Linux之firewalld防火墙基础

news2024/10/6 6:47:57

目录

一、firewalld的简介

二、iptables与firewalld的联系与区别 

1）iptables与firewalld的联系

netfilter

Firewalld/iptables

2）iptables与firewalld的区别

区别一：

区别二：

区别三：

三、firewalld区域

1）firewalld区域的概念

2）firewalld的九个区域

3）firewalld区域介绍和区域优先级

firewalld区域介绍

firewalld数据处理流程

4）firewalld防火墙的配置方法 

四、fiewall-cmd命令行使用

1）默认区域的查看与设置

2）对指定网卡进行操作

3）对源地址进行操作  

4）查看指定区域的所有规则 

5）服务管理

①查看默认区域内允许访问的所有服务

②添加服务

③查看public 区域已配置规则

④删除public 区域的http服务

6）端口管理 

①允许TCP的443端口到internal 区域

②从internal 区域将TCP的443端口移除

③允许UDP的2048~2050端口到默认区域

7）永久保存设置

方式一： 

方式二：

8）内容延申：DNAT和SNAT也可以通过firewall-cmd设置

设置地址转换

①设置 SNAT

②设置 DNAT

一、firewalld的简介

  • firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤防火墙。
  • firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部结构都指向netfilter网络过过滤子系统（属于内核态）来实现包过滤防火墙功能
  • firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。 它支持IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算）， 并且拥有两种配置模式：运行时配置与永久配置

二、iptables与firewalld的联系与区别 

1）iptables与firewalld的联系

netfilter

  • 位于Linux内核中的包过滤功能体系
  • 称为Linux防火墙的“内核态”

Firewalld/iptables

  • CentOS7默认的管理防火墙规则的工具（Firewalld）
  • 称为Linux防火墙的“用户态”

 

2）iptables与firewalld的区别

区别一：

iptables主要是基于接口，来设置规则，从而判断网络的安全性。 

firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似

区别二：

iptables 在 /etc/sysconfig/iptables 中储存配置，

firewalld 将配置储存在 /etc/firewalld/（优先加载）和 /usr/lib/firewalld/（默认的配置文件）中的各种 XML 文件里

区别三：

使用 iptables 每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables 里读取所有新的规则

使用 firewalld 却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld 可以在运行时间内,改变设置而不丢失现行连接

Firewalldiptables
配置文件

/usr/lib/firewalld

/etc/firewalld/

/etc/sysconfig/iptables
对规则的修改不需要全部刷新策略，不丢失现行连接需要全部刷新策略，丢失连接
防火墙类型动态防火墙静态防火墙

三、firewalld区域

1）firewalld区域的概念

firewalld防火墙为了简化管理，将所有网络流量分为多个区域(zone)。然后根据数据包的源IP地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表

这些区域配置文件存在于/usr/lib/firewalld/zones目录中，还有一个目录/etc/firewalld/zones。firewalld使用规则时，会首先到/etc/firewalld/目录中查找，如果可以找到就直接使用，找不到会继续到/usr/lib/firewalld/目录中查找

2）firewalld的九个区域

区域作用
trusted（信任区域）允许所有的传入流量
public（公共区域）允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域
external（外部区域）允许与ssh预定义服务匹配的传入流量其余均拒绝
home（家庭区域）允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其他均拒绝
internal（内部区域）默认值与home区域相同
work（工作区域）允许与ssh、dhcpv6-client预定义服务匹配的传入流量，其他均拒绝
dmz（隔离区域也称非军事区域）允许与ssh预定义服务匹配的传入流量，其他均拒绝
block（限制区域）拒绝所有传入流量
drop（丢弃区域）丢弃所有传入流量，并且不产生包含icmp的错误响应

3）firewalld区域介绍和区域优先级

firewalld区域介绍

  • 最终一个区域的安全程度是取决于管理员在此区域中设置的规则
  • 区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入
  • 可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
  • 默认情况下，public区域是默认区域，包含所有接口（网卡）

firewalld数据处理流程

检查数据来源的源地址：

  •  若源地址关联到特定的区域，则执行该区域所指定的规则
  • 若源地址未关联到特定的区域，则使用传入网络接口的区域 并执行该区域所指定的规则
  • 若网络接口未关联到特定的区域，则使用默认区域并执行该 区域所指定的规则

区域优先级：源地址绑定的区域 > 网卡绑定的区域 > 默认区域（只要没有绑定过指定区域的网卡，都适用于于默认区域的规则。默认区域可自定义，不修改则为public） 

4）firewalld防火墙的配置方法 

  1. 使用firewall-cmd 命令行工具
  2. 使用firewall-config 图形工具

  3. 编写/etc/firewalld/中的配置文件

Firewalld 会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配置

  • /etc/firewalld/：用户自定义配置文件，需要时可通过从/usr/lib/firewalld/ 中拷贝
  • /usr/lib/firewalld/ ：默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/ 中的配置

四、fiewall-cmd命令行使用

1）默认区域的查看与设置

不指定区域时，则对默认区域进行操作（默认区域可自定义，不修改则为public）

格式：

firewall-cmd:

--get-default-zone ：显示当前默认区域
--set-default-zone=<zone> ：设置默认区域

2）对指定网卡进行操作

格式： 

firewall-cmd:

--get-active-zones ：显示当前正在使用的区域及其对应的网卡接口
--get-zones ：显示所有可用的区域

--get-zone-of-interface=<interface> ：显示指定接口绑定的区域
--zone=<zone> --add-interface=<interface> ：为指定接口绑定区域
--zone=<zone> --change-interface=<interface> ：为指定的区域更改绑定的网络接口
--zone=<zone> --remove-interface=<interface> ：为指定的区域删除绑定的网络接口
[root@localhost ~]#firewall-cmd --get-zones
 
[root@localhost ~]#firewall-cmd --get-active-zones
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=home --add-interface=ens33
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=work --add-interface=ens33
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=home --change-interface=ens33
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33
 
[root@localhost ~]#firewall-cmd  --zone=home --remove-interface=ens33
 
[root@localhost ~]#firewall-cmd  --get-zone-of-interface=ens33

3）对源地址进行操作  

格式：

firewall-cmd:

--add-source=xxxxxx        --zone=<zone>    //增加源地址指定区域

--remove-source=xxxxxx        --zone=<zone>   //删除源地址指定区域
[root@localhost ~]#firewall-cmd --add-source=2.2.2.2  --zone=home
 
[root@localhost ~]#firewall-cmd --get-active-zone
 
[root@localhost ~]#firewall-cmd --remove-source=2.2.2.2  --zone=home
 
[root@localhost ~]#firewall-cmd --get-active-zone

4）查看指定区域的所有规则 

不指定区域时，则对默认区域进行操作（默认区域可自定义，不修改则为public）

firewall-cmd --list-all-zones：显示所有区域及其规则

firewall-cmd --list-all : 不指定区域时，查看的是默认区域

firewall-cmd --list-all --zone=work：显示work区域的所有规则
[root@localhost ~]#firewall-cmd  --list-all-zones

5）服务管理

①查看默认区域内允许访问的所有服务

firewall-cmd --list-service

②添加服务

[root@localhost ~]#firewall-cmd  --add-service=http
 
[root@localhost ~]#firewall-cmd  --add-service={ftp,https}

注意后面不跟指定的区域，就会添加到默认区域中 

指定区域添加 ：

[root@localhost ~]#firewall-cmd  --add-service={ftp,https}   --zone=work
 
[root@localhost ~]#firewall-cmd --list-service --zone=work

③查看public 区域已配置规则

firewall-cmd --list-all --zone=public

④删除public 区域的http服务

firewall-cmd --remove-service=http --zone=public

6）端口管理 

①允许TCP的443端口到internal 区域

firewall-cmd --zone=internal --add-port=443/tcp
firewall-cmd --list-all --zone=internal

②从internal 区域将TCP的443端口移除

firewall-cmd --zone=internal --remove-port=443/tcp

③允许UDP的2048~2050端口到默认区域

firewall-cmd --add-port=2048-2050/udp
firewall-cmd --list-all

7）永久保存设置

以上操作均为实时配置，会立即生效，但是当服务重启时就会失效。如果要对自己写入更改的服务配置或则端口配置进行永久保存一般有两种方式

方式一： 

在命令的结尾加入    --permanent 设置成永久生效，需要重启服务或重新加载 后才生效

firewall-cmd --add-service=http --add-service=https --permanent
firewall-cmd --reload	
firewall-cmd --list-all

方式二：

 --runtime-to-permanent：将当前的运行时配置写入规则配置文件中，使之成为永久性配置

root@localhost ~]#firewall-cmd  --add-service={ftp,https} 
 
[root@localhost ~]#firewall-cmd   --list-service
 
[root@localhost ~]#firewall-cmd  --runtime-to-permanent
 
[root@localhost ~]#systemctl restart firewalld
[root@localhost ~]#firewall-cmd   --list-service

8）内容延申：DNAT和SNAT也可以通过firewall-cmd设置

设置地址转换

①设置 SNAT

firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.73.0/24 -j SNAT --to-source 12.0.0.12

②设置 DNAT

firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to-destination 192.168.73.111

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/554740.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

meta标签 http-equiv常用配置记录

meta标签 http-equiv常用配置记录

meta标签 元素可提供有关页面的元信息&#xff08;meta-information&#xff09;&#xff0c;比如针对搜索引擎和更新频度的描述和关键词。 标签位于文档的头部&#xff0c;不包含任何内容。 标签的属性定义了与文档相关联的名称/值对。 属性 使用实例 禁止浏览器从本地机的缓…
阅读更多...
涨姿势了，分享一个简单好用的源码调试方法

涨姿势了，分享一个简单好用的源码调试方法

之前发了一篇文章&#xff0c;文章中有这样的一段描述&#xff1a; 然后有个读者来问我&#xff1a; 是怎么把 JDK 源码中的一行代码给注释掉的&#xff1f; 这个问题确实不错&#xff0c;属于一个偶尔用一下能起到奇效的源码调试技巧。所以我决定写个文章来说明一下这个问题。…
阅读更多...
Mysql-存储过程简单入门

Mysql-存储过程简单入门

定义&#xff1a; 存储过程的英文是 Stored Procedure 。它的思想很简单&#xff0c;就是一组经过 预先编译 的 SQL 语句 的封装。 执行过程&#xff1a;存储过程预先存储在 MySQL 服务器上&#xff0c;需要执行的时候&#xff0c;客户端只需要向服务器端发出调用 存储过程的命…
阅读更多...
管中窥豹！从冠德石油看数字化对加油站的影响力

管中窥豹！从冠德石油看数字化对加油站的影响力

从上个世纪90年代起&#xff0c;至2010年前后&#xff0c;是国内信息化建设的高速发展期。这段时间无论是应用软件、企业网站还是商业咨询&#xff0c;无不呈现井喷式发展。大多数企业和政府机关均完成了或多或少的信息化建设。IT带来了标准化、科学化的管理和运作模式&#xf…
阅读更多...
keil5 #include“头文件”前面有红叉X，但编译不报错

keil5 #include“头文件”前面有红叉X，但编译不报错

问题 如图 编译不报错 解决办法 keil软件界面&#xff0c;第一行图标栏的最后有个扳手&#x1f527;符号&#xff0c;点开&#xff0c;点击“text completion ”标签页&#xff0c; 右侧“text template”栏选中#define&#xff0c;左边“dynamic syntax checking”栏里取…
阅读更多...
软件测试面试题自动化面经分享——这才是高薪的秘诀！

软件测试面试题自动化面经分享——这才是高薪的秘诀！

Hello&#xff0c;你们的好朋友来了&#xff01;今天猜猜我给大家带来点啥干货呢&#xff1f;最近很多小伙伴出去面试的时候经常会被问到跟自动化测试相关的面试题。所以&#xff0c;今天特意给大家整理了一些经常被公司问到的自动化测试相关的面试题。停&#xff0c;咱先收藏起…
阅读更多...
css之学好rem

css之学好rem

1、先说说几个前端常用的几个单位的概论&#xff1a; 1、px (pixel&#xff0c;像素)&#xff1a;是一个虚拟长度单位&#xff0c;是计算机系统的数字化图像长度单位&#xff0c;如果px要换算成物理长度&#xff0c;需要指定精度DPI(Dots Per Inch&#xff0c;每英寸像素数)&am…
阅读更多...
Qt软件打包后报错“无法定位程序输入点于动态链接库.exe上。”解决办法(超详细，看完不会怪我)

Qt软件打包后报错“无法定位程序输入点于动态链接库.exe上。”解决办法(超详细，看完不会怪我)

目录 前言 一、出现类似如下界面&#xff1a; 二、通过尝试分析&#xff0c;这个界面出现的原因是因为自己没有设置环境变量 三、其次右击打开主菜单&#xff0c;选择系统选项 四、选择右边的高级系统设置 五、点击环境变量 六、再系统变量里面找到Path路径 七、点击编辑添…
阅读更多...
HOOPS全新文档系统上线！三维模型文件转换更便捷！

HOOPS全新文档系统上线！三维模型文件转换更便捷！

HOOPS 2023 U1版本已经正式发布&#xff0c;伴随新版本上线的还有全新的文档系统&#xff0c;新的文档系统亮点包括&#xff1a; 改进了样式和布局&#xff0c;使导航更加简单快捷&#xff1b;修订了导航结构&#xff0c;提高了产品相关信息的清晰度&#xff1b;SDK API参考章…
阅读更多...
人员与叉车防撞预警方案

人员与叉车防撞预警方案

叉车是仓库重吨位运输设备&#xff0c;在工厂、港口、码头、物流企业等有着广泛的使用。然而&#xff0c;叉车事故频繁发生已经引起人们的广泛关注。多数叉车因为前方货物遮挡的视线盲区多&#xff0c;极容易发生事故&#xff0c;例如撞伤人或货架导致货物倒塌伤人&#xff0c;…
阅读更多...
nodejs+vue高校教室自习室预约租赁系统

nodejs+vue高校教室自习室预约租赁系统

本次设计的主要任务是完成一个教室预约租赁管理系统网站&#xff0c;本系统主要分为普通用户与管理员两个角色, 能够实现登录注册&#xff0c;教室预约,教室租赁,用户管理&#xff0c;教室管理&#xff0c;教室预约等功能。主要分为前端页面设计和后端逻辑功能设计以及数据库设…
阅读更多...
循环队列讲解，以及Java实现代码

循环队列讲解，以及Java实现代码

目录 一.循环队列概念 二.队满和队空的情况 三.代码的实现 总结 &#x1f63d;个人主页&#xff1a; tq02的博客_CSDN博客-C语言,Java,Java数据结构领域博主 &#x1f308;梦的目标&#xff1a;努力学习&#xff0c;向Java进发&#xff0c;拼搏一切&#xff0c;让自己的未来…
阅读更多...
SonarQube7.8 安装及使用

SonarQube7.8 安装及使用

文章目录 SonarQube 使用手册一、简介1.1、概述1.2、实例组件 二、安装2.1、版本选型2.2、硬件要求2.3、安装2.3.1、解压SonarQube&汉化2.3.2、创建SonarQube数据库2.3.3、修改数据库连接2.3.4、创建SonarQube启动用户2.3.5、赋予启动用户执行权限2.3.6、相关报错解决2.3.7…
阅读更多...
Python 框架学习 Django篇 (二) 视图

Python 框架学习 Django篇 (二) 视图

前面我们实现了一些基本的页面与后台交互的逻辑&#xff0c;但可能还是很迷糊&#xff0c;突然甩出来一些前端的程序是欺负我忘完了吗(某人自述)&#xff0c;还有request.POST 都是干啥的也没说清楚&#xff0c;这里就来详细了解一下 1、什么是视图 我们定义的任何同时包含如下…
阅读更多...
网络安全盲目自学只会成为脚本小子？

网络安全盲目自学只会成为脚本小子？

一、网络安全学习的误区 1.不要试图以编程为基础去学习网络安全 不要以编程为基础再开始学习网络安全&#xff0c;一般来说&#xff0c;学习编程不但学习周期长&#xff0c;且过渡到网络安全用到编程的用到的编程的关键点不多。一般人如果想要把编程学好再开始学习网络安全往…
阅读更多...
6. 实现简单的线程池

6. 实现简单的线程池

本文以营业厅为例子&#xff0c;实现简单的线程池 一、线程池介绍 现在的企业客户端数以百万&#xff0c;如果某一时刻同时向服务器发消息&#xff0c;那么服务器要处理这些消息是同时开百万个线程吗&#xff1f;&#xff1f;当然不行&#xff01;&#xff01; 根据posix标准&…
阅读更多...
Pinna的使用以及pinna的持续化存储(两种方法)

Pinna的使用以及pinna的持续化存储(两种方法)

一、简介 pinia是 vue3 新的状态管理工具&#xff0c;简单来说相当于之前 vuex&#xff0c;它去掉了 Mutations 但是也是支持 vue2 的&#xff0c;需要的朋友可以参考下 二、使用方法 1.安装 npm install pinia -S 2..引入 import { createPinia,PiniaPluginContext } from p…
阅读更多...
RocketMQ(超级无敌认真好用，万字收藏篇!!!!)

RocketMQ(超级无敌认真好用，万字收藏篇!!!!)

文章目录 RocketMQ1 RocketMQ简介2 Rocket安装2.1 Rocket安装(基于Linux)2.2 控制台安装 3 Rocket的使用3.1 普通消息发送3.1.1 同步消息发送3.1.2 异步消息发送3.1.3 单向消息发送 3.2 普通消息消费3.2.1 集群消费3.2.2 广播消费 3.3 收发顺序消息3.3.1 全局顺序生产消费3.2.2…
阅读更多...
今天面试招了个23K的人，从腾讯出来的果然都有两把刷子···

今天面试招了个23K的人，从腾讯出来的果然都有两把刷子···

公司前段时间缺人&#xff0c;也面了不少测试&#xff0c;前面一开始瞄准的就是中级的水准&#xff0c;也没指望来大牛&#xff0c;提供的薪资在15-25k&#xff0c;面试的人很多&#xff0c;但平均水平很让人失望。看简历很多都是4年工作经验&#xff0c;但面试中&#xff0c;不…
阅读更多...
黑客辛酸成长史~入门指南

黑客辛酸成长史~入门指南

什么是黑客&#xff1f; 站在计算机角度上解释&#xff0c;黑客就是去寻找网站、系统、软件等漏洞&#xff0c;并利用漏洞来取得一些数据或达到控制&#xff0c;让对方程序崩溃等效果。 刚入门的黑客大部分从事渗透工作&#xff0c;而渗透大部分属于web安全方向。因此换个淳朴…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023