Centos7 防火墙简介（一）

Centos7下的防火墙默认是通过一个守护进程(firewalld)为网络(network)

以及与之相关的连接(connections)和接口(interface)提供一个可信层，同时支持网络空间(Network Zone)。

之所以说它是动态的(dynamic)是因为对防火墙所做的修改不用保存或应用设置就可以

立即生效。从而不会发生由于防火墙重新加载(reload)而导致的网络中断。

firewalld和iptables service的本质区别是：

1. iptables service 的配置文件在/etc/sysconfig/iptables, 而firewalld的配置文件是以xml的形式保存在/usr/lib/firewalld/和 /etc/firewalld/。
   由于xml文件易于编辑，写入，备份以及在重新安装时可作模板，因此具有极大的灵活性。

注意： /etc/sysconfig/iptables 在Centos7中默认不存在。需要手动创建。

1. 对于iptables service 每一次修改意味着删掉（flush）所有的规则然后去/etc/sysconfig/iptables中读取新的（也包括旧的）规则。

而firewalld修改过的规则立即生效。所以firewalld可以在运行时修改而不需要重启firewalld服务。

相同点： 都使用iptables tool和内核包过滤器交互。

firewalld和system-config-firewall以及iptables的对比。如下图：

防火墙同时提供了图形配置工具和命令行配置工具：

• 图形配置工具(firewall-config), 可以提供运行时修改和永久修改。图形配置工具的底层也是通过iptables tool与内核的Netfilter交互来实现包的过
  滤（package filtering).

• 命令行配置工具（firewall-cmd）:也可以运行时和永久修改。此命令需要由root或管理用户(Administrative user)即在wheel group中的帐户运行。

• 其它的应用程序与firewalld交互使用D-bus.

参考 RHEL Security Guide