Firewalld入门

概念

firewalld 是 iptables 的一个封装，用于更容易地管理 iptables 规则。它并不是 iptables 的替代品。虽然 iptables仍可用于 firewalld，但建议使用 firewalld 时仅使用 firewalld

firewalld 是 iptables 的前端控制器，用于实现持久的网络流量规则。它提供命令行和图形界面。与直接控制 iptables 相比，使用 firewalld 有两个主要区别：

firewalld 使用区域和服务而不是链式规则。
它动态管理规则集，允许更新规则而不破坏现有会话和连接。

firewalld处理流程

检查数据来源的源地址

若源地址关联到特定的区域，则执行该区域所指定的规则。
若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则。
若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则通常默认区域的规则是拒绝所有

防火墙区域

由firewalld 提供的区域按照从不信任到信任的顺序排序。

区域	说明
丢弃 drop	任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。
阻塞 block	任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。
公开 public	用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。 You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.
外部 external	用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。
隔离区 dmz	用以允许隔离区 dmz 中的电脑有限地被外界网络访问。只接受被选中的连接。
工作 work	用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
家庭 home	用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
内部 internal	用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
受信任的 trusted	允许所有网络连接。

可以使用firewall-cmd --get-zones获取所有支持的区域列表。使用firewall-cmd --list-all-zones列出所有的区域特性。

安装

Ubuntu系统的默认防火墙系统是ufw，但是可以安装和使用Firewalld。

Bash

sudo apt-get install firewalld -y

在CentOS中，系统已经默认安装了firewalld，如果没有安装则直接安装即可。

Bash

sudo yum install -y firewalld
# OR
sudo dnf install -y firewalld

安装完成后需要启动防火墙服务并设置为开机启动。

Bash

sudo systemctl --now enable firewalld

查看服务运行状态。

Bash

sudo systemctl status firewalld

命令

选项

通用选项

-h, --help    # 显示帮助信息；
-V, --version # 显示版本信息.   这个选项不能与其他选项组合 ；
-q, --quiet   # 不打印状态消息；

状态选项

GDScript

--state                # 显示firewalld的状态；
--reload               # 不中断服务的重新加载；
--complete-reload      # 中断所有连接的重新加载；
--runtime-to-permanent # 将当前防火墙的规则永久保存；
--check-config         # 检查配置正确性；

日志选项

--get-log-denied         # 获取记录被拒绝的日志；
--set-log-denied=<value> # 设置记录被拒绝的日志，只能为'all','unicast','broadcast','multicast','off' 其中的一个；

常用命令

Bash

firewall-cmd --version  # 查看版本
firewall-cmd --help     # 查看帮助

# 查看设置：
firewall-cmd --state  # 显示状态
firewall-cmd --get-active-zones  # 查看区域信息
firewall-cmd --get-zone-of-interface=eth0  # 查看指定接口所属区域
firewall-cmd --panic-on  # 拒绝所有包
firewall-cmd --panic-off  # 取消拒绝状态
firewall-cmd --query-panic  # 查看是否拒绝

firewall-cmd --reload # 不断开连接的更新防火墙规则
firewall-cmd --complete-reload # 断开连接的更新规则

# 将接口添加到区域，默认接口都在public
firewall-cmd --zone=public --add-interface=eth0
# 永久生效再加上 --permanent 然后reload防火墙

# 设置默认接口区域，立即生效无需重启
firewall-cmd --set-default-zone=public

# 查看所有打开的端口：
firewall-cmd --zone=dmz --list-ports

# 加入一个端口到区域：
firewall-cmd --zone=dmz --add-port=8080/tcp

# 打开一个服务
firewall-cmd --zone=work --add-service=smtp

# 移除服务
firewall-cmd --zone=work --remove-service=smtp

# 显示支持的区域列表
firewall-cmd --get-zones

# 设置为家庭区域
firewall-cmd --set-default-zone=home

# 查看当前区域
firewall-cmd --get-active-zones

# 设置当前区域的接口
firewall-cmd --get-zone-of-interface=enp03s

# 显示所有公共区域  public 
firewall-cmd --zone=public --list-all

# 临时修改网络接口  enp0s3 为内部区域  internal 
firewall-cmd --zone=internal --change-interface=enp03s

# 永久修改网络接口enp03s为内部区域  internal 
firewall-cmd --permanent --zone=internal --change-interface=enp03s

# 显示服务列表  
Amanda, FTP, Samba和TFTP等最重要的服务已经被FirewallD提供相应的服务，可以使用如下命令查看：

firewall-cmd --get-services

# 允许SSH服务通过
firewall-cmd --new-service=ssh

# 禁止SSH服务通过
firewall-cmd --delete-service=ssh

# 打开TCP的8080端口
firewall-cmd --enable ports=8080/tcp

# 临时允许Samba服务通过600秒
firewall-cmd --enable service=samba --timeout=600

# 显示当前服务
firewall-cmd --list-services

# 添加HTTP服务到内部区域  internal 
firewall-cmd --permanent --zone=internal --add-service=http
firewall-cmd --reload     # 在不改变状态的条件下重新加载防火墙

# 打开443/TCP端口
firewall-cmd --add-port=443/tcp

# 永久打开3690/TCP端口
firewall-cmd --permanent --add-port=3690/tcp

# 重新加载配置文件
firewall-cmd --reload

# 查看防火墙
firewall-cmd --list-all