Linux系统防火墙firewalld

firewalld概述

firewalld防火墙是centos7体系默许的防火墙办理东西，取代了之前的iptables防火墙，也是作业在网络层，属于包过滤防火墙。

firewalld和iptables都是用来办理防火墙的东西（属于用户态）来界说防火墙的各种规矩功能，内部结构都指向netfilter网络过滤子体系（属于内核态）来交现包过滤防火墙功能。

firewalld供给了支撑网络区域所界说的网络衔接以及接口安全等级的动态防火墙办理东西。它支撑IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算），并且拥有两种装备形式：运转时装备和永久装备

firewalld与Iptables的联系与差异

效果范围的差异

• iptables首要依据接口，来设置规矩，然后判别网络的安全性。

• firewalld是依据区域，依据不同的区域来设置不同的规矩，然后确保网络的安全。与硬件防火墙的设置相相似。

装备文件的差异

• iptables在/etc/sysconfig/iptables中存储装备

• firewalld将装备储存在/etc/firewalld/（优先加载）和/usr/lib/firewalld/（默许的装备文件）中的各种XML文件中

读取修正规矩的差异

• 运用iptables每一个独自更改意味着铲除一切旧有的规矩和从/etc/sysconfig/iptables/里读取一切新的规矩（即修正装备当即收效）

• 运用firewalld却不会再创立任何新的规矩，只是运转规矩中的不同之处。因而firewalld能够在运转事情内，改变设置而不丢失现行的衔接。（即修正装备不会断开现有的数据衔接）

防火墙类型的差异

firewalld区域的概念

firewalld防火墙为了简化办理，将一切网络流量分为多个区域(zone)。然后依据数据包的源ip地址或传入的网络接口等条件将流量传入相应区域。每个区域都界说了自己打开或者封闭的端口和服务列表

注

终究一个区域的安全程度是取决于办理员在此区域中设置的规矩。

区域好像进入主机的安全门，每个区域都具有不同限制程度的规矩，只会运转符合规矩的流量传入。

能够依据网络规划，运用一个或多个区域，可是任何一个活跃区域至少需求相关源地址或接口。

默许情况下，public区域是默许区域，包含并相关一切接口（网卡）

firewalld数据处理流量

firewalld对于进入体系的数据包，会依据数据包的源IP地址或传入的网络接口等条件，将数据流量转入相应区域的防火墙规矩。对于进入体系的数据包，首先查看的便是其源地址

firewalld查看数据包源地址的规矩

• 若源地址相关到特定的区域（即源地址或接口绑定的区域没有冲突)，则履行该区域所制定的规矩。
• 若源地址未相关到特定的区域（即源地址或接口绑定的区域有冲突），则运用传入网络接口的区域并履行该区域所制定的规矩。
• 若网络接口也未相关到特定的区域（(即源地址或接口都没有绑定特定的某个区域），则运用默许区域并履行该区域所制定的规矩。

firewalld防火墙的装备品种

1.运转时装备

• 实时收效，并继续至Firewalld从头启动或从头加载装备
• 不中断现有衔接
• 不能修正服务装备

2.永久装备

• 不当即收效，除非Firewalld从头启动或从头加载装备
• 中断现有衔接
• 能够修正服务装备

firewalld防火墙的装备方法

• firewall-config 图形东西
• firewall-cmd 命令行东西
• /etc/firewalld/中的装备文件

运用命令装备firewalld防火墙

  firewall-cmd [命令选项] 参数
                         {参数1，参数2，...}

注：一切需求指定区域操作假如未指定，则按默许区域进行操作

1.获取和修正默许区域

//1.获取默许区域
[root@localhost1 ~]#firewall-cmd --get-default-zone
public
//2.设置默许确认区域
[root@localhost1 ~]#firewall-cmd --set-default-zone=work
uccess

2.获取区域名

//1.获取一切区域
[root@localhost1 ~]#firewall-cmd --get-zones
block dmz drop external home internal public trusted work
//2.获取已激活的区域
[root@localhost1 ~]#firewall-cmd --get-active-zones
work
   interfaces: ens33 ens36

3.获取区域详细信息

//1.列出一切区域信息
[root@localhost1 ~]#firewall-cmd --list-all-zones
block
  target: %%REJECT%%
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
dmz
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
drop
  target: DROP
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
external
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: ssh
  ports:
  protocols:
  masquerade: yes
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
home (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens36
  sources:
  services: dhcpv6-client mdns samba-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
internal
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: dhcpv6-client mdns samba-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
public (active)
  target: default
  icmp-block-inversion: no
  interfaces:
  sources: 192.168.116.0/24
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
trusted
  target: ACCEPT
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
work (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
//2.列出默许区域的信息
[root@localhost1 ~]#firewall-cmd --list-all
work (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
//3.列出指定区域的信息
[root@localhost1 ~]#firewall-cmd --list-all --zone=public
public (active)
  target: default
  icmp-block-inversion: no
  interfaces:
  sources: 192.168.116.0/24
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

4.区域网卡接口操作

//1.指定区域增加接口
[root@localhost1 ~]#firewall-cmd --add-interface=ens35 --zone=home
success
//2.获取指定区域的接口
[root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens33
work
[root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens35
home
//3.指定区域修正接口
[root@localhost1 ~]#firewall-cmd --zone=home --change-interface=ens36
success
//4.为指定区域增加接口
[root@localhost1 ~]#firewall-cmd --add-interface=ens33 --zone=home
//5.为指定区域移除接口
[root@localhost1 ~]#firewall-cmd --remove-interface=ens35 --zone=home
success

5.区域源地址操作

//1.为指定区域增加源地址（网段）
[root@localhost1 ~]#firewall-cmd --zone=home --add-source=2.2.2.2
success
[root@localhost1 ~]#firewall-cmd --zone=public --add-source=192.168.116.0/24
success
//2.修正指定区域源地址
[root@localhost1 ~]#firewall-cmd --zone=public --change-source=2.2.2.2
success
//3.移除指定区域源地址
[root@localhost1 ~]#firewall-cmd --zone=public --remove-source=2.2.2.2
success

6.区域服务操作

//1.列出默许区域的服务
[root@localhost1 ~]#firewall-cmd --list-services
dhcpv6-client ssh
//2.列出指定区域的服务
[root@localhost1 ~]#firewall-cmd --list-services --zone=home
dhcpv6-client mdns samba-client ssh
//3.为指定区域增加服务
[root@localhost1 ~]#firewall-cmd --zone=work --add-service=http
success
//4.移除指定区域服务
[root@localhost1 ~]#firewall-cmd --zone=work --remove-service=http
success

7.区域服务端口操作

//1.增加指定区域服务端口
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/tcp
success
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/udp
success
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=20-22/tcp
success
//2.列出指定区域服务端口
[root@localhost1 ~]#firewall-cmd --zone=work --list-ports
53/tcp 53/udp 20-22/tcp
//3.删除指定区域默许端口
[root@localhost1 ~]#firewall-cmd --zone=work --remove-port=20-22/tcp
success

8.区域icmp类型操作

//1.获取一切icmp类型
[root@localhost1 ~]#firewall-cmd --get-icmptypes
address-unreachable bad-header communication-prohibited destination-unreachabl                                                                                                          e echo-reply echo-request fragmentation-needed host-precedence-violation host-                                                                                                          prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour                                                                                                          -advertisement neighbour-solicitation network-prohibited network-redirect netw                                                                                                          ork-unknown network-unreachable no-route packet-too-big parameter-problem port                                                                                                          -unreachable precedence-cutoff protocol-unreachable redirect required-option-m                                                                                                          issing router-advertisement router-solicitation source-quench source-route-fai                                                                                                          led time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host                                                                                                          -unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reas                                                                                                          sembly ttl-zero-during-transit unknown-header-type unknown-option
//2.为指定区域增加icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --add-icmp-block=echo-request
success
//3.获取指定区域icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --list-icmp-blocks
echo-request
//4.删除指定区域icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --remove-icmp-block=echo-request
success

将修正的防火墙战略设为永久收效

1.在操作 firewall-cmd 命令行时最后加上 –permanent 选项，再重启（systemctl restart firewalld）或重载（firewall-cmd –reload）服务。

2.直接在操作完 firewall-cmd 命令行后，运用 firewall-cmd –runtime-to-permanet，将当时的运转时装备写入规矩装备文件中，使之成为永久性装备。

firewalld设置NET地址转换

设置SNAT

firewall-cmd –zone=区域名 –direct –passthrough ipv4 -t nat -A POSTROUTING -s 私网地址（网段） -j SNAT –to-source 公网地址

[root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.116.0/24 -j SNAT --to-source 12.0.0.1
[root@localhost1 ~]#iptables -t nat -nL |grep SNAT
SNAT       all  --  192.168.116.0/24     0.0.0.0/0            to:12.0.0.1

设置DNAT

firewall-cmd –zone=public –direct –passthrough ipv4 -t nat -A PREROUTING -d 公网地址 -p tcp –dport 80 -j DNAT –to-destination 私网地址（网段）

[root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.116.10
[root@localhost1 ~]#iptables -t nat -nL |grep DNAT
DNAT       tcp  --  0.0.0.0/0            12.0.0.1             tcp dpt:80 to:192.168.116.10