首页 > 系统相关 >CentOS7中firewall防火墙详解和配置

CentOS7中firewall防火墙详解和配置

时间:2023-11-03 14:36:49浏览次数:47  
标签:firewall cmd 防火墙 firewalld CentOS7 -- systemctl

提示

修改防火墙配置文件之前,需要对之前防火墙做好备份

重启防火墙后,需要确认防火墙状态和防火墙规则是否加载,若重启失败或规则加载失败,则所有请求都会被防火墙拒绝

firewalld的基本使用

#停止firewall
systemctl stop firewalld.service
#禁止firewall开机启动
systemctl disable firewalld.service
#查看默认防火墙状态(关闭后显示not running,开启后显示running)
firewall-cmd --state
#查看防火墙规则(只显示/etc/firewalld/zones/public.xml中防火墙策略)
firewall-cmd --list-all
#查看所有的防火墙策略(即显示/etc/firewalld/zones/下的所有策略)
firewall-cmd --list-all-zones
#重新加载配置文件
firewall-cmd --reload

# 启动:
systemctl start firewalld
# 查看状态:
systemctl status firewalld
# 停止:
systemctl disable firewalld
# 禁用:
systemctl stop firewalld

拓展

systemctl拓展

# systemctl是CentOS7的服务管理工具中主要的工具,它融合之前service和chkconfig的功能于一体。
# 启动服务:
systemctl start firewalld.service
# 关闭服务:
systemctl stop firewalld.service
# 重启服务:
systemctl restart firewalld.service
# 显示服务的状态:
systemctl status firewalld.service
# 设置开机自启:
systemctl enable firewalld.service
# 禁止开机自启:
systemctl disable firewalld.service
# 查看服务是否开机启动:
systemctl is-enabled firewalld.service
# 查看已启动的服务列表:
systemctl list-unit-files|grep enabled
# 查看启动失败的服务列表:
systemctl --failed

防火墙内的策略动作有DROP和REJECT两种

# 防火墙内的策略动作有DROP和REJECT两种,区别如下:
1、DROP动作只是简单的直接丢弃数据,并不反馈任何回应。需要Client等待超时,Client容易发现自己被防火墙所阻挡。
2、REJECT动作则会更为礼貌的返回一个拒绝(终止)数据包(TCP FIN或UDP-ICMP-PORT-UNREACHABLE),明确的拒绝对方的连接动作。连接马上断开,Client会认为访问的主机不存在。REJECT在IPTABLES里面有一些返回参数,参数如下:ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset(这个封包会要求对方关闭联机),进行完此处理动作后,将不再比对其它规则,直接中断过滤程序。

至于使用DROP还是REJECT更合适一直未有定论,因为的确二者都有适用的场合。REJECT是一种更符合规范的处理方式,并且在可控的网络环境中,更易于诊断和调试网络/防火墙所产生的问题;而DROP则提供了更高的防火墙安全性和稍许的效率提高,但是由于DROP不很规范(不很符合TCP连接规范)的处理方式,可能会对你的网络造成一些不可预期或难以诊断的问题。因为DROP虽然单方面的中断了连接,但是并不返回任何拒绝信息,因此连接客户端将被动的等到tcp session超时才能判断连接是否成功,这样早企业内部网络中会有一些问题,例如某些客户端程序或应用需要IDENT协议支持(TCP Port 113, RFC 1413),如果防火墙未经通知的应用了DROP规则的话,所有的同类连接都会失败,并且由于超时时间,将导致难以判断是由于防火墙引起的问题还是网络设备/线路 故障。

在部署防火墙时,如果是面向企业内部(或部分可信任网络),那么最好使用更绅士REJECT方法,对于需要经常变更或调试规则的网络也是如此;而对于面向危险的Internet/Extranet的防火墙,则有必要使用更为粗暴但是安全的DROP方法,可以在一定程度上延缓******的进度(和难度,至少,DROP可以使他们进行TCP-Connect方式端口扫描时间更长)。

配置firewalld-cmd

# 查看版本:
firewall-cmd --version
# 查看帮助:
firewall-cmd --help
# 显示状态:
firewall-cmd --state
# 查看所有打开的端口:
firewall-cmd --zone=public --list-ports
# 更新防火墙规则:
firewall-cmd --reload
# 查看区域信息: 
firewall-cmd --get-active-zones
# 查看指定接口所属区域:
firewall-cmd --get-zone-of-interface=eth0
# 拒绝所有包:
firewall-cmd --panic-on
# 取消拒绝状态:
firewall-cmd --panic-off
# 查看是否拒绝:
firewall-cmd --query-panic

那怎么开启一个端口呢

# 添加(--permanent永久生效,没有此参数重启后失效)
firewall-cmd --zone=public --add-port=80/tcp --permanent
# 重新载入
firewall-cmd --reload
# 查看
firewall-cmd --zone= public --query-port=80/tcp
# 删除
firewall-cmd --zone= public --remove-port=80/tcp --permanent

# 因为在/usr/lib/firewalld/services/中事先定义了ssh.xml的相应的规则

Centos7的firewalld开启端口、屏蔽IP

# 开启防火墙
systemctl start firewalld
# 查看开放的端口和服务以及屏蔽的IP
firewall-cmd --zone=public --list-all
# 查看系统中查看系统中可用的服务
firewall-cmd --get-services

开启端口

# 添加端口
firewall-cmd --zone=public --add-port=8080/tcp --permanent
# 添加端口段
firewall-cmd --zone=public --add-port=5060-5061/udp --permanent
# 删除端口
firewall-cmd --permanent --zone=public --remove-port=8080/tcp
# 热加载才能生效
firewall-cmd --reload

屏蔽IP

# 屏蔽IP
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=43.229.53.61 reject"
# 查看屏蔽结果
firewall-cmd --list-rich-rules

firewalld防火墙禁止/限制特定用户的IP访问

drop禁止特定ip连接某服务

# drop禁止特定ip连接ssh/22服务
firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' service name='ssh' drop"
# 重新加载防火墙配置,不然firewall-cmd --list-all-zones不会显示刚加上的规则
firewall-cmd --reload

reject禁止特定ip连接某服务

# reject禁止特定ip连接ssh/22服务
firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='x.x.x.x/24' service name='ssh' reject"
firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='x.x.x.x/24' port port=22 protocol=tcp reject"
# 重新加载防火墙配置,不然firewall-cmd --list-all-zones不会显示刚加上的规则
firewall-cmd --reload

accept运行特定ip连接ssh/22服务

# accept运行特定ip连接ssh/22服务
firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' port port=22 procotol=tcp accept"
# 重新加载防火墙配置
firewall-cmd --reload

firewalld 添加删除策略

# firewalld 添加删除策略
sudo firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="0.0.0.0/24" port protocol="tcp" port="10050" accept"
# 加载:
firewall-cmd --reload
# 删除:
sudo firewall-cmd --permanent --zone=public --remove-rich-rule="rule family="ipv4" source address="10.0.5.0/24" port protocol="tcp" port="10050" accept"
# 加载:
firewall-cmd --reload

逆风的方向,更适合飞翔,我不怕千万人阻挡,只怕自己投降。



标签:firewall,cmd,防火墙,firewalld,CentOS7,--,systemctl
From: https://blog.51cto.com/u_14346538/8168839

相关文章

  • 防火墙黑名单和白名单
    防火墙黑名单和白名单相关实验实验拓扑如下: 实验要求:构建网络拓扑,根据拓扑图配置IP地址,防火墙配置访问控制策略,使PC2、3、4可以ping通PC1,通过设置黑名单禁止PC2、PC4访问PC1,再通过设置白名单允许PC4访问PC1。实验过程:首先配置IP地址PC1 PC2,PC3和PC4对应修改IP......
  • centos7中使用yum安装tomcat以及它的启动、停止、重启
    介绍ApacheTomcat是用于提供Java应用程序的Web服务器和servlet容器。Tomcat是ApacheSoftwareFoundation发布的JavaServlet和JavaServerPages技术的开源实现。本教程介绍在CentOS7服务器上使用yum进行Tomcat7的基本安装和一些配置。请注意,这将安装在官方Ubuntu存储库中的......
  • centos7部署tomcat
    下载wgethttps://archive.apache.org/dist/tomcat/tomcat-9/v9.0.36/bin/apache-tomcat-9.0.36.tar.gz解压tarzxfapache-tomcat-9.0.36.tar.gz-C/usr/local/配置脚本vim/etc/init.d/tomcat文件内容如下:#!/bin/bash##tomcatstartupscriptfortheTomcat......
  • Linux 防火墙管理工具
    netfilter介绍防火墙是作用与内网和外网之间,根据定义的策略来过滤流量的软件或者硬件。在Linux内核中,自带了防火墙模块netfilter,通过netfilter可以是实现网络流量的过过滤,以及NAT、连接跟踪等功能。通过用户空间的iptables、firewalld等工具,可以实现相关规则的定义,将这些规则传......
  • 虚拟机安装centos7
    步骤:         ......
  • centos7 gcc版本升级--便捷方法
    问题提出:  虚拟机下面安装的centos7系统,默认gcc是4.8.5版本。  想升级到最新版本,但是又不想花很多时间去编译源码。有没有一种更加便捷的升级方法呢?   升级步骤: 1.安装scl仓库sudoyuminstallcentos-release-scl2.安装所需版本的GCC:sudoyuminstall......
  • centos7 python2和python3共存
     ln-s/usr/local/python3/bin/python3/usr/bin/python #测试[root@operationbin]#pip3-Vpip18.1from/usr/local/python3/lib/python3.6/site-packages/pip(python3.6)#使用[root@operationbin]#pip3install包名或者[root@operationbin]#pyth......
  • centos7远程ssh登录好慢啊,终于解决了
    虚拟机上装了centos7用win主机远程连接每次都很慢,一度怀疑是网卡什么的设置不对,甚至以为要重装系统,后来偶然发现是sshd_config配置问题直接修改一下其中的dns设置,vim/etc/ssh/sshd_config将UseDNSyes注释取消改为UseDNSno,并保存退出重启sshdsystemctlrestartsshd再次连......
  • Centos7 部署gitea,使用sqlite作为数据源
    #创建用户git,指定登录shell为Bash,-d指定家目录默认/home/git,-m如果指定的家目录不存在,则创建该目录#踩坑:-r不分配登录shell和家目录useradd-s/bin/bash-d-mgit#编辑/etc/sudoers文件以允许git用户在执行sudo命令时无需密码vi/etc/sudoers在文件中找到以rootALL=......
  • CentOS7.6 安装Telnet服务
    Telnet服务简介Telnet协议是TCP/IP协议族中的一员,是Internet远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用Telnet程序,用它连接到服务器。终端使用者可以在Telnet程序中输入命令,这些命令会在服务器......