Linux系统——防火墙Firewalld

news2025/1/19 23:23:35

目录

一、firewalld介绍

1.归入zone顺序

2.firewalld zone分类

3.预定义服务

二、图形化操作

1.打开firewalld图形化界面

2.以http服务为例，打开httpd服务

3.修改端口号

三、命令行配置

1.基础配置

2.查看现有firewalld设置

3.设置查看默认区

4.添加源地址（网段）及端口及服务

四、其他规则

1.管理rich规则

1.1rich语法

1.2man 5 firewalld.richlanguage

2.示例

一、firewalld介绍

firewalld是CentOS 7.0新推出的管理netfilter的用户空间软件工具,也被ubuntu18.04版以上所支持(apt install firewalld安装即可)

firewalld是配置和监控防火墙规则的系统守护进程。可以实iptables,ip6tables,ebtables的功能firewalld服务由firewalld包提供

1.归入zone顺序

  • 先根据数据包中源地址，将其纳为某个zone

  • 纳为网络接口所属zone

  • 纳入默认zone，默认为public zone,管理员可以改为其它zone

  • 网卡默认属于public zone,lo网络接口属于trusted zone

firewalld支持划分区域zone，每个zone可以设置独立的防火墙规则

1.已经存在了zone区域

2.使用firewall，就是将特定的流量关联到某个zone中

  • 通过源网段关联zone

  • 通过网卡关联zone区域

  • 如果两者都没有关联的数据报文，那就会去default zone

3.进入到zone以后，开始匹配zone内的规则

2.firewalld zone分类

zone名称默认配置
trusted允许所有流量
home拒绝除和传出流量相关的，以及ssh,mdsn,ipp-client,samba-client,dhcpv6-client预 定义服务之外其它所有传入流量
internal和home相同
work拒绝除和传出流量相关的，以及ssh,ipp-client,dhcpv6-client预定义服务之外的其它所有传入流量
public拒绝除和传出流量相关的，以及ssh,dhcpv6-client预定义服务之外的其它所有传入流 量，新加的网卡默认属于public zone
external拒绝除和传出流量相关的，以及ssh预定义服务之外的其它所有传入流量，属于external zone的传出ipv4流量的源地址将被伪装为传出网卡的地址
dmz拒绝除和传出流量相关的，以及ssh预定义服务之外的其它所有传入流量
block拒绝除和传出流量相关的所有传入流量
drop拒绝除和传出流量相关的所有传入流量（甚至不以ICMP错误进行回应）

3.预定义服务

服务名称配置
sshLocal SSH server. Traffic to 22/tcp
dhcpv6- clientLocal DHCPv6 client. Traffic to 546/udp on the fe80::/64 IPv6 network
ipp- clientLocal IPP printing. Traffic to 631/udp
samba- clientLocal Windows file and print sharing client. Traffic to 137/udp and 138/udp
mdnsMulticast DNS (mDNS) local-link name resolution. Traffic to 5353/udp to the 224.0.0.251 (IPv4) or ff02::fb (IPv6) multicast addresses

firewalld预定义服务配置

  • firewall-cmd --get-services 查看预定义服务列表
  • /usr/lib/firewalld/services/*.xml预定义服务的配置

firewalld 三种配置方法

  • firewall-config 图形工具: 需安装 firewall-config包
  • firewall-cmd 命令行工具: firewalld包,默认安装
  • /etc/firewalld/ 配置文件，一般不建议,如:/etc/firewalld/zones/public.xml

二、图形化操作

1.打开firewalld图形化界面

2.以http服务为例，打开httpd服务

运行时：修改后立即生效

永久：重新加载或者重启之后永久生效

3.修改端口号

三、命令行配置

1.基础配置

firewall-cmd [OPTIONS...]
firewall-cmd

选项含义
--permanent设置永久生效
--add-port=端口号/协议(tcp/udp) 设置端口号和协议
--reload重新加载防火墙设置
--remove移除规则
--get-zones列出所有可用区域
--get-default-zone查询默认区域
--set-default-zone=<ZONE>设置默认区域
--get-active-zones列出当前正使用的区域
--add-source=<CIDR>[--zone=<ZONE>]添加源地址的流量到指定区域，如果无--zone= 选项，使用
默认区域
--remove-source=<CIDR> [--zone=ZONE>]从指定区域删除源地址的流量，如无--zone= 选项，使用默认区域
--add-interface=<INTERFACE>[--zone=<ZONE>]添加来自于指定接口的流量到特定区域，如果无--zone= 选项，使用默认区域
--change-interface=<INTERFACE>[--zone=<ZONE>]改变指定接口至新的区域，如果无--zone=选项，使用默认区域
--add-service=<SERVICE> [--zone=<ZONE>]允许服务的流量通过，如果无--zone= 选项，使用默认区域
--add-port=<PORT/PROTOCOL>[--zone=<ZONE>]允许指定端口和协议的流量，如果无--zone= 选项，使用默认区域
--remove-service=<SERVICE> [--zone=<ZONE>]从区域中删除指定服务，禁止该服务流量，如果无--zone= 选项，使用默认区域
--remove-port=<PORT/PROTOCOL>[--zone=<ZONE>] 从区域中删除指定端口和协议，禁止该端口的流量，如果无--zone= 选项，使用默认区域
--reload删除当前运行时配置，应用加载永久配置
--list-services查看开放的服务
--list-ports查看开放的端口
--list-all [--zone=<ZONE>]列出指定区域的所有配置信息，包括接口，源地址，端口，服务等，如果无--zone= 选项，使用默认区域

2.查看现有firewalld设置

[root@localhost ~]#systemctl start firewalld
#开启
[root@localhost ~]#systemctl stop firewalld.service
#关闭
[root@localhost ~]#systemctl status firewalld
#查看状态
[root@localhost ~]#firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: ssh dhcpv6-client
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

3.设置查看默认区

[root@localhost ~]#firewall-cmd --zone=
#查看区域
block     dmz       drop      external  home      internal  public    trusted   work
[root@localhost ~]#firewall-cmd --get-default-zone 
#查看默认区域



[root@localhost ~]#firewall-cmd --set-default-zone 
block     dmz       drop      external  home      internal  public    trusted   work      
[root@localhost ~]#firewall-cmd --set-default-zone 
block     dmz       drop      external  home      internal  public    trusted   work      
[root@localhost ~]#firewall-cmd --set-default-zone home
success
[root@localhost ~]#firewall-cmd --get-default-zone 
home

4.添加源地址（网段）及端口及服务

[root@localhost ~]#firewall-cmd --permanent --add-port=80/tcp
#添加80端口

[root@localhost ~]#firewall-cmd --permanent --remove-port=80/tcp
#移除80端口
[root@localhost ~]#firewall-cmd --permanent --add-port=80/tcp --zone=home 
#可以指定区域
success


[root@localhost ~]#firewall-cmd --add-service=http
#允许http服务
[root@localhost ~]#firewall-cmd --permanent --add-icmp-block=echo-request
#禁止ping
success
[root@localhost ~]#firewall-cmd --reload 
success



[root@localhost ~]#firewall-cmd --permanent --add-source=192.168.100.0/24
#					基础命令       永久生效      添加 源      网段     子网掩码
[root@localhost ~]#firewall-cmd --reload
success
[root@localhost ~]#firewall-cmd --list-all
#查看生效策略


删除source
[root@localhost ~]#firewall-cmd --zone=home --remove-source=192.168.91.0/24 --remove-source=192.168.50.0/24 --remove-source=192.168.100.0/24 --permanent

四、其他规则

当基本firewalld语法规则不能满足要求时，可以使用以下更复杂的规则

rich-rules 富规则，功能强,表达性语言

Direct configuration rules 直接规则，灵活性差, 帮助：man 5 firewalld.direct

1.管理rich规则

rich规则比基本的firewalld语法实现更强的功能，不仅实现允许/拒绝，还可以实现日志syslog和

auditd，也可以实现端口转发，伪装和限制速率

规则实施顺序：

  • 该区域的端口转发，伪装规则
  • 该区域的日志规则
  • 该区域的允许规则
  • 该区域的拒绝规则

每个匹配的规则生效，所有规则都不匹配，该区域默认规则生效

1.1rich语法

rule
 [source]
 [destination]
 service|port|protocol|icmp-block|masquerade|forward-port
 [log]
 [audit]
 [accept|reject|drop]

1.2man 5 firewalld.richlanguage

选项描述
--add-rich-rule=Add to the specified zone, or the default zone if no zone is specified.
--remove-rich-rule=Remove to the specified zone, or the default zone if no zone is specified.
--query-rich-rule=Query if has been added to the specified zone, or the default zone if no zoneis specified. Returns 0 if the rule is present, otherwise 1.
--list-rich-rule=Outputs all rich rules for the specified zone, or the default zone if no zone is

2.示例

拒绝从192.168.0.100的所有流量，当address 选项使用source 或 destination时，必须用family= ipv4 
|ipv6

[root@localhost ~]# firewall-cmd --permanent --zone=public --add-rich-rule='rule   family=ipv4 source address=192.168.0.100/32 reject'

[root@localhost ~]#firewall-cmd --remove-rich-rule='rule family="ipv4" source address="192.168.91.101" reject'


限制每分钟只有两个连接到ftp服务
[root@localhost ~]#firewall-cmd --add-rich-rule=‘rule service name=ftp limit value=2/m accept’


接受所有192.168.1.0/24子网端口5900-5905范围的TCP流量
[root@localhost ~]#firewall-cmd --permanent --zone=vnc --add-rich-rule='rule family=ipv4 source address=192.168.1.0/24 port port=5900-5905 protocol=tcp accept'

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1455311.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Java集合篇之深度解析Queue，单端队列、双端队列、优先级队列、阻塞队列

Java集合篇之深度解析Queue，单端队列、双端队列、优先级队列、阻塞队列

写在开头 队列是Java中的一个集合接口&#xff0c;之前的文章已经讲解了List和Set&#xff0c;那么今天就来唠一唠它吧。队列的特点&#xff1a;存储的元素是有序的、可重复的。 队列的两大接口Queue vs Deque Queue 是单端队列&#xff0c;只能从一端插入元素&#xff0c;另…
阅读更多...
【c++】STL之stack和queue详解

【c++】STL之stack和queue详解

> 作者简介&#xff1a;დ旧言~&#xff0c;目前大二&#xff0c;现在学习Java&#xff0c;c&#xff0c;c&#xff0c;Python等 > 座右铭&#xff1a;松树千年终是朽&#xff0c;槿花一日自为荣。 > 目标&#xff1a;掌握stack和queue库&#xff0c;了解deque库 >…
阅读更多...
linux系统，使用cmake 编译C++代码，如何生成静态库。

linux系统，使用cmake 编译C++代码，如何生成静态库。

linux系统&#xff0c;使用cmake 编译C代码&#xff0c;如何生成静态库。 xlog文件夹下面是生成静态库所需要的文件。 test_xlog文件夹下面是调用静态库所需要的文件。 xlog文件夹下的文件&#xff1a; 1、CMakeLists.txt #CMakeLists.txt # 设置:版本 cmake_minimum_req…
阅读更多...
[playbook] playbook运用

[playbook] playbook运用

一、复习playbook剧本 --- - name: first play for install nginx #设置play的名称gather_facts: false #设置不收集facts信息hosts: webservers:dbservers #指定执行此play的远程主机组remote_user: root #指定执行此play的用…
阅读更多...
自建AWS S3存储服务

自建AWS S3存储服务

unsetunset前言unsetunset AWS S3&#xff08;Amazon S3&#xff0c;全名为亚马逊简易存储服务&#xff09;&#xff0c;是亚马逊公司利用其亚马逊网络服务系统所提供的网络在线存储服务。我常用的很多SaaS服务中提供的文件存储功能&#xff0c;底层也都是AWS S3&#xff0c;比…
阅读更多...
Vite 构建流程大揭秘：快速构建前端项目的秘密武器

Vite 构建流程大揭秘：快速构建前端项目的秘密武器

&#x1f90d; 前端开发工程师、技术日更博主、已过CET6 &#x1f368; 阿珊和她的猫_CSDN博客专家、23年度博客之星前端领域TOP1 &#x1f560; 牛客高级专题作者、打造专栏《前端面试必备》 、《2024面试高频手撕题》 &#x1f35a; 蓝桥云课签约作者、上架课程《Vue.js 和 E…
阅读更多...
LabVIEW荧光显微镜下微管运动仿真系统开发

LabVIEW荧光显微镜下微管运动仿真系统开发

LabVIEW荧光显微镜下微管运动仿真系统开发 在生物医学研究中&#xff0c;对微管运动的观察和分析至关重要。介绍了一个基于LabVIEW的仿真系统&#xff0c;模拟荧光显微镜下微管的运动过程。该系统提供了一个高效、可靠的工具&#xff0c;用于研究微管与运动蛋白&#xff08;如…
阅读更多...
JDBC核心技术

JDBC核心技术

第1章 JDBC概述 第2章 获取数据库连接 第3章 使用PreparedStatement实现CRUD操作 第4章 操作BLOB类型字段 第5章 批量插入 第6章 数据库事务 第7章 DAO及相关实现类 第8章 数据库连接池 第9章 Apache-DBUtils实现CRUD操作图像 小部件
阅读更多...
若依项目改造

若依项目改造

ctrlalt l 格式化项目 alt f6 修改包和import包名 替换com.ruoyi 为 com.cj 替换若依版本为自己的版本 将ruoyi改成自己项目的英文名 修改中文名字 修改文件包名 修改有ruoyi的类名 &#xff1a; 验证码生成器包名修改&#xff1a;
阅读更多...
ansible自动化运维工具及常见模块的使用

ansible自动化运维工具及常见模块的使用

目录 一、ansible概述 二、ansible的特性 三、ansible 环境安装部署 管理端安装 ansible&#xff1a; 配置主机清单&#xff1a; 配置密钥对验证&#xff1a; 四、ansible 常见模块的使用 1&#xff0e;command 模块 2&#xff0e;shell 模块 3&#xff0e;cron 模块…
阅读更多...
GEO文章套路，数据下载和批次效应处理

GEO文章套路，数据下载和批次效应处理

原文链接&#xff1a; SCI文章复现 | GEO文章套路&#xff0c;数据下载和批次效应处理https://mp.weixin.qq.com/s/KBA67EJ7cCK5NDTUzrwJ2Q 一、前言 这是2024年春节后的第一个推送教程&#xff0c;我们也给大家赠送一个福利。将前期的付费教程免费推送给大家。其实&#xff…
阅读更多...
物奇平台ENC算法开关接口修改方法

物奇平台ENC算法开关接口修改方法

物奇ENC算法开关接口修改 是否需要申请加入数字音频系统研究开发交流答疑群(课题组)？可加我微信hezkz17, 本群提供音频技术答疑服务，+群赠送语音信号处理降噪算法，蓝牙耳机音频，DSP音频项目核心开发资料, 1 配置工具 2 代码接口
阅读更多...
第13章 基于Java Swing的图书管理系统

第13章 基于Java Swing的图书管理系统

13.1 需求分析 在当今社会&#xff0c;随着信息技术的不断发展&#xff0c;信息管理系统已经进入到了人类社会的各个领域&#xff0c;人们对于信息技术的掌握也越来越迅速。在图书管理的过程中也引入图书管理体系&#xff0c;图书管理系统将大大节省人力、物力、时间、金钱等资…
阅读更多...
Linux：开源世界的王者

Linux：开源世界的王者

在科技世界中&#xff0c;Linux犹如一位低调的王者&#xff0c;统治着开源世界的半壁江山。对于许多技术爱好者、系统管理员和开发者来说&#xff0c;Linux不仅仅是一个操作系统&#xff0c;更是一种信仰、一种哲学。 一、开源的魅力 Linux的最大魅力在于其开源性质。与封闭的…
阅读更多...
利用Python进行数据分析（附详细案例）

利用Python进行数据分析（附详细案例）

一、前期准备 分析要用到两个包&#xff1a;NumPy和Pandas&#xff0c;首先确保jupyter中成功安装了这两个包。 #导入numpy包 import numpy as np #导入pandas包 import pandas as pd二、基础知识 2.1 一维数据分析&#xff1a;NumPy 2.2 一维数据结构&#xff1a;Pandas …
阅读更多...
实习日志14

实习日志14

完善条件查询和word生成列表 条件查询 word生成列表 1.阶段性总结 1.1.入职培训 首先&#xff0c;蔡老师的活字格软件开发入门和应用培训为我提供了深入了解软件开发的机会。通过学习&#xff0c;我掌握了一些基础的开发技能&#xff0c;尤其是在数据库设计和管理方面有了更深…
阅读更多...
SD-WAN稳定性如何？

SD-WAN稳定性如何？

随着网络技术的不断发展&#xff0c;软件定义广域网&#xff08;SDWAN&#xff09;作为一种新兴的网络架构&#xff0c;受到了越来越多企业的青睐。然而&#xff0c;对于许多人来说&#xff0c;关于SDWAN最关键的问题之一就是它的稳定性。本文将探讨SDWAN的稳定性表现&#xff…
阅读更多...
普法GraphicBuffer诞生以及跨进程传递

普法GraphicBuffer诞生以及跨进程传递

GraphicBuffer诞生以及跨进程传递重认识 引言 对于Android的Graphics图形堆栈这块&#xff0c;自我感觉看了蛮多的博客啊文档(不管是比较老的还是新一点的)。但是仅仅只是看了而已&#xff0c;都是蜻蜓点水&#xff0c;没有进行记录也没有总结。所以每次哪怕阅读过程中产业了很…
阅读更多...
统计图柱形图绘制方法

统计图柱形图绘制方法

统计图柱形图绘制方法 常用的统计图有条形图、柱形图、折线图、曲线图、饼图、环形图、扇形图。 前几类图比较容易绘制&#xff0c;饼图环形图绘制较难。 今提供条形图和柱形图的绘制方法&#xff0c;附加环形图和艺术环图的绘制方法供参考。 本方法采用C语言的最基本功能&…
阅读更多...
Vue3快速上手（七） ref和reactive对比

Vue3快速上手（七） ref和reactive对比

一、ref和reactive对比 表格形式更加直观吧&#xff1a; 项目refreactive是否支持基本类型支持不支持是否支持对象类型支持支持对象类型是否支持属性直接赋值不支持&#xff0c;需要.value支持是否支持直接重新分配对象支持&#xff0c;因为操作的.value不支持&#xff0c;需…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023