Firewalld 用法解析

其实还是我写的啦 https://www.jianshu.com/p/3444d9413461

1.防火墙firewall的基本概述

现在的RedHat/CentOS7版本默认都使用firewall防火墙了，firewall的配方法大致可以分为图形化和命令行。firewalld跟iptables比起来，不好的地方是每个服务都需要去设置才能放行，因为默认是拒绝。而iptables里默认是每个服务是允许，需要拒绝的才去限制。

firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和 iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样罢了。

wiki百科↓

https://fedoraproject.org/wiki/Firewalld

2.防火墙使用区域管理

阻塞区域（block）：任何传入的网络数据包都将被阻止。

工作区域（work）：相信网络上的其他计算机，不会损害你的计算机。

家庭区域（home）：相信网络上的其他计算机，不会损害你的计算机。

公共区域（public）：不相信网络上的任何计算机，只有选择接受传入的网络连接。

隔离区域（DMZ）：隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接。

信任区域（trusted）：所有的网络连接都可以接受。

丢弃区域（drop）：任何传入的网络连接都被拒绝。

内部区域（internal）：信任网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。

外部区域（external）：不相信网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。

注：FirewallD的默认区域是public。

firewalld默认提供了九个zone配置文件：block.xml、dmz.xml、drop.xml、external.xml、 home.xml、internal.xml、public.xml、trusted.xml、work.xml，他们都保存在“/usr/lib /firewalld/zones/”目录下。

3.防火墙基本指令参数

firewall-cmd #是命令行配置

firewall-config #是图形化配置默认中文不支持福规则的动作设置需要LANG=C 转一下英文ASCII环境

firewall -cmd

1、域zone相关的命令

--get-default-zone	查询默认的区域名称

--set-default-zone=<区域名称>	设置默认的区域

--get-active-zones	显示当前正在使用的区域与网卡名称

--get-zones	显示总共可用的区域

--new-zone=	新增区域

2、services管理的命令

--get-services	显示预先定义的服务

--add-service=<服务名>	设置默认区域允许该服务的流量

--remove-service=<服务名>	设置默认区域不再允许该服务的流量

3、Port相关命令

--add-port=<端口号/协议>	设置默认区域允许该端口的流量

--remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量

4、网卡相关的命令

--add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域

--change-interface=<网卡名称>	将某个网卡与区域进行关联

5、查看所有规则的命令

--list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息

加上--permanent 查看永久生效的配置参数、资源、端口以及服务等信息

6、重载防火墙的策略

--reload	让“永久生效”的配置规则立即生效，并覆盖当前的配置规则

...

4.防火墙区域配置策略

开始之前确认防火墙是开启的状态

1、zone区域相关指令

//查看当前默认区域

[root@server ~]# firewall-cmd --get-default-zone

public

//查看当前活跃的区域

[root@server ~]# firewall-cmd --get-active-zone

public

interfaces: eth0 eth1

//将当前默认区域修改为drop

firewall-cmd --set-default-zone=drop

//将网络接口关联至drop区域

firewall-cmd --permanent  --change-interface=eth0 --zone=drop

//将192.168.122.0/24网段加入trusted白名单

 firewall-cmd --permanent --add-source=192.168.122.0/24 --zone=trusted

//重载防火墙

 firewall-cmd --reload

success

//查看当前处于活动的区域

firewall-cmd --get-active-zones

drop    # 默认区域, eth0接口流量都由drop区域过滤

  interfaces: eth0

trusted # 数据包的源IP是192.168.122.0/24网段走trusted区域

  sources: 192.168.122.0/24

2、使用firewalld中各个区域的应用

//允许10.0.0.1IP地址能访问ssh

 firewall-cmd --add-source=10.0.0.0/24 --permanent --zone=public #默认zone在public

firewall-cmd --reload

//将192.168.20.0网段加入白名单

firewall-cmd --add-source=192.168.20.0/24 --permanent --zone=trusted

firewall-cmd --reload

//查看设置项

firewall-cmd --get-active-zone

drop

  interfaces: eth0 eth1

public

  sources: 10.0.0.1/32

trusted

  sources: 192.168.20.0/24

3、查询firewald指定区域的明细

firewall-cmd  --list-all --zone=drop #指明要查的zone 加上--permanent查看永久生效的区域的明细

drop (active)

  target: DROP

  icmp-block-inversion: no

  interfaces: eth0 eth1

  sources:

  services:

  ports:

  protocols:

  masquerade: no

  forward-ports:

  source-ports:

  icmp-blocks:

  rich rules:

4、查询public区域是否允许请求SSH协议的流量 #对应服务对应状态

firewall-cmd --zone=public --query-service=ssh

yes

5、恢复默认规则操作

firewall-cmd --set-default-zone=public

firewall-cmd --remove-source=192.168.1.0/24 --zone=public --permanent

firewall-cmd --remove-source=192.168.1.0/24 --zone=trusted --permanent

firewall-cmd --reload

5.防火墙端口访问策略

1、开放80端口

firewall-cmd --permanent --add-port=80/udp --add-port=80/tcp

firewall-cmd --reload #重载配置生效

firewall-cmd --list-ports #检查开放的端口

2、配置防火墙, 访问80udp的端口流量设置为永久拒绝，并立即生效

firewall-cmd --permanent --remove-port=80/udp

firewall-cmd --reload && firewall-cmd --list-ports #重载并查看

6.防火墙服务访问策略

1、开放httpd服务

firewall-cmd --permanent --add-service=http --add-service=https

firewall-cmd --reload ; firewall-cmd --list-services # 重载生效并查看

2、配置防火墙, 请求https协议的流量设置为永久拒绝，并立即生效

firewall-cmd --permanent --remove-service=https

firewall-cmd --reload ; firewall-cmd --list-services # 重载生效并查看

7.防火墙端口转发策略

端口转发需要用到forward-port

转发本机80/tcp端口的流量至8080/tcp端口，要求当前和长期有效

firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:to port=8080:toaddr=10.0.0.61

移除转发

firewall-cmd --remove-forward-port=port=80:proto=tcp:toport=8080:toaddr=10.0.0.61

开启IP伪装

firewall-cmd --add-masquerade --permanent #IP地址转换

8.防火墙富规则策略

到重点了，这里上面的条目富规则都可实现

具体配置案例查询firewalld.richlanguage

//区里的富规则按先后顺序匹配，按先匹配到的规则生效。#firewall-cmd ↓

--add-rich-rule='<RULE>'    //在指定的区添加一条富规则

--remove-rich-rule='<RULE>' //在指定的区删除一条富规则

--query-rich-rule='<RULE>'  //找到规则返回0 ，找不到返回1

--list-rich-rules       //列出指定区里的所有富规则

--list-all 和 --list-all-zones 也能列出存在的富规则

//在192.168.0.0/24这个段里可以访问tftp服务

rule family="ipv4" source address="192.168.0.0/24" service name="tftp" log prefix="tftp" accept

//来自192.168.0.0/24这个段的8080端口数据转发到本地的80端口

rule family="ipv4" source address="192.168.0.0/24" forward-port to-addr="local" to-port="8080" protocol="tcp" port="80"

//拒绝192.168.2.4这个ip访问

rule family="ipv4" source address="192.168.2.4" drop

...

9.防火墙开启内部上网

firewalld防火墙开启ip伪装

1、网卡默认是在public的zones内，也是默认zones。永久添加源地址转换功能

firewall-cmd --add-masquerade --permanent

firewall-cmd --reload

2、共享上网

开启的ip转发后，相当了一台本地的nat服务器。

将client的网关指向你配置的ip转发服务器的IP。

只要你的ip转发服务器可以正常解析公网IP(dns可解析公网地址)。

Clent服务器就可以借助IP转发服务器实现上网（前提是中间路由可达）。