- Linux操作系统：Firewalld防火墙
课堂引入：
Linux防火墙是通过netfilter来处理的，它是内核级别的框架。iptables被作为netfilter的用户态抽象层，iptables将包通过一系列的规则进行检查，如果包与特定的IP/端口/协议的组合匹配，规则就会被应用到这个包上，以决定包是被通过、拒绝或丢弃。firewalld是最新的netfilter用户态抽象层。firewalld可以通过定义的源IP和/或网络接口将入站流量分类到不同区域zone。每个区域基于指定的准则按自己配置去通过或拒绝包。另外的改进是基于iptables进行语法简化。firewalld通过使用服务名而不是它的端口和协议去指定服务，使它更易于使用，例如，是使用samba而不是使用UDP端口137和138和TCP端口139和445。它进一步简化语法，消除了iptables中对语句顺序的依赖。
一、firewalld的基本使用
 | |
iptables功能总结
 |
而 firewalld中，没有表、没有链、没有行为，默认拒绝
二、区域
在不同的区域下，可以设置不同的防火墙策略，以便在需要的时候可以实现快速切换，而不需要从0开始配置一套。对于一套服务器环境来说，通常情况下，没有那么多需要去切换。drop、public、常用
（1）drop:丢弃
任何传入的网络数据包都被丢弃，没有回复。只能进行传出网络连接。
（2）block:阻止
任何传入的网络连接被拒绝，其中包含用于IPv4的icmp-host-prohibited消息和用于IPv6的icmp6-adm-prohibited。只能从系统内启动网络连接。
（3）public:公共（默认）
用于公共场所。您不相信网络上的其他计算机不会损害您的计算机。仅接受选定的传入连接。
（4）external :外部网络
用于特别为路由器启用伪装的外部网络。您不相信网络上的其他计算机不会损害您的计算机。仅接受选定的传入连接。
（5）dmz:管制区
适用于非军事区中的计算机，这些计算机可公开访问，并且对内部网络的访问权限有限。仅接受选定的传入连接。
（6）work:工作
用于工作区域。您最常信任网络上的其他计算机，以免损害您的计算机。仅接受选定的传入连接。
（7）home:家庭
适用于家庭领域。您最常信任网络上的其他计算机，以免损害您的计算机。仅接受选定的传入连接。
（8）internal:内部
用于内部网络。您最常信任网络上的其他计算机，以免损害您的计算机。仅接受选定的传入连接。
上面3-8，效果是一样的，在不同的区域下，可以设置不同的防火墙策略。
（9）trusted:受信任
接受所有网络连接。
可以将这些区域中的一个指定为默认区域。将接口连接添加到NetworkManager时，会将它们分配给默i认区域。安装时，firewa1ld中的认区域将设置为公共区域。
三、配置firewalld-cmd
（1.）运行firewall-cmd --list-all查看基础配置信息，列出已经有的规则
 |
（2）firewall-cmd --get-services得到一个防火墙预定义服务的详细列表
 | |
 |
（3）运行一下命令理解firewall规则用法：
# 设置为家庭区域
firewall-cmd --set-default-zone=home
1. firewall-cmd --zone=public --list-port //查看所有打开的端口
2. firewall-cmd --reload //更新防火墙规则
3. firewall-cmd --get-zones //列出所有区域
4. firewall-cmd --get-active-zones //查看区域信息
5. firewall-cmd --set-default-zone=public //设定public为默认区域，立即生效
6. firewall-cmd --get-zone-of-interface=ens33 //查看指定接口所属区域
7. firewall-cmd --list-all //查看所有规则
永久修改
- ◎firewall-cmd --permanent
firewall-cmd --reload //使用reload才能及时生效已经永久保存的
2.◎firewall-cmd --add-service=http --permanent
firewall-cmd --reload
 |
- 三、常用使用场景
- 拒绝所有包:firewall-cmd --panic-on
- 取消拒绝状态: firewall-cmd --panic-off
- 查看是否拒绝: firewall-cmd --query-panic
- 暂时开放 ftp 服务:firewall-cmd --add-service=ftp
- 永久开放 ftp 服务:firewall-cmd --add-service=ftp --permanent
- 查询服务的启用状态:firewall-cmd --query-service ftp
- 开放mysql端口:firewall-cmd --add-service=mysq1
- 阻止http端口:firewall-cmd --remove-service=http
- 查看开放的服务:firewall-cmd --list-services
- 查看对应规则库文件:cd /usr/lib/firewalld/services
- 开放通过tcp访问3306:firewall-cmd --add-port=3306/tcp
- 阻止通过tcp访问3306: firewall-cmd --remove-port=80/tcp
- 永久开放80端口:firewall-cmd --zone=public --add-port=80/tcp permanent
- 查看80端口:firewall-cmd --zone=public --query-port=80/tcp
- 查看所有开放端口: firewall-cmd --zone=public --list-ports
- 删除80端口:firewall-cmd --zone=public --remove-port=80/tcp --permanent
- 开放postgresql服务:firewall-cmd --add-service=postgresql --permanent
- 允许http服务通过1分钟: firewall-cmd --zone=public --add-service=http --timeout=1m，这个timeout 选项是一个以秒(s）、分(m）或小时（h)为单位的时间值。
- 重载防火墙:firewall-cmd --reload
- 检查防火墙状态:firewall-cmd --state
- 让设定生效:systemctl restart firewalld
- 检查设定是否生效: iptab1es -L -n | grep 21或 firewall-cmd --list-all
- 四、富规则
富规则的使用事项：
1：富规则可以指定更丰富的匹配条件[相对基本规则]…可以指定动作
2：首先需要把流量关联到某个zone内或者网卡关联到某个zone内
3：编写规则或者富规则
与iptables一致，富规则中的动作可以设置为：accept、drop、reject（小写）
- 添加指定ip访问特定端口规则:
- 删除指定某个ip访问特定端口规则:
- 禁止某个ip访问:
- 允许Ping:
- 端口转发:
- 接受192.168.112.0网段所有IP访问sSH服务:
- 直接模式:
- 查看直接模式下的规则:firewal-cmd --direct --get-al1-rules
- 删除直接模式下的规则: firewal-cmd --direct --remove-rule ipv4 filter INPUT 1 -p tcp --dport 80 -s192.168.112.1 -j ACCEPT
- 五、端口转发
端口转发可以将指定地址访问指定的端口时，将流星转发至指定地址的指定端口。转发的目的如果不指定ip的话就默认为本机，如果指定了ip却没指定端口，则默认使用来源端口。
如果配置好端口转发之后不能用，可以检查下面两个问题:
- 比如我将80端口转发至8080端口，首先检查本地的80端口和目标的8080端口是否开放监听了
- 其次检查是否允许伪装IP，没允许的话要开启伪装IP
- #将8888端口的流量转发至80
firewall-cmd --add-forward-port=port=8888:proto=tcp:toport=80
firewall-cmd --remove-forward-port=port=8888 :proto=tcp:toport=80
- #开启伪装IP
firewall-cmd --query-masquerade # 检查是否允许伪装IP
firewall-cmd --add-masquerade #允许防火墙伪装IP
firewall-cmd --remove-masquerade#禁止防火墙伪装IP
- #将8888端口的流量转发至101.37.65.91的80端口
firewall-cmd--add-forward-port=port=8888:proto=tcp:toaddr=101.37.65.91:toport=80
- 当我们想把某个端口隐藏起来的时候，就可以在防火墙上阻止那个端口访问，然后再开一个不规则的端口，之后配置防火墙的端口转发，将流量转发过去。
- 端口转发还可以做流量分发，一个防火墙拖着好多台运行着不同服务的机器，然后用防火墙将不同端口的流量转发至不同机器
实验：
 |
1、检查IP tables处于关闭状态，firewalld处于开启状态
[root@numberone ~]# systemctl status iptables
[root@numberone ~]# systemctl status firewalld
 |
2、[root@numberone ~]# firewall-cmd --list-all
现在活动区域是public
 |
X
物理机去ping该虚拟机的IP地址，可以ping得通
 |
[root@numberone ~]# /opt/lampp/lampp start开启服务。
物理机去访问192.168.88.131，默认情况下80端口是不能访问的。因为防火墙没有没有开启80端口。
3、设置默认区域：[root@numberone ~]# firewall-cmd --set-default-zone=trusted。之后就发现可以访问80端口了。这是一个全开放的区域
4、设置默认区域为drop:[root@numberone ~]# firewall-cmd --set-default-zone=drop
5、设置默认区域为block：[root@numberone ~]# firewall-cmd --set-default-zone=block
6、切换回public区域
 |
添加80端口：[root@numberone ~]# firewall-cmd --add-port=80/tcp
物理机可以访问网页了
再删掉80端口：[root@numberone ~]# firewall-cmd --remove-port=80/tcp
再添加http服务：[root@numberone ~]# firewall-cmd --add-service=http
物理机可以也访问网页了：
IP tables也可以看到相关信息：[root@numberone ~]# iptables -nL|grep 80
7、不知道可以添加什么服务时，可以查看：[root@numberone ~]# firewall-cmd --get-service
8、重启防火墙，发现之前配置的东西全部重置了：[root@numberone ~]# firewall-cmd --get-service
9、想永久配置东西，就得在命令后面添加个小单词，是永久的意思：[root@numberone ~]# firewall-cmd --add-service=http --permanent
之后要重新加载配置文件：[root@numberone ~]# firewall-cmd --reload
10、查看现在开启的端口：[root@numberone ~]# firewall-cmd --list-port
查看现在活跃的区域：[root@numberone ~]# firewall-cmd --get-active-zone
查看有哪些区域：[root@numberone ~]# firewall-cmd --get-zones
11、拒绝所有包：[root@numberone ~]# firewall-cmd --panic-on
Xshell已经连接不上了：
回虚拟机取消拒绝状态，Xshell才自动重新连接：firewall-cmd --panic-off
- 二、firewall-cmd命令详解
-
- 1.命令格式
| 1 | firewall-cmd [选项 ... ] |
-
- 2.选项
- 通用选项
- 2.选项
| 1 2 3 | -h, --help # 显示帮助信息； -V, --version # 显示版本信息. （这个选项不能与其他选项组合）； -q, --quiet # 不打印状态消息； |
-
-
- 状态选项
-
| 1 2 3 4 5 | --state # 显示firewalld的状态； --reload # 不中断服务的重新加载； --complete-reload # 中断所有连接的重新加载； --runtime-to-permanent # 将当前防火墙的规则永久保存； --check-config # 检查配置正确性； |
-
-
- 日志选项
-
| 1 2 | --get-log-denied # 获取记录被拒绝的日志； --set-log-denied= |
-
- 3.实例
- 安装/运行
- 3.实例
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 | # 安装firewalld yum install firewalld firewall-config
systemctl start firewalld # 启动 systemctl status firewalld # 或者 firewall-cmd --state 查看状态 systemctl disable firewalld # 停止 systemctl stop firewalld # 禁用
# 关闭服务的方法 # 你也可以关闭目前还不熟悉的FirewallD防火墙，而使用iptables，命令如下：
systemctl stop firewalld systemctl disable firewalld yum install iptables-services systemctl start iptables systemctl enable iptables |
-
-
- 配置firewalld
-
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 | firewall-cmd --version # 查看版本 firewall-cmd --help # 查看帮助
# 查看设置： firewall-cmd --state # 显示状态 firewall-cmd --get-active-zones # 查看区域信息 firewall-cmd --get-zone-of-interface=eth0 # 查看指定接口所属区域 firewall-cmd --panic-on # 拒绝所有包 firewall-cmd --panic-off # 取消拒绝状态 firewall-cmd --query-panic # 查看是否拒绝
firewall-cmd --reload # 更新防火墙规则 firewall-cmd --complete-reload # 两者的区别就是第一个无需断开连接，就是firewalld特性之一动态添加规则，第二个需要断开连接，类似重启服务
# 将接口添加到区域，默认接口都在public firewall-cmd --zone=public --add-interface=eth0 # 永久生效再加上 --permanent 然后reload防火墙
# 设置默认接口区域，立即生效无需重启 firewall-cmd --set-default-zone=public
# 查看所有打开的端口： firewall-cmd --zone=dmz --list-ports
# 加入一个端口到区域： firewall-cmd --zone=dmz --add-port=8080/tcp # 若要永久生效方法同上
# 打开一个服务，类似于将端口可视化，服务需要在配置文件中添加，/etc/firewalld 目录下有services文件夹，这个不详细说了，详情参考文档 firewall-cmd --zone=work --add-service=smtp
# 移除服务 firewall-cmd --zone=work --remove-service=smtp
# 显示支持的区域列表 firewall-cmd --get-zones
# 设置为家庭区域 firewall-cmd --set-default-zone=home
# 查看当前区域 firewall-cmd --get-active-zones
# 设置当前区域的接口 firewall-cmd --get-zone-of-interface=enp03s
# 显示所有公共区域（public） firewall-cmd --zone=public --list-all
# 临时修改网络接口（enp0s3）为内部区域（internal） firewall-cmd --zone=internal --change-interface=enp03s
# 永久修改网络接口enp03s为内部区域（internal） firewall-cmd --permanent --zone=internal --change-interface=enp03s |
-
-
- 服务管理
-
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 | # 显示服务列表 Amanda, ftp, Samba和tftp等最重要的服务已经被FirewallD提供相应的服务，可以使用如下命令查看：
firewall-cmd --get-services
# 允许ssh服务通过 firewall-cmd --enable service=ssh
# 禁止SSH服务通过 firewall-cmd --disable service=ssh
# 打开TCP的8080端口 firewall-cmd --enable ports=8080/tcp
# 临时允许Samba服务通过600秒 firewall-cmd --enable service=samba --timeout=600
# 显示当前服务 firewall-cmd --list-services
# 添加HTTP服务到内部区域（internal） firewall-cmd --permanent --zone=internal --add-service=http firewall-cmd --reload # 在不改变状态的条件下重新加载防火墙 |
-
-
- 端口管理
-
| 1 2 3 4 5 6 7 8 9 10 11 12 | # 打开443/TCP端口 firewall-cmd --add-port=443/tcp
# 永久打开3690/TCP端口 firewall-cmd --permanent --add-port=3690/tcp
# 永久打开端口好像需要reload一下，临时打开好像不用，如果用了reload临时打开的端口就失效了 # 其它服务也可能是这样的，这个没有测试 firewall-cmd --reload
# 查看防火墙，添加的端口也可以看到 firewall-cmd --list-all |
-
-
- 直接模式
-
| 1 2 3 4 | # FirewallD包括一种直接模式，使用它可以完成一些工作，例如打开TCP协议的9999端口
firewall-cmd --direct -add-rule ipv4 filter INPUT 0 -p tcp --dport 9000 -j accept firewall-cmd --reload |
-
- 4.自定义服务管理
- 选项
- 4.自定义服务管理
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 | （末尾带有 [P only] 的话表示该选项除了与（--permanent）之外，不能与其他选项一同使用！） --new-service=<服务名> 新建一个自定义服务 [P only] --new-service-from-file=<文件名> [--name=<服务名>] 从文件中读取配置用以新建一个自定义服务 [P only] --delete-service=<服务名> 删除一个已存在的服务 [P only] --load-service-defaults=<服务名> Load icmptype default settings [P only] --info-service=<服务名> 显示该服务的相关信息 --path-service=<服务名> 显示该服务的文件的相关路径 [P only] --service=<服务名> --set-description=<描述> 给该服务设置描述信息 [P only] --service=<服务名> --get-description 显示该服务的描述信息 [P only] --service=<服务名> --set-short=<描述> 给该服务设置一个简短的描述 [P only] --service=<服务名> --get-short 显示该服务的简短描述 [P only]
--service=<服务名> --add-port=<端口号>[-<端口号>]/ 给该服务添加一个新的端口(端口段) [P only]
--service=<服务名> --remove-port=<端口号>[-<端口号>]/ 从该服务上移除一个端口(端口段) [P only]
--service=<服务名> --query-port=<端口号>[-<端口号>]/ 查询该服务是否添加了某个端口(端口段) [P only]
--service=<服务名> --get-ports 显示该服务添加的所有端口 [P only]
--service=<服务名> --add-protocol= 为该服务添加一个协议 [P only]
--service=<服务名> --remove-protocol= 从该服务上移除一个协议 [P only]
--service=<服务名> --query-protocol= 查询该服务是否添加了某个协议 [P only]
--service=<服务名> --get-protocols 显示该服务添加的所有协议 [P only]
--service=<服务名> --add-source-port=<端口号>[-<端口号>]/ 添加新的源端口(端口段)到该服务 [P only]
--service=<服务名> --remove-source-port=<端口号>[-<端口号>]/ 从该服务中删除源端口(端口段) [P only]
--service=<服务名> --query-source-port=<端口号>[-<端口号>]/ 查询该服务是否添加了某个源端口(端口段) [P only]
--service=<服务名> --get-source-ports 显示该服务所有源端口 [P only]
--service=<服务名> --add-module= 为该服务添加一个模块 [P only] --service=<服务名> --remove-module= 为该服务移除一个模块 [P only] --service=<服务名> --query-module= 查询该服务是否添加了某个模块 [P only] --service=<服务名> --get-modules 显示该服务添加的所有模块 [P only] --service=<服务名> --set-destination= Set destination for ipv to address in service [P only] --service=<服务名> --remove-destination= Disable destination for ipv i service [P only] --service=<服务名> --query-destination= Return whether destination ipv is set for service [P only] --service=<服务名> --get-destinations List destinations in service [P only] |
-
-
- 控制端口 / 服务
-
| 1 2 3 4 5 6 7 8 | 可以通过两种方式控制端口的开放，一种是指定端口号另一种是指定服务名。虽然开放 http 服务就是开放了 80 端口， firewall-cmd --add-service=mysql # 开放mysql端口 firewall-cmd --remove-service=http # 阻止http端口 firewall-cmd --list-services # 查看开放的服务 firewall-cmd --add-port=3306/tcp # 开放通过tcp访问3306 firewall-cmd --remove-port=80tcp # 阻止通过tcp访问3306 firewall-cmd --add-port=233/udp # 开放通过udp访问233 firewall-cmd --list-ports # 查看开放的端口 |
-
-
- 伪装 IP
-
| 1 2 3 | firewall-cmd --query-masquerade # 检查是否允许伪装IP firewall-cmd --add-masquerade # 允许防火墙伪装IP firewall-cmd --remove-masquerade# 禁止防火墙伪装IP |
-
-
- 端口转发
-
| 1 2 3 4 5 6 | 端口转发可以将指定地址访问指定的端口时，将流量转发至指定地址的指定端口。转发的目的如果不指定 ip 的话就默认为本机，如果指定了 ip 却没指定端口，则默认使用来源端口。 如果配置好端口转发之后不能用，可以检查下面两个问题： 1.比如我将 80 端口转发至 8080 端口，首先检查本地的 80 端口和目标的 8080 端口是否开放监听了 2.其次检查是否允许伪装 IP，没允许的话要开启伪装 IP firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 # 将80端口的流量转发至8080 firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1 # 将80端口的流量转发至192.168.0.1 firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的 |
来源地址：https://blog.csdn.net/qq_56414082/article/details/127993540
