Firewalld防火墙基础

Firewalld概述

Firewalld
1、支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具
2、支持IPv4、IPv6防火墙设置以及以太网桥
3、支持服务或应用程序直接添加防火墙规则接口
4、拥有两种配置模式
运行时配置（重启后会自动清空）
永久配置（重启后配置才能生效）

Firewalld和iptables的关系

netfilter
1、位于Linux内核中的包过滤功能体系
2、称为Linux防火墙的“内核态”

Firewalld/iptables
1、centos7默认的管理防火墙规则的工具（Firewalld）
2、称为Linux防火墙的“用户态”

Firewalld网络区域

区域介绍
1、区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
2、可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
3、默认情况下，public区域是默认区域，包含所有接口（网卡）

Firewalld数据处理流程
检查数据来源的源地址
1、若源地址关联到特定的区域，则执行该区域所指定的规则
2、若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则
3、若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则
源地址关联>网卡关联（优先级）

Firewalld防火墙的配置方法

运行时配置
1、实时生效，并持续至Firewalld重新启动或重新加载配置
2、不中断现有连接
3、不能修改服务配置

永久配置
1、不立即生效，除非Firewalld重新启动或重新加载配置
2、中断现有连接
3、可以修改服务配置

Firewalld-config图形工具

1、运行时配置/永久配置
2、重新加载防火墙
更改永久配置并生效
3、关联网卡到指定区域
4、修改默认区域
5、连接状态
6、“区域”选项卡
7、“服务”选项卡

/etc/firewalld中的配置文件

Firewalld会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配置
/etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/中拷贝
/usr/lib/firewalld/：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/中的配置

Firewalld-cmd命令行工具

ls /usr/lib/firewalld/services/  可以使用容易理解的名称表示的所有服务
firewall-cmd --get-services  查看支持的所有服务名称
firewall-cmd --get-zones  查看所有区域
firewall-cmd --get-default-zone 查看当前默认区域
firewall -cmd --set-default-zone=work 设置默认区域为“work”
firewall-cmd --get-active-zones 列出当前正在使用的区域及其对应的网卡接口
firewall-cmd --get-zone-of-interface=ens33  查看指定网卡所处的区域
firewall -cmd --zone=work --add-interface=ens37  将接口加入到相关区域
firewall -cmd --zone=public --remove-interface=ens37  将接口移出相关的区域回到默认区域
firewall-cmd--zone=public --query-service=ssh  
firewall-cmd--zone=public --query-service=http 查看指定区域中有没有相关的服务开放
firewall-cmd --list-services 查看当前区域允许的服务
firewall-cmd --reload  重新加载配置文件
firewall-cmd --list-all-zones 查看所有区域开放的服务
firewall-cmd --list-all --zone=某区域  查看某区域开放的服务

设置服务或端口放行
firewall-cmd --add-service=http（服务放行）
firewall-cmd --permanent --zone=public --add-service=http
firewalld-cmd --reload

firewall-cmd --permanent --add-port=80/tcp（端口放行）
firewall-cmd --reload

firewall-cmd --zone=home --remove-service（移除服务或端口）
firewall-cmd --zone=public --remove-port=80/tcp

为网卡设置区域
firewall -cmd --permanent --zone=external --change-interface=ens33
firewall-cmd --reload

拒绝172.27.10.0/22网络用户访问ssh（富规则）
firewall -cmd --permant --zone=public --add-rich-rule="rule family="ipv4 source
address="172.27.10.0/22" service name="ssh" reject"  

防火墙小项目

0#pic_center)
需求1：

服务器：

[root@server1 ~]# firewall-cmd --zone=public --add-icmp-block
--add-icmp-block=           --add-icmp-block-inversion
[root@server1 ~]# firewall-cmd --zone=public --add-icmp-block=echo-request --permanent 
success
[root@server1 ~]# firewall-cmd --reload 
success
[root@server1 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: ssh dhcpv6-client
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: echo-request
  rich rules: 
	
[root@server1 ~]# 

需求2：
服务器192.168.188.10

[root@server1 ~]# yum -y install httpd
[root@server1 ~]# echo "abd123" > /var/www/html/index.html
[root@server1 ~]# systemctl start httpd
[root@server1 ~]# systemctl start firewalld
[root@server1 ~]# firewall-cmd --zone=public --add-service=http --permanent 
success
[root@server1 ~]# firewall-cmd --reload 
success
[root@server1 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: ssh dhcpv6-client http
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: echo-request
  rich rules: 
	
[root@server1 ~]# 


客户机
192.168.188.20

[root@server1 ~]# curl http://192.168.188.10
abd123
[root@server1 ~]#