iptables	firewalld
iptables主要是基于接口，来设置规则，从而判断网络的安全性。	firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的设置相类似。
iptables 在 /etc/sysconfig/iptables/中储存配置。	firewalld将配置储存在 /etc/firewalld/（优先加载）和 /usr/lib/firewalld/（默认的配置文件）中的各种XML文件里。
使用iptables每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables里读取所有新的规则。	使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内，改变设置而不丢失现行连接。
iptables 防火墙类型为静态防火墙	firewalld防火墙类型为动态防火墙

三、firewalld区域的概念

firewalld防火墙为了简化管理，将所有网络流量分为多个区域(zone)。然后根据数据包的源ip地址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服务列表。

firewalld防火墙预定义了9个区域

区域名	默认作用
trusted（信任区域）	允许所有的传入流量。
public（公共区域）	允许与ssh或dhcopv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。
external（外部区域）	允许与ssh预定义服务匹配的传入流量，其余均拒绝。默认将通过此区域转发的IPv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络。
home（家庭区域）	允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。
internal（内部区域）	默认值时与home区域相同。
work（工作区域）	允许与 ssh、dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。
dmz（隔离区域）	允许与ssh预定义服务匹配的传入流量，其余均拒绝。
block（限制区域）	拒绝所有传入流量。
drop（丢弃区域）	丢弃所有传入流量，并且不产生包含ICMP的错误响应。

注意

最终一个区域的安全程度是取决于管理员在此区域中设置的规则。
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则，只会允许符合规则的流量传入。
可以根据网络规模，使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口。
默认情况下，public区域是默认区域，绑定所有接口（网卡)

四、firewalld数据处理流程

firewalld对于进入系统的数据包，会根据数据包的源ip地址或传入的网络接口等条件，将数据流量转入相应区域的防火墙规则。对于进入系统的数据包，首先检查的就是其源地址。

五、firewalld检查数据包源地址的规则

若源地址关联到特定的区域（即源地址或接口绑定的区域没有冲突)，则执行该区域所制定的规则。
若源地址未关联到特定的区域（即源地址或接口绑定的区域有冲突），则使用传入网络接口的区域并执行该区域所制定的规则。
若网络接口也未关联到特定的区域（(即源地址或接口都没有绑定特定的某个区域），则使用默认区域并执行该区域所制定的规则。

六、firewalld防火墙的配置种类

1.运行时配置

实时生效，并持续至Firewalld重新启动或重新加载配置
不中断现有连接
不能修改服务配置

2.永久配置

不立即生效，除非Firewalld重新启动或重新加载配置
中断现有连接
可以修改服务配置

七、firewalld防火墙的配置方法

firewall-config 图形工具。
firewall-cmd 命令行工具。
/etc/firewalld/中的配置文件。

八、使用命令配置firewalld防火墙

firewall-cmd [命令选项] 参数

{参数1，参数2，...}

注：所有需要指定区域操作如果未指定，则按默认区域进行操作。

1.获取和修改默认区域


//1.获取默认区域
[root@localhost1 ~]#firewall-cmd --get-default-zone
public
 
//2.设置默认确认区域
[root@localhost1 ~]#firewall-cmd --set-default-zone=work
success

2.获取区域名


//1.获取所有区域
[root@localhost1 ~]#firewall-cmd --get-zones
block dmz drop external home internal public trusted work
 
//2.获取已激活的区域
[root@localhost1 ~]#firewall-cmd --get-active-zones
work
  interfaces: ens33 ens36

3.获取区域详细信息


//1.列出所有区域信息
[root@localhost1 ~]#firewall-cmd --list-all-zones
block
  target: %%REJECT%%
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
dmz
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
drop
  target: DROP
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
external
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: ssh
  ports:
  protocols:
  masquerade: yes
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
home (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens36
  sources:
  services: dhcpv6-client mdns samba-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
internal
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: dhcpv6-client mdns samba-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
public (active)
  target: default
  icmp-block-inversion: no
  interfaces:
  sources: 192.168.116.0/24
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
trusted
  target: ACCEPT
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
 
work (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
//2.列出默认区域的信息
[root@localhost1 ~]#firewall-cmd --list-all
work (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
 
//3.列出指定区域的信息
[root@localhost1 ~]#firewall-cmd --list-all --zone=public
public (active)
  target: default
  icmp-block-inversion: no
  interfaces:
  sources: 192.168.116.0/24
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

4.区域网卡接口操作


//1.指定区域添加接口
[root@localhost1 ~]#firewall-cmd --add-interface=ens35 --zone=home
success
 
//2.获取指定区域的接口
[root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens33
work
[root@localhost1 ~]#firewall-cmd --get-zone-of-interface=ens35
home
 
//3.指定区域修改接口
[root@localhost1 ~]#firewall-cmd --zone=home --change-interface=ens36
success
 
//4.为指定区域添加接口
[root@localhost1 ~]#firewall-cmd --add-interface=ens33 --zone=home
 
//5.为指定区域移除接口
[root@localhost1 ~]#firewall-cmd --remove-interface=ens35 --zone=home
success

5.区域源地址操作


//1.为指定区域添加源地址（网段）
[root@localhost1 ~]#firewall-cmd --zone=home --add-source=2.2.2.2
success
[root@localhost1 ~]#firewall-cmd --zone=public --add-source=192.168.116.0/24
success
 
//2.修改指定区域源地址
[root@localhost1 ~]#firewall-cmd --zone=public --change-source=2.2.2.2
success
 
//3.移除指定区域源地址
[root@localhost1 ~]#firewall-cmd --zone=public --remove-source=2.2.2.2
success

6.区域服务操作


//1.列出默认区域的服务
[root@localhost1 ~]#firewall-cmd --list-services
dhcpv6-client ssh
 
//2.列出指定区域的服务
[root@localhost1 ~]#firewall-cmd --list-services --zone=home
dhcpv6-client mdns samba-client ssh
 
//3.为指定区域添加服务
[root@localhost1 ~]#firewall-cmd --zone=work --add-service=http
success
 
//4.移除指定区域服务
[root@localhost1 ~]#firewall-cmd --zone=work --remove-service=http
success

7.区域服务端口操作


//1.添加指定区域服务端口
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/tcp
success
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=53/udp
success
[root@localhost1 ~]#firewall-cmd --zone=work --add-port=20-22/tcp
success
 
//2.列出指定区域服务端口
[root@localhost1 ~]#firewall-cmd --zone=work --list-ports
53/tcp 53/udp 20-22/tcp
 
//3.删除指定区域默认端口
[root@localhost1 ~]#firewall-cmd --zone=work --remove-port=20-22/tcp
success

8.区域icmp类型操作


//1.获取所有icmp类型
[root@localhost1 ~]#firewall-cmd --get-icmptypes
address-unreachable bad-header communication-prohibited destination-unreachabl                                                                                                          e echo-reply echo-request fragmentation-needed host-precedence-violation host-                                                                                                          prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour                                                                                                          -advertisement neighbour-solicitation network-prohibited network-redirect netw                                                                                                          ork-unknown network-unreachable no-route packet-too-big parameter-problem port                                                                                                          -unreachable precedence-cutoff protocol-unreachable redirect required-option-m                                                                                                          issing router-advertisement router-solicitation source-quench source-route-fai                                                                                                          led time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host                                                                                                          -unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reas                                                                                                          sembly ttl-zero-during-transit unknown-header-type unknown-option
 
//2.为指定区域添加icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --add-icmp-block=echo-request
success
 
//3.获取指定区域icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --list-icmp-blocks
echo-request
 
//4.删除指定区域icmp类型
[root@localhost1 ~]#firewall-cmd --zone=work --remove-icmp-block=echo-request
success

九、将修改的防火墙策略设为永久生效

在操作 firewall-cmd 命令行时最后加上 --permanent 选项，再重启（systemctl restart firewalld）或重载（firewall-cmd --reload）服务。
直接在操作完 firewall-cmd 命令行后，使用 firewall-cmd --runtime-to-permanet，将当前的运行时配置写入规则配置文件中，使之成为永久性配置。

十、firewalld设置NET地址转换

1.设置SNAT

firewall-cmd --zone=区域名 --direct --passthrough ipv4 -t nat -A POSTROUTING -s 私网地址（网段） -j SNAT --to-source 公网地址


[root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A POSTROUTING -s 192.168.116.0/24 -j SNAT --to-source 12.0.0.1
 
[root@localhost1 ~]#iptables -t nat -nL |grep SNAT
SNAT       all  --  192.168.116.0/24     0.0.0.0/0            to:12.0.0.1

2.设置DNAT

firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 公网地址 -p tcp --dport 80 -j DNAT --to-destination 私网地址（网段）


[root@localhost1 ~]#firewall-cmd --zone=public --direct --passthrough ipv4 -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.116.10
 
[root@localhost1 ~]#iptables -t nat -nL |grep DNAT
DNAT       tcp  --  0.0.0.0/0            12.0.0.1             tcp dpt:80 to:192.168.116.10

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/weixin_40725706/article/detail/552552