CentOS7：firewall防火墙使用

一、Firewalld防火墙

红帽RHEL7系统已经用firewalld服务替代了iptables服务，新的防火墙管理命令firewall-cmd与图形化工具firewall-config。特点是拥有运行时配置与永久配置选项且能够支持动态更新以及”zone”的区域功能概念，使用图形化工具firewall-config或文本管理工具firewall-cmd，下面实验中会讲到~

另外，你可以可以安装iptables-services服务，这样就可以按照之前的操作来操作iptables了。可以使用service save iptables来保存规则，也可以使用service iptables start|stop来开启和关闭iptables了。

1）区域概念与作用

防火墙的网络区域定义了网络连接的可信等级，我们可以根据不同场景来调用不同的firewalld区域，区域规则有：

简单来讲就是为用户预先准备了几套规则集合，我们可以根据场景的不同选择合适的规矩集合，而默认区域是public。

2）字符管理工具

如果想要更高效的配置妥当防火墙，那么就一定要学习字符管理工具firewall-cmd命令,命令参数有：

特别需要注意的是firewalld服务有两份规则策略配置记录，必需要能够区分：

RunTime：当前正在生效的。

Permanent：永久生效的。

当下面实验修改的是永久生效的策略记录时，必须执行”–reload”参数后才能立即生效，否则要重启后再生效。

查看当前的区域：

查询eno16777728网卡的区域：

在public中分别查询ssh与http服务是否被允许：

设置默认规则为dmz：

让“永久生效”的配置文件立即生效：

启动/关闭应急状况模式，阻断所有网络连接：

应急状况模式启动后会禁止所有的网络连接，一切服务的请求也都会被拒绝，当心，请慎用。

如果您已经能够完全理解上面练习中firewall-cmd命令的参数作用，不妨来尝试完成下面的模拟训练吧。

4）规则配置实战

模拟训练A：允许https服务流量通过public区域，要求立即生效且永久有效。

方法一：分别设置当前生效与永久有效的规则记录

方法二：设置永久生效的规则记录后读取记录

模拟训练B：不再允许http服务流量通过public区域，要求立即生效且永久生效。

使用参数”–reload”让永久生效的配置文件立即生效：

模拟训练C：允许8080与8081端口流量通过public区域，立即生效且永久生效。

模拟训练D：查看模拟实验C中要求加入的端口操作是否成功。

模拟实验E：将eno16777728网卡的区域修改为external，重启后生效。

端口转发功能可以将原本到某端口的数据包转发到其他端口:

将访问192.168.10.10主机888端口的请求转发至22端口：

使用客户机的ssh命令访问192.168.10.10主机的888端口：

再次提示:请读者们再仔细琢磨下立即生效与重启后依然生效的差别，千万不要修改错了。

模拟实验F：设置富规则，拒绝192.168.10.0/24网段的用户访问ssh服务。

firewalld服务的富规则用于对服务、端口、协议进行更详细的配置，规则的优先级最高。

二、图形管理工具

执行firewall-config命令即可看到firewalld的防火墙图形化管理工具，真的很强大，可以完成很多复杂的工作。

firewalld防火墙图形化管理工具界面详解：

①：选择”立即生效”或”重启后依然生效”配置。

②：区域列表。

③：服务列表。

④：当前选中的区域。

⑤：被选中区域的服务。

⑥：被选中区域的端口。

⑦：被选中区域的伪装。

⑧：被选中区域的端口转发。

⑨：被选中区域的ICMP包。

⑩：被选中区域的富规则。

⑪：被选中区域的网卡设备。

⑫：被选中区域的服务，前面有√的表示允许。

⑬：firewalld防火墙的状态。

请注意：firewall-config图形化管理工具中没有保存/完成按钮，只要修改就会生效。

允许其他主机访问http服务，仅当前生效：

允许其他主机访问8080-8088端口且重启后依然生效：

开启伪装功能，重启后依然生效：

firewalld防火墙的伪装功能实际就是SNAT技术，即让内网用户不必在公网中暴露自己的真实IP地址。

将向本机888端口的请求转发至本机的22端口且重启后依然生效：

过滤所有”echo-reply”的ICMP协议报文数据包，仅当前生效：

ICMP即互联网控制报文协议”Internet Control Message Protocol“，归属于TCP/IP协议族，主要用于检测网络间是否可通信、主机是否可达、路由是否可用等网络状态，并不用于传输用户数据。

仅允许192.168.10.20主机访问本机的1234端口，仅当前生效：

富规则代表着更细致、更详细的规则策略，针对某个服务、主机地址、端口号等选项的规则策略，优先级最高。

查看网卡设备信息：

firewall-config图形管理工具真的非常实用，很多原本复杂的长命令被用图形化按钮替代，设置规则也变得简单了，日常工作中真的非常实用。所以有必要跟读者们讲清配置防火墙的原则——只要能实现需求的功能，无论用文本管理工具还是图形管理工具都是可以的。

三、服务的访问控制列表

在Linux中不光可以使用iptables来做安全控制，其实简单的控制也可以使用tcp_wrappers来进行。

Tcp_wrappers(即Transmission Control Protocol(TCP)Wrappers)是一款基于IP层的ACL访问控制列表流量监控程序，它能够根据来访主机地址与本机目标服务程序做允许或拒绝规则，控制列表修改后会立即生效，系统将会先检查允许规则，如果匹配允许则直接放行流量，若拒绝规则中匹配则直接拒绝，都不匹配默认也会放行。

允许名单：/etc/hosts.allow

拒绝名单：/etc/hosts.deny

指定客户端的规则如下：

限制只有192.168.10.0/24网段的主机可以访问本机的sshd服务：

编辑允许规则：

拒绝其他所有的主机：

PS：对于Firewall防火墙，后面持续增加内容……..

喜欢 (13)赏

[资助本站您就扫码 谢谢]

分享 (0)