首页 / CENTOS / centos7防火墙firewalld

centos7防火墙firewalld

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了centos7防火墙firewalld，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含9252字，纯文字阅读大概需要14分钟。

内容图文

1、firewalld简介
在RHEL7/CentOS7.x 版本上，firewalld已经替代iptables成为默认的防火墙软件，firewalld是centos7的一大特性，最大的好处有两个：
第一个：支持动态更新，不用重启服务，随时添加规则，随时生效，这个过程不需要重新装载netfilter内核模块，但是要求所有的规则都通过firewalld守护进程来实现，以确保守护进程内的防火墙状态和内核中的防火墙状态一致；守护进程firewalld，应用程序、守护进程和用户可以通过D-BUS请求一个防火墙特性，特性可以是预定义的防火墙功能，例如：服务、端口和协议的组合、端口/数据报转发、伪装、ICMP拦截或自定义的规则。原有的静态防火墙规则还可以继续使用，但是不能和firewalld同时存在，需要使用这两者中的任何一个时，停止另外一个的使用。
 
第二个就是加入了区域（zone）的概念
区域定义了网络连接的可信等级，这是一个一对多的关系，意味着一次连接可以仅仅是一个区域的一部分，一个区域可以用于很多连接。
 
区域的功能包括如下几个方面：
预定义的服务：服务是端口和/或协议入口的组合，备选内容包括netfilter助手模块以及IPv4、IPv6地址。
端口和协议：定义了tcp或udp端口，可以是一个端口或者一个端口范围；
ICMP阻塞：可以选择Internet控制报文协议的报文，这些报文可以是信息请求，也可以是对信息请求或错误条件创建的响应。
伪装（masqerading）：私有网络地址可以被映射到公共的IP地址，这是一个正规的IP地址转换。
端口转发：端口可以映射到另外一个端口或者另外一台主机上的端口。
 
firewalld引入这一概念系统默认存在以下区域：
drop：默认丢弃所有包，不作出任何相应，只允许流出的网络连接
block：拒绝所有外部连接，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接
public：用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入
external： 用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机，只允许选中的服务通过。
dmz：用以允许隔离区（dmz）中的电脑有限地被外界网络访问，只允许选中的服务通过。
work：用在工作网络，你新人网络中的大多数计算机不会影响你的计算机，只接受被选中的连接。
home：你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过
internal：用在内部网络。你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过。
trusted：允许所有网络连接，即使没有开放任何服务，那么使用此zone的流量照样通过（一路绿灯）。
 
2、安装firewalld
firewalld有图形界面和工具界面，本文以字符界面做介绍
firewalld的字符界面管理工具是 firewall-cmd
firewalld默认配置文件有两个：/usr/lib/firewalld/ （系统配置，尽量不要修改）和 /etc/firewalld/ （用户配置地址）
/usr/lib/firewalld/zones/用于配置默认和备用区域，/etc/firewalld/zones用于用户创建和自定义配置区域
 
root执行
yum install firewalld
 
3、配置firewalld
（1）为网络连接设置或者修改区域
在ifcfg-eth文件中修改，添加
zone=public（或者其他区域）
来为网卡指定区域，没有指定该参数的话就使用默认的区域
（2）使用firewalld
firewall-cmd
通用选项
查看版本
$ firewall-cmd -V | --version
 
查看帮助
$ firewall-cmd -h | --help
    
 不显示状态信息
$ firewall-cmd -q | --quiet
 
状态选项
显示状态
$ firewall-cmd --state
running
重新加载防火墙规则并保留原有的状态信息，如果不使用永久生效选项，则重启后规则消失
$ firewall-cmd --reload
 
重新完全加载防火墙，包括netfilter kernel模块。会因为丢失连接的状态信息而断开已经激活的连接，仅适用于严重的防火墙故障，例如在正确的防火墙规则下但是不能建立有效的连接。
$ firewall-cmd --complete-reload

 

永久选项
用来设置参数永久生效，这个选项配置的时候不会立即生效，而需要重启服务或者重启系统。没有使用这个参数的话，设置的规则重启防火墙或者重启系统后丢失。
$ firewall-cmd --permanent

 

区域选项（zone options）
获取默认区域
$ firewall-cmd --get-default-zone  
public

本机的默认区域是public

设置默认区域，流入默认区域的接口的新请求将由新的默认区域接收，当前已连接的不受影响。
$ firewall-cmd --set-default-zone=zone

 

显示出当前激活的zone以及zone绑定的端口和zone中使用的资源。输出格式如下
$ firewall-cmd --get-active-zone
public
  interfaces: eno16777736
 
支持的服务（不一定已经启用），用空格分隔的列表
$ firewall-cmd --get-services      
RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-https
获取所有支持的ICMP类型（不一定启用）
$ firewall-cmd --get-icmptypes 
destination-unreachable echo-reply echo-request parameter-problem redirect router-advertisement router-solicitation source-quench time-exceeded

可以看到现在firewalld默认支持的服务已经非常多了

列出全部启用的区域的特性
$ firewall-cmd --list-all-zones

 输出某个区域的全部特性 
$ firewall-cmd --zone=zone --list-all

 查看指定接口所属区域

$ firewall-cmd --get-zone-of-interface=eth0

将接口增加到区域，如果接口不属于区域，接口被增加到这个区域，如果区域被省略，则使用默认区域。接口在小红心加载后重新应用。此时如果接口已经绑定到相应的zone上面以后，这样更改会出错，需要先在对应的zone里面把接口信息删除，然后才能添加
$ firewall-cmd --zone=zone --add-interface=<interface>

修改接口所属的区域 
$ firewall-cmd --zone=zone --change-interface=<interface>

 

从区域中删除一个接口 
$ firewall-cmd --zone=zone --remove-interface=<interface>

 

查询某个区域中是否包含这个接口　　

$ firewall-cmd --zone=zone --query-interface=<interface>
列出区域中启用的服务 
$ firewall-cmd --zone=zone --list-services

 

启动应急模式阻断所有网络连接，以防出现紧急状况；
$ firewall-cmd --panic-on
禁用应急模式 
$ firewall-cmd --panic-off

查看是否启用应急模式

$ firewall-cmd --query-panic
 
处理运行时区域
运行时模式下对区域进行的修改不是永久有效的，重新加载或者重启系统后修改将失效
启用某个区域中的一种服务，timeout参数设定该服务启动时间，permanet参数设置该服务永久生效(需要重启firewalld守护进程)，timeout和permanet不可同时使用。
$ firewall-cmd [--permanet] --zone=zone --add-service [--timeout=seconds]

 

例如：使区域中的http服务生效5min
$ firewall-cmd --zone=public --add-service --timeout=300
 
 禁止区域中的某种服务
$ firewall-cmd --zone=zone --remove-service
查询区域中是否启用了特定的服务
  
$ firewall-cmd --zone=zone --query-service
启用端口和协议的组合，端口可以是一个单独的端口或者一个端口范围，协议可以是tcp或udp
$ firewall-cmd --zone=zone --add-port=<port>/protocol [--timeout=seconds]

 

禁用端口和协议的组合
$ firewall-cmd --zone=zone --remove-port=<port>[-<port>]/<protocol>
 
查询区域中是否启用了端口和协议的组合，如果启用有返回值，反之没有。
$ firewall-cmd --zone=zone --query-port=<port>[-<port>]/<protocol>
 
启用区域中的IP伪装功能，私有网络地址被隐藏并映射到一个公有IP，常用于路由，由于内核的性质，仅可用于ipv4
$ firewall-cmd --zone=zone --add-masquerade
 
禁用IP伪装功能
$ firewall-cmd --zone=zone --remove-masquerade

 查询区域的伪装状态

$ firewall-cmd --zone=zone --query-masquerade

启用区域的ICMP阻塞功能
$ firewall-cmd --zone=zone --add-icmp-block=<icmptype>
禁用区域的ICMP阻塞功能
$ firewall-cmd --zone=zone --remove-icmp-block=<icmptype>
 查询区域的ICMP阻塞状态
$ firewall-cmd --zone=zone --query-icmp-block=<icmptype>
 
例如：阻塞区域的响应应答报文
$ firewall-cmd --zone=public --add-icmp-block=echo-reply
 
在区域中启用端口转发或者映射
$ firewall-cmd --zone=zone --add-forward-port=port=<port>-[<port>]:proto=<protocol> {:toport=<port>-[<port>] | :toaddr=<address> | :toport=<port>-[<port>]:toaddr=<address>}

端口映射到另外一个端口，端口映射到另外一个地址上的相同端口，端口映射到另外一台主机上的不同端口，仅限于ipv4使用；

将本机的80端口转发到8080端口
$ firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080
将本机的80端口转发到后端192.168.1.249主机的80端口上
$ firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=80:toaddr=192.168.1.249
success
 
在区域中禁用端口转发或者映射
$ firewall-cmd --zone=zone --remove-forward-port=port=<port>-[<port>]:proto=<protocol> {:toport=<port>-[<port>] | :toaddr=<address> | :toport=<port>-[<port>]:toaddr=<address>}
 
移除本机80到8080端口的转发
$ firewall-cmd --zone=public --remove-forward-port=port=80:proto=tcp:toport=8080

移除本机80端口到后端主机192.168.1.249的80端口的映射
$ firewall-cmd --zone=public --remove-forward-port=port=80:proto=tcp:toport=80:toaddr=192.168.1.249

在区域中查询端口转发或者映射
$ firewall-cmd --zone=zone --query-forward-port=port=<port>-[<port>]:proto=<protocol> {:toport=<port>-[<port>] | :toaddr=<address> | :toport=<port>-[<port>]:toaddr=<address>}
 
处理永久区域
永久选项不直接影响运行时的状态，这些选项尽在重载或者重启服务时可用。为了使用运行时和永久设置，需要分别设置两者，选项--permanent是永久设置的第一个参数，例如：
获取永久设置支持的服务
$ firewall-cmd --permanent --get-services
获取永久设置支持的ICMP类型列表  
$ firewall-cmd --permanent --get-icmptypes
获取永久设置支持的区域
$ firewall-cmd --permanent --get-zones
将--permanent设置为第一个参数，即可将临时性的服务设置为永久性生效的服务（需要重启/载服务或重启系统）
 
直接选项
直接选项给予一个更直接访问防火墙的能力，这个选项要求用户知道一些基本的iptables概念，例如tables(filter/mangle/nat/...),chain(INPUT/OUTPUT,FORWARD/...),command(-A/-D/-I/...),参数（-p/-s/-d/-j/...）和目标（ACCEPT/DROP/REJECT/...）。当防火墙不能使用例如--add-service=service 或者 --add-rich-rule=‘rule‘这样的规则的时候，直接选项只能被用于作为一个最后的手段。每一个选项的第一个参数必须是ipv4或者ipv6或者eb。使用ipv4将适用于IPv4（iptables(8)），ipv6参数适用于IPv6(ipv6tables(8))，eb参数适用于网桥（ebtables(8)）。
 
将命令传递给防火墙。参数 <args> 可以是 iptables, ip6tables 以及 ebtables 命令行参数。
  
$ firewall-cmd --direct --passthrough { ipv4 | ipv6 | eb } <args>
 
为表 <table> 增加一个新链 <chain> 。 
$ firewall-cmd --direct --add-chain { ipv4 | ipv6 | eb } <table> <chain>
 
从表 <table> 中删除链 <chain> 。
$ firewall-cmd --direct --remove-chain { ipv4 | ipv6 | eb } <table> <chain>
 
查询 <chain> 链是否存在与表 <table>. 如果是，返回0,否则返回1.
$ firewall-cmd --direct --query-chain { ipv4 | ipv6 | eb } <table> <chain>
如果启用，此命令将有返回值。此命令没有输出信息。
 
获取用空格分隔的表 <table> 中链的列表。
$ firewall-cmd --direct --get-chains { ipv4 | ipv6 | eb } <table>
 
为表 <table> 增加一条参数为 <args> 的链 <chain> ，优先级设定为 <priority>。
  
$ firewall-cmd --direct --add-rule { ipv4 | ipv6 | eb } <table> <chain> <priority> <args>
 
从表 <table> 中删除带参数 <args> 的链 <chain>。
$ firewall-cmd --direct --remove-rule { ipv4 | ipv6 | eb } <table> <chain> <args>
 
查询 带参数 <args> 的链 <chain> 是否存在表 <table> 中. 如果是，返回0,否则返回1.
$ firewall-cmd --direct --query-rule { ipv4 | ipv6 | eb } <table> <chain> <args>

 

如果启用，此命令将有返回值。此命令没有输出信息。
 
获取表 <table> 中所有增加到链 <chain> 的规则，并用换行分隔。
$ firewall-cmd --direct --get-rules { ipv4 | ipv6 | eb } <table> <chain>
 
当前的firewalld特性
D-BUS接口：提供防火墙状态信息，使防火墙的启用、挺有或查询设置成为可能。
区域：
服务：可以是一系列本地端口、目的端口记忆附加信息，也可以是服务启动时自动增加的防火墙助手模块。预定义服务的使用使得对服务的启用和禁用更加简单。
ICMP类型：Internet控制报文协议（ICMP）备用阿里交换保本和互联网协议(ip)的错误报文，在firewalld中可以使用ICMP类型来限制报文交换
直接接口：用于服务或者应用程序增加特定的防火墙规则，重载或者重启时需要重新提交。
运行时配置：
永久配置：
托盘小程序firewall-applet为用户显示防火墙状态和存在的问题，也可以用来配置用户允许修改的设置。（图形界面可用）
图形化配置工具firewall-config，支持防火墙的所有特性（除了直接接口）。
命令行客户端firewall-cmd
对于ebtables的支持：要满足libvirt daemon的全部需求，在内核netfilter级上放置iptables和ebtables间访问问题，ebtables支持是需要的，这些命令是访问相同的结构，因而不能同时使用。
/usr/lib/firewalld/中的默认/备用配置
/etc/firewalld/中的系统配置设置
 
正在开发的特性
富语言：提供了一种不需要了解iptables语法的通过高级语言配置复杂IPv4和IPv6防火墙规则的机制
锁定：为firewalld增加了锁定本地应用或者服务配置的简单配置方式，是一种轻量级的应用程序策略。
用就直接规则：能够提供保存直接规则和直接链的功能个
从iptables和ebtables服务迁移：尽可能提供由iptables，ip6tables和ebtables服务配置转为永久直接规则的脚本。
 
 
参考文献：

原文：http://www.cnblogs.com/hf9999/p/5594384.html

内容总结

以上是互联网集市为您收集整理的centos7防火墙firewalld全部内容，希望文章能够帮你解决centos7防火墙firewalld所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1260460.html

来源：【匿名】