均拒绝。默认将通过此区域转发的IPv4传出流量进行地址伪装，可用于为路由器启用伪装功能的外部网络。
home(家庭区域)	允许与ssh、ipp-client、mdns、samba-client、dhcpv6-client预定义服务匹配的传入流量，其余均拒绝
internal(内部区域)	默认值时与home区域相同
work(工作区域)	允许与 ssh、ipp-client、dhcpv6-client 预定义服务匹配的传入流量，其余均拒绝。
dmz(隔离区域/非军事区域)	允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。
block(限制区域)	拒绝所有传入流量，有响应消息
drop(丢弃区域)	丢弃所有传入流量，并且不产生包含ICMP的错误响应

3.数据包处理原则

Firewalld数据包处理规则：

1. 数据包的源地址与区域绑定，则此数据包不管从哪个网卡传入都使用该区域的规则过滤数据包
2. 如数据包的源地址未与区域绑定，则用传入网卡所绑定的区域的规则来过滤数据包
3. 如网卡未与区域绑定，则使用默认区域的规则来过滤数据包

三、配置Firewalld

配置firewalld的方式：

1. 使用firewall-cmd 命令行工具。
2. 使用firewall-config 图形工具。
3. 编写/etc/firewalld/中的配置文件。

1.查看所在区域及规则

#显示当前默认区域
firewall-cmd --get-default-zone
#显示当前正在使用的区域及其对应的网卡接口
firewall-cmd --get-active-zones
#显示所有可用区域
firewall-cmd --get-zones
#显示指定接口绑定的区域
firewall-cmd --get-zone-of-interface=指定网卡或接口
#显示所有区域及其规则
firewall-cmd --list-all-zones
#显示所有指定区域的所有规则，省略--zone=指定区域时表示仅对默认区域操作
firewall-cmd --zone=指定区域 --list-all
#显示指定区域内允许访问的所有服务
firewall-cmd --zone=指定区域 --list-services
#显示指定区域内允许访问的所有端口号
firewall-cmd --zone=指定区域 --list-ports
#显示指定区域内拒绝访问的所有ICMP类型
firewall-cmd --zone=指定区域 --list-icmp-blocks
#显示所有ICMP类型
firewall-cmd --get-icmptypes

2.增加规则

#为指定接口绑定区域
firewall-cmd --zone=指定区域 --add-interface=指定接口
#为指定IP地址绑定区域
firewall-cmd --zone=指定区域 --add-source=指定IP地址
#为指定区域设置允许访问的某项服务
firewall-cmd --zone=指定区域 --add-service=指定服务
#为指定区域设置允许访问的指定端口
firewall-cmd --zone=指定区域 --add-port=端口号/协议
#为指定区域设置拒绝访问的某项ICMP类型
firewall-cmd --zone=指定区域 --add-icmp-block=icmp类型

3.删除规则

#为指定区域删除绑定的网络接口
firewall-cmd --zone=指定区域 --remove-interface=指定接口
#为指定区域删除绑定的IP地址
firewall-cmd --zone=指定区域 --remove-source=IP地址
#删除指定区域已设置的允许访问的某项服务
firewall-cmd --zone=指定区域 --remove-service=指定服务
#删除指定区域已设置的允许访问的端口号
firewall-cmd --zone=指定区域 --remove-port=端口/协议
#删除指定区域已设置访问的某项ICMP类型
firewall-cmd --zone=指定区域 --remove-icmp-block=icmp类型

 

4.修改规则

#更改默认区域
firewall-cmd --set-default-zone=区域
#为指定区域更改绑定的网络接口
firewall-cmd --zone=指定区域 --change-interface=指定接口
#为指定区域更改绑定的IP地址
firewall-cmd --zone=指定区域 --change-source=IP地址

5.永久配置

配置firewalld的方式分为：

• 永久配置，不会立即生效需要重新加载
• 临时配置，配置后立即生效，重启后失效

5.1将配置设置为永久设置 

#永久配置，在配置命令后加上 --permanent 
firewall-cmd --add-service=http --zone=home --permanent

#永久配置不会立即生效要重新加载
firewall-cmd --reload  
或
systemctl restart firewalld

5.2将运行时配置设置为永久配置

#将之前运行时配置转换成永久配置
firewall-cmd --runtime-to-permanent

6.设置地址转换

（1）设置 SNAT
firewall-cmd --zone=public --direct --passthrough ipv4 -t nat 
-A POSTROUTING -s 192.168.80.0/24 -j SNAT --to-source 12.0.0.1

（2）设置 DNAT
firewall-cmd --zone=public --direct --passthrough ipv4 -t nat 
-A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT 
--to-destination 192.168.80.11