CentOS firewall简单总结

CentOS firewall简单总结

---

简介

防火墙是安全的重要道防线.
硬件防火墙一般部署再内网的边界区域.作为最外层的防护.
但是一般硬件的防火墙会比较宽松. 不然会导致很多业务不可用
软件防火墙可以部署到每一个虚拟机内部
可以实现资源划分.安全防护.访问限制等重要作用.
最近用到了比较多, 也从同事那里学到很多, 所以最近想总结一下
所以水这一篇文章.

---

防火墙的简单说明

iptables 是2001年kernel 2.4.0 时代引入的.
在很长的一段时间内可以理解为内核层 netfilter的前端实现.
不仅可以实现防火墙的功能, 包过滤,还可以实现端口转发等内容
核心知识点是四表五链.
随着伯克利包过滤器的越来越强大.新版本的内核可能直接采用
bpfilter代替服役20年的netfilter 实现iptables的功能

firewall
firewalld是centos7的一大特性，
最大的好处有两个：
1. 支持动态更新，不用重启服务；
2. 加入了防火墙的“zone”概念
可惜的是CentOS7 马上要在2024年6月份停服了.
不过大部分国产linux都有这个命令集.

---

区别与联系

	             firewalld	                                 iptables
配置文件	     /usr/lib/ firewalld/&/etc/firewalld	      /etc/sysconfig/iptables
对规则的修改	  不需要全部刷新策略，不丢失现行连接	         需要全部刷新策略，丢失连接
防火墙类型	      动态防火墙	                               静态防火墙

---

firewall 划分的zone

firewalld防火墙预定义了9个区域:
①trusted (信任区域) ：允许所有的传入流量。
②public(公共区域)：允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。
③external (外部区域) ：允许与ssh预定义服务匹配的传入流量，其余均拒绝。
默认将通过此区域转发的IPv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络。
④home (家庭区域) ：允许与ssh、ipp-client、 mdns、 samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝
⑤internal (内部区域) ：默认值时与home区域相同。
⑥work (工作区域) ：允许与ssh、ipp-client、 dhcpv6-client 预定义服务匹配的传入流量，其余均拒绝。
⑦dmz(隔离区域也称为非军事区域)：允许与ssh预定义服务匹配的传入流量，其余均拒绝。
⑧block (限制区域) ：拒绝所有传入流量。
⑨drop (丢弃区域) ：丢弃所有传入流量，并且不产生包含ICMP的错误响应。

---

防火墙的简单操作.

# 查看防火墙的状态
systemctl status firewalld
# 重启防火墙
systemctl restart firewalld
# 注意有时候重启可能不管用, 需要关闭再启动
systemctl stop firewalld && systemctl start firewalld

---

防火墙的简单查询操作

# 获取默认区域
firewall-cmd --get-default-zone
# 获取活跃zone的具体配置信息
firewall-cmd --get-active-zones
# 获取哪些服务可以在当前default区域内例外
firewall-cmd --list-services
# 获取哪些端口进行了对外开放
firewall-cmd --list-ports

---

防火墙的简单设置操作

# 添加例外,可以进行访问
firewall-cmd  --zone=trusted --add-source=10.25.11.53   --permanent
firewall-cmd --zone=public --add-port=80/tcp --permanent
firewall-cmd --reload
# 删除例外, 保证安全
firewall-cmd  --zone=trusted --remove-source=10.25.11.53   --permanent
firewall-cmd  --remove-service ssh --permanent
firewall-cmd  --zone=public --remove-port=80/tcp --permanent
firewall-cmd  --reload

---

关于防火墙与容器的处理

前期一直有一个困惑, 就是防火墙总是无法显示容器 -p 0.0.0.0:5672:5672 类似暴露的端口
一段时间没办法的情况下仅能够修改为 -p 127.0.0.1:port:port 进行expose来保证安全
最近两天同事帮忙分析了下, 发现可以在systemd 里面关掉docker 对iptables的映射来保证安全.

也就是可以让容器进行转发.forward, 但是不在iptables 上面进行链路规划了. 就可以保证不会被外部访问了.
方法也很简单. 主要如下:
感谢帅男同学的帮助:
思路为在systemd的启动脚本出增加 --iptabls=false的方式来避免插入
需要注意的一点是: /etc/docker/daemon.josn 写入是没有效果的. 可能跟之前的graph的设置一样.高版本只能修改systemd的启动脚本了.
sed -i 's/--iptables=false/ /g' /usr/lib/systemd/system/docker.service
sed -i 's/ExecStart=\/usr\/bin\/dockerd/\EExecStart=\/usr\/bin\/dockerd --iptables=false/g' /usr/lib/systemd/system/docker.service
systemctl daemon-reload
systemctl stop docker
systemctl start docker
docker ps