Linux实验记录：使用firewalld
前言：
本文是一篇关于Linux系统初学者的实验记录。
参考书籍：《Linux就该这么学》
实验环境：
VmwareWorkStation 17——虚拟机软件
RedHatEnterpriseLinux[RHEL]8——红帽操作系统
备注:
RHEL8系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）两种管理方式。
firewalld预先准备了几套防火墙策略集合（策略模板），供不同使用场景。
区域（zone）指防火墙策略集合（策略模板）
目录
前言：
备注:
正文：
终端管理工具：
实验1：
实验2：
实验3：
实验4：
实验5：
实验6：
实验7：
实验8：
实验9：
实验10：
实验11：
图形管理工具：
Step1：手动安装firewall-config
Step2：在图形界面打开firewall-configuration
实验1：
实验2：
实验3：
实验4：
实验5：
总结：
正文：
终端管理工具：
firewalld-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。
参数可用Tab键补齐：
| 参数 | 作用 |
| --get-default-zone | 查询默认的区域名称 |
| --set-default-zone=<区域名称> | 设置默认的区域，使其永久生效 |
| --get-zones | 显示可用的区域 |
| --get-services | 显示预先定义的服务 |
| --get-active-zones | 显示当前正在使用的区域与网卡名称 |
| --add-source= | 将源自此IP或子网的流量导向指定区域 |
| --remove-source= | 不再将源自此IP或子网的流量导向指定区域 |
| --add-interface=<网卡名称> | 将源自此网卡的所有流量都导向某个指定区域 |
| --change-interface=<网卡> | 将某个网卡与区域进行关联 |
| --list-all | 显示当前区域的网卡配置参数、资源、端口以及服务等信息 |
| --list-all-zones | 显示所有区域的网卡配置参数、资源、端口以及服务等信息 |
| --add-service=<服务名> | 设置默认区域允许该服务的流量 |
| --add-port=<端口号/协议> | 设置默认区域允许该端口的流量 |
| --remove-service=<服务名> | 设置默认区域不再允许该服务的流量 |
| --remove-port=<端口号/协议> | 设置默认区域不再允许该端口的流量 |
| --reload | 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则 |
| --panic-on | 开启应急状况模式 |
| --panic-off | 关闭应急状况模式 |
Runtime：当前立即生效，重启后失效
Permanent：当前不生效，重启后生效。
如果想让当期配置的策略立即生效，需手动执行firewall-cmd --reload指令
实验1：
查看firewall服务当前所使用的区域
在配置防火墙策略前，必须查看当前生效的是哪个区域。
实验2：
查询指定网卡在firewalld服务中绑定的区域
根据网卡针对的流量来源，为网卡绑定不同区域，实现对防火墙策略的灵活管控。
实验3：
把网卡的默认区域修改为external，并在系统重启后生效
实验4：
把firewalld服务的默认区域设置为public。
默认区域也叫全局配置，指的是对所有网卡都生效的配置，优先级较低。
实验5：
启动和关闭firewalld防火墙服务的应急状况模式
紧急模式会切断一切网络连接。
实验6：
查询SSH和HTTPS协议的流量是否允许放行。
实验7：
把HTTPS协议的流量设置为永久允许放行，并立即生效。
加permanent参数后，重启后才能生效，也可以使用--reload参数使立即生效。
实验8：
把HTTP协议的流量设置为永久拒绝，并立即生效
实验9：
把访问8080和8081端口的流量策略设置为允许，但仅限当前生效。
实验10：
把原本访问本机888端口的流量转发到22端口，要求当前和长期均有效。
这就是端口转发技术：使用户能够通过新的端口访问到原本的服务。
使用firewall-cmd命令实现端口转发的格式：
firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
目标IP地址一般是服务器本机的IP地址。
在CentOS上使用ssh命令尝试访问RHEL8主机的888端口,访问成功：
实验11：
富规则的设置
富规则也叫复规则，表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。
优先级在所有的防火墙策略中是最高的。
现配置一条富规则，使其拒绝192.168.226.0/24网段的所有用户访问本机ssh服务。
此时CentOS8能ping通，但ssh被拒绝服务。
图形管理工具：
firewall-config使firewalld防火墙配置管理工具的GUI（图形用户界面）版本。
几乎可以实现所有以命令行来执行的操作。
Step1：手动安装firewall-config
Step2：在图形界面打开firewall-configuration
使用firewall-config工具配置完防火墙策略之后，无需进行二次确认，只要修改，自动保存。
实验1：
将当前区域中请求http服务的流量设置为允许放行，但仅限当前生效。
实验2：
添加一条防火墙规则：放行访问8080~8088的流量，并将其设置为永久生效。
Reload wall让配置的规则立即生效
实验3：
应用SNAT技术：
局域网中有多台PC，如果网关服务器没有应用SNAT技术（源地址转换），PC收不到响应数据包。
实验4：
重复前文用firewall-cmd工具的实验：将本机888端口的流量转发到22端口
实验5：
将网卡与防火墙策略区域进行绑定：
总结：
配置防火墙策略的原则：只要能实现所需的功能，工具可以任选一种。