Firewalld入门

Firewalld入门

概念

firewalld 是 iptables 的一个封装,用于更容易地管理 iptables 规则。它并不是 iptables 的替代品。虽然 iptables仍可用于 firewalld,但建议使用 firewalld 时仅使用 firewalld

firewalld 是 iptables 的前端控制器,用于实现持久的网络流量规则。它提供命令行和图形界面。与直接控制 iptables 相比,使用 firewalld 有两个主要区别:

  1. firewalld 使用区域和服务而不是链式规则。
  2. 它动态管理规则集,允许更新规则而不破坏现有会话和连接。

firewalld处理流程

检查数据来源的源地址

  • 若源地址关联到特定的区域,则执行该区域所指定的规则。
  • 若源地址未关联到特定的区域,则使用传入网络接口的区域并执行该区域所指定的规则。
  • 若网络接口未关联到特定的区域,则使用默认区域并执行该区域所指定的规则 通常默认区域的规则是拒绝所有

防火墙区域

由firewalld 提供的区域按照从不信任到信任的顺序排序。

区域 说明
丢弃 drop 任何流入网络的包都被丢弃,不作出任何响应。只允许流出的网络连接。
阻塞 block 任何进入的网络连接都被拒绝,并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。
公开 public 用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。 You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.
外部 external 用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。
隔离区 dmz 用以允许隔离区 dmz 中的电脑有限地被外界网络访问。只接受被选中的连接。
工作 work 用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
家庭 home 用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
内部 internal 用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
受信任的 trusted 允许所有网络连接。

可以使用firewall-cmd --get-zones获取所有支持的区域列表。使用firewall-cmd --list-all-zones列出所有的区域特性。

安装

Ubuntu系统的默认防火墙系统是ufw,但是可以安装和使用Firewalld。

Bash
sudo apt-get install firewalld -y

CentOS中,系统已经默认安装了firewalld,如果没有安装则直接安装即可。

Bash
sudo yum install -y firewalld
# OR
sudo dnf install -y firewalld

安装完成后需要启动防火墙服务并设置为开机启动。

Bash
sudo systemctl --now enable firewalld

查看服务运行状态。

Bash
sudo systemctl status firewalld

命令

选项

通用选项

-h, --help    # 显示帮助信息;
-V, --version # 显示版本信息.   这个选项不能与其他选项组合 ;
-q, --quiet   # 不打印状态消息;

状态选项

GDScript
--state                # 显示firewalld的状态;
--reload               # 不中断服务的重新加载;
--complete-reload      # 中断所有连接的重新加载;
--runtime-to-permanent # 将当前防火墙的规则永久保存;
--check-config         # 检查配置正确性;

日志选项

--get-log-denied         # 获取记录被拒绝的日志;
--set-log-denied=<value> # 设置记录被拒绝的日志,只能为'all','unicast','broadcast','multicast','off' 其中的一个;

常用命令

Bash
firewall-cmd --version  # 查看版本
firewall-cmd --help     # 查看帮助

# 查看设置:
firewall-cmd --state  # 显示状态
firewall-cmd --get-active-zones  # 查看区域信息
firewall-cmd --get-zone-of-interface=eth0  # 查看指定接口所属区域
firewall-cmd --panic-on  # 拒绝所有包
firewall-cmd --panic-off  # 取消拒绝状态
firewall-cmd --query-panic  # 查看是否拒绝

firewall-cmd --reload # 不断开连接的更新防火墙规则
firewall-cmd --complete-reload # 断开连接的更新规则

# 将接口添加到区域,默认接口都在public
firewall-cmd --zone=public --add-interface=eth0
# 永久生效再加上 --permanent 然后reload防火墙

# 设置默认接口区域,立即生效无需重启
firewall-cmd --set-default-zone=public

# 查看所有打开的端口:
firewall-cmd --zone=dmz --list-ports

# 加入一个端口到区域:
firewall-cmd --zone=dmz --add-port=8080/tcp

# 打开一个服务
firewall-cmd --zone=work --add-service=smtp

# 移除服务
firewall-cmd --zone=work --remove-service=smtp

# 显示支持的区域列表
firewall-cmd --get-zones

# 设置为家庭区域
firewall-cmd --set-default-zone=home

# 查看当前区域
firewall-cmd --get-active-zones

# 设置当前区域的接口
firewall-cmd --get-zone-of-interface=enp03s

# 显示所有公共区域  public 
firewall-cmd --zone=public --list-all

# 临时修改网络接口  enp0s3 为内部区域  internal 
firewall-cmd --zone=internal --change-interface=enp03s

# 永久修改网络接口enp03s为内部区域  internal 
firewall-cmd --permanent --zone=internal --change-interface=enp03s

# 显示服务列表  
Amanda, FTP, Samba和TFTP等最重要的服务已经被FirewallD提供相应的服务,可以使用如下命令查看:

firewall-cmd --get-services

# 允许SSH服务通过
firewall-cmd --new-service=ssh

# 禁止SSH服务通过
firewall-cmd --delete-service=ssh

# 打开TCP的8080端口
firewall-cmd --enable ports=8080/tcp

# 临时允许Samba服务通过600秒
firewall-cmd --enable service=samba --timeout=600

# 显示当前服务
firewall-cmd --list-services

# 添加HTTP服务到内部区域  internal 
firewall-cmd --permanent --zone=internal --add-service=http
firewall-cmd --reload     # 在不改变状态的条件下重新加载防火墙

# 打开443/TCP端口
firewall-cmd --add-port=443/tcp

# 永久打开3690/TCP端口
firewall-cmd --permanent --add-port=3690/tcp

# 重新加载配置文件
firewall-cmd --reload

# 查看防火墙
firewall-cmd --list-all
qrcode

创建时间:2023-02-13 05:31:16

最后修改:2023-02-13 05:32:38