溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
Firewalld的概念和常用命令是什么，很多新手對此不是很清楚，為了幫助大家解決這個難題，下面小編將為大家詳細講解，有這方面需求的人可以來學習下，希望你能有所收獲。
下面主要從概念及架構、核心組成、常用命令等幾個方面詳細介紹了Firewalld，并附加介紹了iptables四表五鏈和netfilter的知識。
一 簡介
1、Firewalld提供更加智能化的防火墻管理規則，優化策略配置方案，支持網絡“zones（域）”，并為網絡及其關聯的鏈接、接口或源分配信任級別，不同信任級別默認開放服務不同。
2、支持IPV4，IPV6，以太網橋以及IPSET防火墻設置。
3、運行時態與永久配置分離，運行時態可手動更改，重置后回到永久配置（文件配置）
4、優化iptables添加規則，還支持圖形界面(本文不介紹)，除了iptables，還有ip6tables和ebtables規則。
空間架構分為上下兩層。
1、上層：firewalld D-Bus：命令主接口，修改防火墻配置主要方式。
firewall-cmd：主要命令行操作方式。
firewall-config：離線命令行操作模式，因為直接作用于firewalld永久配置中，所以在firewall運行時不建議直接操作。
firewall-config：圖形配置模式。
firewall-applet：防火墻小程序。
空間結構圖示
建議使用NetworkManager，雖然firewalld不依賴它，但是NetworkManager會解決一些網絡設備重命名的通知等問題。
Drop : 任何傳入的網絡的數據包都被丟棄
Block : 任何傳入網絡的數據包都被拒絕(包括ICMP)，只能啟動網絡鏈接
Public : 在公共區域內使用，近接受選定的傳入鏈接（默認：僅ssh或dhcpv6-client服務鏈接）
External : 用于偽裝，出去的ipv4網絡鏈接通過此區域偽裝和轉發（默認：僅接受ssh服務鏈接）
Dmz : 對內部網絡訪問權限限制（默認：僅接受ssh服務鏈接）
Work : 用于工作區（默認：僅接受ssh，ipp-client或dhcpv6-client服務鏈接 ）
Home : 用于家庭區（默認：僅接受ssh，mdns，ipp-client，samba-client或dhcpv6-client服務鏈接）
Internal : 內部，對網絡上的其他計算機信任的較高，默認大部分服務
Trusted : 最高信任級別，接受所有網絡鏈接
public 配置（/etc/firewalld/zones）
2、NetworkManager存在的意義
1）NetworkManager（接口管理者）不能處理網絡鏈接，它的作用是告訴firewalld將用于此鏈接的網絡接口分配給該鏈接的配置中定義的區域，當然存在網絡配置的系統都支持ifcfg文件的系統
2）網絡鏈接由網絡腳本處理
version=”string” 版本提供
target=”ACCEPT|%%REJECT%%|DROP” 接受，拒絕或丟棄與任何規則（端口，服務等）不匹配的每個數據包
short 可選開始和結束的標記，用于名稱備注
description 可選的開始和結束的標記，用于描述備注
interface 可選的空元素標記 ，只有一個name屬性，一般使name=”string”方式綁定服務到zone的接口上
source 可選的空元素標記，可多次使用。它可用于將源地址、地址反饋、MAC地址或ipset綁定到區域。屬性如下：
address=”address[/mask]” 源是IP地址或具有IPv4、IPv6掩碼的網絡IP地址；
mac=”MAC” 源是MAC地址。它必須是xx:xx:xx:xx:xx:xx形式；
ipset=”ipset” 源是一個ipset；
port 可選的空元素標記，可以多次使用具有多個端口條目。屬性如下：
port=”portid[-portid]” 端口可以是單個端口號portid,也可以是端口范圍portid-portid
protocol=”tcp|udp” 協議可分為TCP/UDP
protocol 可選的空元素標記，可以多次使用具有多個協議條目。屬性如下：
value=”string”
icmp-block 可選的空元素標記，可以多次使用具有多個條目，每個icmp-block標記只有一個強制屬性：
name=”string”
icmp-block-inversion 可選的空元素標記，只能在區域配置中使用一次。該標志反轉icmp塊處理。僅接受啟用的ICMP類型，并在區域中拒絕所有其他類型
masquerade 偽裝，可選的空元素標記。它只能在區域配置中使用一次，不能用于IPV6。
forward-port 可選的空元素標記，可以多次使用具有多個端口或數據包轉發條目。forward-port有強制和可選屬性：
強制屬性： port=”portid[-portid]”,protocol=”tcp|udp”
可選屬性： 用于本地轉發，僅添加到端口。
to-port=”portid[-portid]” 要轉發到的目標端口或端口范圍。
to-addr=”address” 目標IPv4地址
source-port 可選的空元素標記，可多次使用具有多個源端口條目。源端口所有屬性都是必需的：
port=”portid[-portid]”
protocol=”tcp|udp”
規則示例
<?xml version="1.0" encoding="utf-8"?> <zone> <short>Home</short> <description>For use in home areas. You mostly trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description> <service name="ssh"/> <service name="mdns"/> <service name="samba-client"/> <service name="dhcpv6-client"/> </zone>
服務示例
<?xml version="1.0" encoding="utf-8"?> <service> <short>FTP</short> <description>FTP is a protocol used for remote file transfer. If you plan to make your FTP server publicly available, enable this option. You need the vsftpd package installed for this option to be useful.</description> <port protocol="tcp" port="21"/> <module name="nf_conntrack_ftp"/> </service>
IPSet示例
<?xml version="1.0" encoding="utf-8"?> <ipset type="hash:mac"> <short>mac-list</short> <entry>00:11:22:33:44:55</entry> </ipset>
Helper（助手示例）用于安全地使用鏈接跟蹤幫助程序
<?xml version="1.0" encoding="utf-8"?> <helper module="nf_conntrack_ftp"> <port protocol="tcp" port="21"/> </helper>
ICMP類型，限制ICMP在Internet協議（IP）中的信息交換，回應或者不回應等等
<?xml version="1.0" encoding="utf-8"?> <icmptype> <short>Echo Request (ping)</short> <description>This message is used to test if a host is reachable mostly with the ping utility.</description> </icmptype>
一般來說，不用進行配置中的規則修改。如若需要修改，可使用常用命令進行規則指定。
1、基礎命令
firewall-cmd --state #查看firewalld的狀態 firewall-cmd --get-active-zones #查看當前活動的區域，并附帶一個目前分配給他們的接口列表 firewall-cmd --get-defailt-zone #查看默認區域 firewall-cmd --set-default-zone=dmz #設置默認區域 firewall-cmd --get-zones #查看所有可用域區 firewall-cmd --permanent --zone=internal --add-source=172.25.254.60/24 #設置源地址的所屬zone (--permanent參數表示永久生效設置，如果沒有指定--zone參數，則表示加入到默認區域) firewall-cmd --permanent --zone=internal --remove-source=172.25.254.60/24 #刪除網絡地址 firewall-cmd --reload #重載配置，并不會中斷服務 firewall-cmd --complete-reload #完全重載，會中斷服務
2、添加服務
firewall-cmd --zone=public --add-service=http #在運行時環境的公共區域打開http服務 firewall-cmd --permanent --zone=public --add-service=http #永久設定，在公共區域打開http服務
firewall-cmd --direct --add-rule ipv4filter IN_public_allow 0 -p tcp --dport 80 -j ACCEP #添加規則，指定運行所有鏈接進入80端口 firewall-cmd --direct --remove-ruleipv4 filter IN_public_allow 0 -p tcp --dport 80 -j ACCEPT #刪除規則 firewall-cmd --direct--get-all-rules #列出規則
firewall-cmd --permanent --new-service-from-file=myservice.xml --name=mynewservice
簡而言之，iptables算是防火墻的基石，火墻在做數據包過濾決定時，有一套遵循和組成的規則，這些規則存儲在專門的數據包過濾表中，這些表集成在Linux內核中。在數據包過濾表中，規則被分組放在我們所謂的鏈（chain）中。
而netfilter/iptables進行IP過濾規則的添加，編輯和移除規則。
netfilter組件也稱為內核空間，是內核的一部分，由一些信息包過濾表組成，這些表包含內核用來控制信息包過濾處理的規則集。
Iptables組件是一種工具，也成為用戶空間，它使插入、修改和除去信息包過濾表中的規則變得容易。
Linux內核過濾結構
Filter表 —— 三個鏈：INPUT、FORWARD、OUTPUT
作用：過濾數據包 內核模塊：iptables_filter.
Nat表 —— 三個鏈：PREROUTING、POSTROUTING、OUTPUT
作用：用于網絡地址轉換（IP、端口） 內核模塊：iptable_nat
Mangle表——五個鏈：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改數據包的服務類型、TTL、并且可以配置路由實現QOS內核模塊：iptable_mangle(別看這個表這么麻煩，咱們設置策略時幾乎都不會用到它)
Raw表 —— 兩個鏈：OUTPUT、PREROUTING
作用：決定數據包是否被狀態跟蹤機制處理 內核模塊：iptable_raw
四表五鏈對應關系
INPUT —— 進來的數據包應用此規則鏈中的策略
OUTPUT —— 外出的數據包應用此規則鏈中的策略
FORWARD —— 轉發數據包時應用此規則鏈中的策略
PREROUTING —— 對數據包作路由選擇前應用此鏈中的規則
（記住！所有的數據包進來的時侯都先由這個鏈處理）
POSTROUTING —— 對數據包作路由選擇后應用此鏈中的規則
（所有的數據包出來的時侯都先由這個鏈處理）
鏈表處理邏輯
看完上述內容是否對您有幫助呢？如果還想對相關知識有進一步的了解或閱讀更多相關文章，請關注億速云行業資訊頻道，感謝您對億速云的支持。
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
