目录:
1、firewalld防火墙介绍
2、firewalld区域与配置规则
3、firewall-cmd配置
1、firewalld防火墙介绍
防火墙作用:隔离,严格过滤入站,允许出站;
系统服务: firewalld
管理工具: firewall-cmd , firewall-config
2、firewalld区域与配置规则
根据所在的网络场所区分,预设保护规则集:
-public: 仅允许访问本机的sshd,dhcp,ping少数几个服务 -trusted: 允许任何访问 -block: 阻塞任何来访请求(明确拒绝) -drop: 丢弃任何来访的数据包(直接丢弃,不给客户端回应,节省资源)
firewalld默认提供了九个zone配置文件:block.xml、dmz.xml、drop.xml、external.xml、 home.xml、internal.xml、public.xml、trusted.xml、work.xml,都保存在/usr/lib/firewalld/zones/目录下。
配置规则的位置:
- 运行时(runtime)
- 永久(permanent)
运行方式是: 匹配及停止;
当收到数据包,至少有: 源IP地址,目标IP地址,数据
1)查看数据包中源IP地址,然后查询所有区域中规则,哪一个区域中有该源IP地址的规则,则进入哪一个区域;
2)进入默认区域(public),不是sshd,dhcp,ping,都拒绝;
与iptables区别:
1)iptables 仅能通过命令行进行配置;而 firewalld 提供了图形接口,类似windows防火墙的操作方式;
2)iptables 每一个单独更改意味着清除所有旧的规则,并从 /etc/sysconfig/iptables 中读取所有新的规;则;而 firewalld 在有规则变动后,可以仅仅运行规则中的不同之处,即在 firewalld 运行时间内,改变设置时可以不丢失现行链接;
3)iptables 的配置文件在 /etc/sysconfig/iptables 中;而 firewalld 的配置文件在 /usr/lib/firewalld/ 和 /etc/firewalld/ 中的各种 XML 文件中;
4)iptables 没有守护进程,并不能算是真正意义上的服务;而 firewalld 有守护进程;
5)iptables 通过控制端口来控制服务,而 firewalld 则是通过控制协议来控制端口;
【firewalld】默认是拒绝;而【iptables】默认是允许。
3、firewall-cmd配置
查看防火墙默认区域:
# firewall-cmd --get-default-zone #默认就是public public
修改默认区域:
# firewall-cmd --set-default-zone=block #修改默认区域为: block 区域
在一个区域添加协议:
# firewall-cmd --zone=public --list-all #查看区域public里面的所有配置,ping服务没有列出来 # firewall-cmd --zone=public --add-service=http #runtime,添加http到public区域中,可以正常访问http了 # firewall-cmd --zone=public --add-service=ftp #runtime,添加ftp到public区域中,可以正常访问ftp了 # firewall-cmd --zone=public --add-service=http --permanent #永久添加,写到了相当的配置文件中了 # firewall-cmd --zone=public --remove-service=dhcpv6-client --permanent #从public中永久的移除dhcpv6-client服务
重新加载配置:
# firewall-cmd --reload
拒绝源IP:
# firewall-cmd --zone=block --add-source=10.10.67.40 --permanent #1个源IP只能在1个区域中,在block区域中,就不能在trusted区域中了
宽松模式,默认区域为: trusted ,单独拒绝的源ip地址写入block,适合于拒绝的少,允许的多的应用场景:
严格模式,默认区域为: block,单独允许的源IP地址写入trusted,适合于允许的少,拒绝的多的应用场景;
实现本机的端口映射:
本地应用的端口重定向(8080-->80),应用场景:
从客户机访问 8080 的请求,自动映射 到本机 80
# firewall-cmd --permanent --zone=public --add-forward-port=port=8080:proto=tcp:toport=80 #8080映射到80 # firewall-cmd --reload
标签:zone,--,cmd,firewalld,防火墙,firewall,整理,public From: https://www.cnblogs.com/reachos/p/16810835.html