Firewalld入门
概念
firewalld 是 iptables 的一个封装，用于更容易地管理 iptables 规则。它并不是 iptables 的替代品。虽然 iptables仍可用于 firewalld，但建议使用 firewalld 时仅使用 firewalld
firewalld 是 iptables 的前端控制器，用于实现持久的网络流量规则。它提供命令行和图形界面。与直接控制 iptables 相比，使用 firewalld 有两个主要区别：
- firewalld 使用区域和服务而不是链式规则。
- 它动态管理规则集，允许更新规则而不破坏现有会话和连接。
firewalld处理流程
检查数据来源的源地址
- 若源地址关联到特定的区域，则执行该区域所指定的规则。
- 若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所指定的规则。
- 若网络接口未关联到特定的区域，则使用默认区域并执行该区域所指定的规则 通常默认区域的规则是拒绝所有
防火墙区域
由firewalld 提供的区域按照从不信任到信任的顺序排序。
| 区域 | 说明 |
|---|---|
| 丢弃 drop | 任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。 |
| 阻塞 block | 任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。 |
| 公开 public | 用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。 You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted. |
| 外部 external | 用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。 |
| 隔离区 dmz | 用以允许隔离区 dmz 中的电脑有限地被外界网络访问。只接受被选中的连接。 |
| 工作 work | 用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。 |
| 家庭 home | 用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。 |
| 内部 internal | 用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。 |
| 受信任的 trusted | 允许所有网络连接。 |
可以使用firewall-cmd --get-zones获取所有支持的区域列表。使用firewall-cmd --list-all-zones列出所有的区域特性。
安装
Ubuntu系统的默认防火墙系统是ufw，但是可以安装和使用Firewalld。
Bash
sudo apt-get install firewalld -y
在CentOS中，系统已经默认安装了firewalld，如果没有安装则直接安装即可。
Bash
sudo yum install -y firewalld
# OR
sudo dnf install -y firewalld
安装完成后需要启动防火墙服务并设置为开机启动。
Bash
sudo systemctl --now enable firewalld
查看服务运行状态。
Bash
sudo systemctl status firewalld
命令
选项
通用选项
-h, --help # 显示帮助信息；
-V, --version # 显示版本信息. 这个选项不能与其他选项组合 ；
-q, --quiet # 不打印状态消息；
状态选项
GDScript
--state # 显示firewalld的状态；
--reload # 不中断服务的重新加载；
--complete-reload # 中断所有连接的重新加载；
--runtime-to-permanent # 将当前防火墙的规则永久保存；
--check-config # 检查配置正确性；
日志选项
--get-log-denied # 获取记录被拒绝的日志；
--set-log-denied=<value> # 设置记录被拒绝的日志，只能为'all','unicast','broadcast','multicast','off' 其中的一个；
常用命令
Bash
firewall-cmd --version # 查看版本
firewall-cmd --help # 查看帮助
# 查看设置：
firewall-cmd --state # 显示状态
firewall-cmd --get-active-zones # 查看区域信息
firewall-cmd --get-zone-of-interface=eth0 # 查看指定接口所属区域
firewall-cmd --panic-on # 拒绝所有包
firewall-cmd --panic-off # 取消拒绝状态
firewall-cmd --query-panic # 查看是否拒绝
firewall-cmd --reload # 不断开连接的更新防火墙规则
firewall-cmd --complete-reload # 断开连接的更新规则
# 将接口添加到区域，默认接口都在public
firewall-cmd --zone=public --add-interface=eth0
# 永久生效再加上 --permanent 然后reload防火墙
# 设置默认接口区域，立即生效无需重启
firewall-cmd --set-default-zone=public
# 查看所有打开的端口：
firewall-cmd --zone=dmz --list-ports
# 加入一个端口到区域：
firewall-cmd --zone=dmz --add-port=8080/tcp
# 打开一个服务
firewall-cmd --zone=work --add-service=smtp
# 移除服务
firewall-cmd --zone=work --remove-service=smtp
# 显示支持的区域列表
firewall-cmd --get-zones
# 设置为家庭区域
firewall-cmd --set-default-zone=home
# 查看当前区域
firewall-cmd --get-active-zones
# 设置当前区域的接口
firewall-cmd --get-zone-of-interface=enp03s
# 显示所有公共区域 public
firewall-cmd --zone=public --list-all
# 临时修改网络接口 enp0s3 为内部区域 internal
firewall-cmd --zone=internal --change-interface=enp03s
# 永久修改网络接口enp03s为内部区域 internal
firewall-cmd --permanent --zone=internal --change-interface=enp03s
# 显示服务列表
Amanda, FTP, Samba和TFTP等最重要的服务已经被FirewallD提供相应的服务，可以使用如下命令查看：
firewall-cmd --get-services
# 允许SSH服务通过
firewall-cmd --new-service=ssh
# 禁止SSH服务通过
firewall-cmd --delete-service=ssh
# 打开TCP的8080端口
firewall-cmd --enable ports=8080/tcp
# 临时允许Samba服务通过600秒
firewall-cmd --enable service=samba --timeout=600
# 显示当前服务
firewall-cmd --list-services
# 添加HTTP服务到内部区域 internal
firewall-cmd --permanent --zone=internal --add-service=http
firewall-cmd --reload # 在不改变状态的条件下重新加载防火墙
# 打开443/TCP端口
firewall-cmd --add-port=443/tcp
# 永久打开3690/TCP端口
firewall-cmd --permanent --add-port=3690/tcp
# 重新加载配置文件
firewall-cmd --reload
# 查看防火墙
firewall-cmd --list-all