CentOS 7 防火墙 Firewalld

时间:2023-02-02 05:40:11

CentOS 7 防火墙 Firewalld
---------------------------------------------------------------------------------------------------------------------------------------------
CentOS 7 与 RHEL 7 系统中集成了多款防火墙管理工具,其中firewalld(Dynamic Firewall Manager of Linux systems,Linux系统的动态防火墙管理器)服务
是默认的防火墙配置管理工具,它拥有基于CLI(命令行界面)和基于GUI(图形用户界面)的两种管理方式。

查看 firewalld 服务的运行状态:

[root@online ~]# systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since 一 2018-04-23 17:23:01 CST; 13min ago
     Docs: man:firewalld(1)
 Main PID: 1182 (firewalld)
   CGroup: /system.slice/firewalld.service
           └─1182 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid

           
说明运行正常。

相较于传统的防火墙管理配置工具,firewalld支持动态更新技术并加入了区域(zone)的概念。简单来说,区域就是firewalld预先准备了几套防火墙策略集合(策略
模板),用户可以根据生产场景的不同而选择合适的策略集合,从而实现防火墙策略之间的快速切换。例如,我们有一台笔记本电脑,每天都要在办公室、咖啡厅和家
里使用。按常理来讲,这三者的安全性按照由高到低的顺序来排列,应该是家庭、公司办公室、咖啡厅。当前,我们希望为这台笔记本电脑指定如下防火墙策略规则:
    
    在家中允许访问所有服务;在办公室内仅允许访问文件共享服务;在咖啡厅仅允许上网浏览。
    
在以往,我们需要频繁地手动设置防火墙策略规则,而现在只需要预设好区域集合,然后只需轻点鼠标就可以自动切换了,从而极大地提升了防火墙策略的应用效率。

firewalld中常见的区域名称(默认为public)以及相应的策略规则如下表所示。


                            firewalld中常用的区域名称及策略规则

+===========+===============================================================================================================================+
|    区域    |    默认规则策略                                                                                                                |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| trusted    | 允许所有的数据包                                                                                                                |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| home        | 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、mdns、ipp-client、amba-client 与 dhcpv6-client 服务相关,则允许流量    |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| internal    | 等同于home区域                                                                                                                |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| work        | 拒绝流入的流量,除非与流出的流量数相关;而如果流量与ssh、ipp-client与dhcpv6-client服务相关,则允许流量                        |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| public    | 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、dhcpv6-client服务相关,则允许流量                                        |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| external    | 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量                                                        |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| dmz        | 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量                                                        |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| block        | 拒绝流入的流量,除非与流出的流量相关                                                                                            |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
| drop        | 拒绝流入的流量,除非与流出的流量相关                                                                                            |
+-----------+-------------------------------------------------------------------------------------------------------------------------------+
    

    
1. 终端管理工具
---------------------------------------------------------------------------------------------------------------------------------------------
firewall-cmd 是 firewalld 防火墙配置管理工具的CLI(命令行界面)版本。它的参数一般都是以“长格式”来提供的,如下表所示:


                         firewall-cmd命令中使用的参数以及作用


        +===============================+=======================================================+
        |    参数                        |             作用                                        |
        +-------------------------------+-------------------------------------------------------+
        | --get-default-zone            | 查询默认的区域名称                                    |
        +-------------------------------+-------------------------------------------------------+
        | --set-default-zone=<区域名称>    | 查询默认的区域名称                                    |
        +-------------------------------+-------------------------------------------------------+
        | --get-zones                    | 显示可用的区域                                        |
        +-------------------------------+-------------------------------------------------------+
        | --get-services                | 显示预先定义的服务                                    |
        +-------------------------------+-------------------------------------------------------+
        | --get-active-zones            | 显示当前正在使用的区域与网卡名称                        |
        +-------------------------------+-------------------------------------------------------+
        | --change-source                | 将源自此IP或子网的流量导向指定的区域                    |
        +-------------------------------+-------------------------------------------------------+
        | --remove-source=                | 不再将源自此IP或子网的流量导向某个指定区域            |
        +-------------------------------+-------------------------------------------------------+
        | --add-interface=<网卡名称>    | 将源自该网卡的所有流量都导向某个指定区域                |
        +-------------------------------+-------------------------------------------------------+
        | --change-interface=<网卡名称>    | 将某个网卡与区域进行关联                                |
        +-------------------------------+-------------------------------------------------------+
        | --list-all                    | 显示当前区域的网卡配置参数、资源、端口以及服务等信息    |
        +-------------------------------+-------------------------------------------------------+
        | --list-all-zones                | 显示所有区域的网卡配置参数、资源、端口以及服务等信息    |
        +-------------------------------+-------------------------------------------------------+
        | --add-service=<服务名>        | 设置默认区域允许该服务的流量                            |
        +-------------------------------+-------------------------------------------------------+
        | --add-port=<端口号/协议>        | 设置默认区域允许该端口的流量                            |
        +-------------------------------+-------------------------------------------------------+
        | --remove-service=<服务名>        | 设置默认区域不再允许该服务的流量                        |
        +-------------------------------+-------------------------------------------------------+
        | --remove-port=<端口号/协议>    | 设置默认区域不再允许该端口的流量                        |
        +-------------------------------+-------------------------------------------------------+
        | --reload                        | 让“永久生效”的配置规则立即生效,并覆盖当前的配置规则    |
        +-------------------------------+-------------------------------------------------------+
        | --panic-on                    | 开启应急状况模式                                        |
        +-------------------------------+-------------------------------------------------------+
        | --panic-off                    | 关闭应急状况模式                                        |
        +-------------------------------+-------------------------------------------------------+


使用firewalld配置的防火墙策略默认为运行时(Runtime)模式,又称为当前生效模式,而且随着系统的重启会失效。如果想让配置策略一直存在,就需要使用
永久(Permanent)模式了,方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数,这样配置的防火墙策略就可以永久生效了。但是,
永久生效模式有一个特点,就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效,需要手动执行firewall-cmd --reload命令。


范例:

    ● 查看firewalld服务当前所使用的区域:
    
        [root@online ~]# firewall-cmd --get-default-zone
        public

    ● 查询 enp6s0f0 网卡在firewalld服务中的区域:
    
        [root@online ~]# firewall-cmd --get-zone-of-interface=enp6s0f0
        public

    ● 把 firewalld 服务中 enp6s0f0 网卡的默认区域修改为 external,并在系统重启后生效。分别查看当前与永久模式下的区域名称:
        
        [root@online ~]# firewall-cmd --permanent --zone=external --change-interface=enp6s0f0
        The interface is under control of NetworkManager, setting zone to 'external'.
        success

        [root@online ~]# firewall-cmd --get-zone-of-interface=enp6s0f0
        external

    ● 把firewalld服务的当前默认区域设置为public:
    
        [root@online ~]# firewall-cmd --set-default-zone=public
        Warning: ZONE_ALREADY_SET: public
        success

    ● 启动/关闭firewalld防火墙服务的应急状况模式,阻断一切网络连接(当远程控制服务器时请慎用):
        
        [root@online ~]# firewall-cmd --panic-on
        success

        [root@online ~]# firewall-cmd --panic-off
        success

    ● 查询public区域是否允许请求 SSH 和 HTTP/HTTPS 协议的流量:
    
        [root@online ~]# firewall-cmd --zone=public --query-service=ssh
        yes

        [root@online ~]# firewall-cmd --zone=public --query-service=http
        no

        [root@online ~]# firewall-cmd --zone=public --query-service=https
        no

    ● 设置 firewalld 服务中 HTTP 和 HTTPS 服务为永久允许,并立即生效:

        [root@online ~]# firewall-cmd --permanent --zone=public --add-service=http
        success
        [root@online ~]# firewall-cmd --permanent --zone=public --add-service=https
        success
        [root@online ~]# firewall-cmd --reload
        success

        查询设置结果:
        [root@online ~]# firewall-cmd --zone=public --query-service=http
        yes
        [root@online ~]# firewall-cmd --zone=public --query-service=https
        yes

    ● 把在 firewalld 服务中访问 8080 和 8081 端口的流量策略设置为允许,但仅限当前生效:
    
        [root@online ~]# firewall-cmd --zone=public --add-port=8080-8081/tcp
        success
        [root@online ~]# firewall-cmd --zone=public --list-ports
        8080-8081/tcp
        
    ● 把原本访问本机 888 端口的流量转发到 22 端口,要且求当前和长期均有效:
    ---------------------------------------------------------------------------------------------------------------------------------------------
    流量转发命令格式为:
    
        firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
    
        [root@online ~]# firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.1.10
        success
        [root@online ~]# firewall-cmd --reload
        success
        
    在客户端使用 ssh 命令尝试访问 192.168.1.10 主机的 888 端口:
    
        $ ssh -p 888 devalone@192.168.1.10
        Last login: Mon Apr 23 19:12:22 2018 from 192.168.1.102
        [devalone@online ~]$

        
    ● firewalld 中的富规则表示更细致、更详细的防火墙策略配置,它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的
      优先级在所有的防火墙策略中也是最高的。比如,我们可以在 firewalld 服务中配置一条富规则,使其拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务
      (22端口):
      
        [root@online ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" \
        service name="ssh" reject"
        success
        [root@online ~]# firewall-cmd --reload
        success

    在客户端使用ssh命令尝试访问 192.168.10.10 主机的ssh服务(22端口):
    
        [root@online ~]# ssh 192.168.10.10
        Connecting to 192.168.10.10:22...
        Could not connect to '192.168.10.10' (port 22): Connection failed.


        
2. 图形管理工具 (GUI)
---------------------------------------------------------------------------------------------------------------------------------------------        
firewall-config 是 firewalld 防火墙配置管理工具的 GUI(图形用户界面)版本,几乎可以实现所有以命令行来执行的操作, firewall-config 功能具体如下。

    1:选择运行时(Runtime)模式或永久(Permanent)模式的配置。

    2:可选的策略集合区域列表。

    3:常用的系统服务列表。

    4:当前正在使用的区域。

    5:管理当前被选中区域中的服务。

    6:管理当前被选中区域中的端口。

    7:开启或关闭SNAT(源地址转换协议)技术。

    8:设置端口转发策略。

    9:控制请求icmp服务的流量。

    10:管理防火墙的富规则。

    11:管理网卡设备。

    12:被选中区域的服务,若勾选了相应服务前面的复选框,则表示允许与之相关的流量。

    13:firewall-config 工具的运行状态。


运行:

    [root@online ~]# firewall-config


---------------------------------------------------------------------------------------------------------------------------------------------    
参考:
    http://www.firewalld.org/