1.定义
动态防火墙后台程序 firewalld 提供了一个 动态管理的防火墙,用以支持网络 “ zones” ,以分配对一个网络及其相关链接和界面一定程度的信任。它具备对 IP v4 和 IP v6 防火墙设置的支持。它支持以太网桥,并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。
基于用户对网络中设备和交通所给与的信任程度,防火墙可以用来将网络分割成不同的区域。NetworkManager通知firewalld一个接口归属某个区域,新加入的接口被分配到默认区域。
网络区名称 默认配置
trusted(信任) 可接受所有的网络连接
home(家庭) 用于家庭网络,仅接受ssh、mdns、ipp-client、samba-client、或dhcpv6-client服务连接
internal(内部) 用于内部网络,仅接受ssh、mdns、ipp-client、samba-client、dhcpv6-client服务连接
work(工作) 用于工作区,仅接受ssh、ipp-client或dhcpv6-client服务连接
public(公共) 在公共区域内使用,仅接受ssh或dhcpv6-client服务连接,为firewalld的默认区域
external(外部) 出去的ipv4网络连接通过此区域伪装和转发,仅接受ssh服务连接
dmz(非军事区) 仅接受ssh服务接连
block(限制) 拒绝所有网络连接
drop(丢弃) 任何接收的网络数据包都被丢弃,没有任何回复
2.开启firewalld
systemctl status firewalld ##查看firewalld状态
systemctl stop iptables ##关闭iptables
systemctl mask iptables ##冻结启动
systemctl start firewalld ##开启firewalld
systemctl enable firewalld ##允许开机启动
3.使用命令行接口配置防火墙
firewall-config ##开启图形管理
firewall-cmd --state ##查看firewalld状态
firewall-cmd --get-active-zones ##查看当前活动的区域,并附带一个目前分配给它们的接口列表
firewall-cmd --get-zones ##查看所有可用区域
firewall-cmd --zone=public --list-all ##列出指定域的所有设置
firewall-cmd --get-services ##列出所有预设服务
firewall-cmd --get-default-zone ##查看默认区域
firewall-cmd --set-default-zone=trusted ##设置默认区域
firewall-cmd --permanent --add-source=172.25.254.31 ##设置网络地址到默认区域，--permanent参数表示永久生效设置
firewall-cmd --reload ##重载防火墙，不会中断已经建立的连接
firewall-cmd --list-all ##列出默认区域设置，--list-all-zones列出所有区域的设置
firewall-cmd --permanent --remove-source=172.25.254.31 ##删除默认区域网络地址
firewall-cmd --permanent --zone=trusted --add-source=172.25.254.31 ##设置网络地址到指定的区域
firewall-cmd --zone=trusted --add-interface=eth1 ##添加网络接口
firewall-cmd --zone=trusted --remove-interface=eth1 ##删除网络接口
firewall-cmd --zone=public --add-service=http ##添加服务
firewall-cmd --zone=public --remove-service=http ##删除服务
firewall-cmd --list-ports ##列出端口
firewall-cmd --add-port=53/tcp ##添加端口
4.Direct Rules
firewall-cmd --permanent --remove-service=ssh ##删除ssh服务
firewall-cmd --complete-reload ##重载防火墙，中断已经建立的连接
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -s 172.25.254.31 -p tcp --dport 22 -j ACCEPT ##允许31主机通过ssh连接
firewall-cmd --direct --get-all-rules ##列出规则
firewall-cmd --direct --remove-rule ipv4 filter INPUT 0 -s 172.25.254.31 -p tcp --dport 22 -j ACCEPT ##删除规则
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 ！-s 172.25.254.31 -p tcp --dport 22 -j ACCEPT ##允许31主机以外的主机通过ssh连接
5.多语言命令的格式
在这个部分,所有命令都必须以 root 用户身份运行
firewall-cmd --list-rich-rules ##列出所有多语言规则
firewall-cmd --add-rich-rule="rule service name=ftp limit value=1/m accept" ##每分钟允许1个新连接访问ftp服务
firewall-cmd --add-rich-rule="rule protocol value=icmp reject" --timeout=10 ##拒绝所有icmp包，如果指定超时,规则将在指定的秒数内被**,并在之后被自动移除
6.伪装和端口转发
firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toport=22:toaddr=172.25.254.1 ##端口转发
firewall-cmd --add-masqueradef ##添加服务
firewall-cmd --zone=public --add-rich-rule="rule family=ipv4 source address=172.25.254.231 masquerade" ##伪装