詳述CentOS 7中Firewalld防火墻基礎

Firewalld概述

Firewalld簡介

• 支持網絡區域所定義的網絡鏈接以及接口安全等級的動態防火墻管理工具

• 支持IPv4、IPv6防火 墻設置以及以太網橋

• 支持服務或應用程序直接添加防火墻規則接口

• 擁有兩種配置模式

  運行時配置

  永久配置

Firewalld和iptables的關系

netfilter

• netfilter是Linux2.4.x之后新一代的Linux防火墻機制，是linux內核的一個子系統

• netfilter采用模塊化設計，具有良好的可擴充性

• 位于Linux內核中的包過濾功能體系
• 稱為Linux防火墻的“內核態”

Firewalld/iptables

• CentOS7默認的管理防火墻規則的工具(Firewalld)
• 稱為Linux防火墻的“用戶態”

Firewalld和iptables的區別

Firewalld網絡區域

區域介紹

Firewalld數據處理流程

• 檢查數據來源的源地址
  • 若源地址關聯到特定的區域，則執行該區域所指定的規則
  • 若源地址未關聯到特定的區域，則使用傳入網絡接口的區域并執行該區域所指定的規則
  • 若網絡接口未關聯到特定的區域，則使用默認區域并執行該區域所指定的規則

Firewalld防火墻的配置方法

運行時配置

• 實時生效，并持續至Firewalld重新啟動或重新加載配置
• 不中斷現有連接
• 不能修改服務配置

永久配置

• 不立即生效，除非Firewalld重新啟動或重新加載配置
• 中斷現有連接
• 可以修改服務配置

Firewall-config圖形工具

• 運行時配置/永久配置

• 重新加載防火墻
  • 更改永久配置并生效

• 關聯網卡到指定區域

• 修改默認區域

• 連接狀態

• “區域”選項卡
  • “服務”子選項卡
  • “端口”子選項卡
  • “協議”子選項卡
  • “源端口”子選項卡,
  • “偽裝”子選項卡
  • “端口轉發”子選項卡
  • "ICMP過濾器”子選項卡

• "服務”選項卡
  • “模塊”子選項卡
  • “目標地址”子選項卡
    

Firewall-cmd命令行工具

• 啟動、停止、查看 firewalld 服務

  systemctl start firewalld      //啟動 firewalld
  systemctl enable firewalld     //設置 firewalld 為開機自啟動
  systemctl status firewalld     //查看 firewalld 狀態信息
  firewall-cmd --state           //查看 firewalld 狀態信息
  systemctl stop firewalld       //停止 firewalld 
  systemctl disable firewalld    //設置 firewalld 開機不自啟動

• 獲取預定義信息

  • firewall-cmd 預定義信息主要包括三種：可用的區域、可用的服務以及可用的 ICMP 阻塞類型

  firewall-cmd --get-zones      //顯示預定義的區域 
  firewall-cmd --get-service    //顯示預定義的服務
  firewall-cmd --get-icmptypes  //顯示預定義的 ICMP 類型

  • firewall-cmd --get-icmptypes 命令的執行結果中各種阻塞類型的含義

  destination-unreachable：目的地址不可達。

  echo-reply：應答回應（pong）。

  parameter-problem：參數問題。

  redirect：重新定向。

  router-advertisement：路由器通告。

  router-solicitation：路由器征尋。

  source-quench：源端抑制。

  time-exceeded：超時。

  timestamp-reply：時間戳應答回應。

  timestamp-request：時間戳請求。

• 區域管理

  • 使用 firewall-cmd 命令可以實現獲取和管理區域，為指定區域綁定網絡接口等功能。

• 服務管理
  • firewalld預先定義了 很 多 服 務 ，存放在/usr/lib/firewalld/services/ 目錄中，服務通過單個的 XML 配置文件來指定，這些配置文件則按以下格式命名：service-name.xml，每個文件對應一項具體的網絡服務，當默認提供的服務不適用或者需要自定義某項服務的端口時，我們需要將 service配置文件放置在 /etc/firewalld/services/ 目錄中。service 配置優點：通過服務名字來管理規則更加人性化、通過服務來組織端口分組的模式更加高效，如果一個服務使用了若干個網絡端口，則服 務的配置文件就相當于提供了到這些端口的規則管理的批量操作快捷方式。
  • firewall-cmd 命令區域中服務管理的常用選項說明：

• 端口管理

  • 在進行服務配置時，預定義的網絡服務可以使用服務名配置，服務所涉及的端口就會自 動打開。但是，對于非預定義的服務只能手動為指定的區域添加端口。

  firewall-cmd --zone=internal --add-port=443/tcp      //再internal區域打開443端口
  firewall-cmd --zone=internal --remove-port=443/tcp   //再internal區域禁用443端口

• 兩種配置模式
  • firewall-cmd 命令工具有兩種配置模式：運行時模式（Runtime mode）表示 當前內存中運行的防火墻配置，在系統或 firewalld 服務重啟、停止時配置將失效、永久模 式（Permanent mode）表示重啟防火墻或重新加載防火墻時的規則配置，是永久存儲在配置 文件中的。
  • firewall-cmd 命令工具與配置模式相關的選項有三個：

/etc/firewalld/中的配置文件

• Firewalld會優先使用/etc/firewalld/中的配置，如果不存在配置文件，則使用/usr/lib/firewalld/中的配置
• /etc/firewalld/：用戶自定義配置文件，需要時可以通過從/usr/lib/firewalld/中拷貝
• /usr/lib/firewalld/：默認配置文件，不建議修改，若恢復至默認配置，可直接刪除/etc/firewalld/中的配置