devbox
不正经
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

Linux中的防火墙————Firewalld_linux firewalld

作者：不正经 | 2024-06-11 12:27:58

赞

踩

linux firewalld

firewalld介绍和原理

firewalld是一个服务，这个服务提供了防火墙配置的工具

只要开启了firewalld服务，那么就可以通过firewall服务提供的工具来配置防火墙

Linux本身不具备防火墙功能，而是通过内核的net_filter模块来实现软防火墙功能，而且你必须通过iptables才能和net_filter进行交互

默认在rhel7和fedora20，centos7以上的版本默认安装了firewalld服务，默认是开启的

  1. ##  开启防火墙
  2. [root@client ~]# systemctl start firewalld
  3.  
  4. ## 查看firewalld状态
  5. [root@client ~]# systemctl status firewalld
  6. ● firewalld.service - firewalld - dynamic firewall daemon
  7.      Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; preset: enabled)
  8.      Active: active (running) since Wed 2024-03-20 15:47:15 CST; 1min 23s ago
  9.        Docs: man:firewalld(1)
  10.    Main PID: 4076 (firewalld)
  11.       Tasks: 2 (limit: 10803)
  12.      Memory: 25.7M
  13.         CPU: 375ms
  14.      CGroup: /system.slice/firewalld.service
  15.              └─4076 /usr/bin/python3 -s /usr/sbin/firewalld --nofork --nopid
  16.  
  17. Mar 20 15:47:14 client systemd[1]: Starting firewalld - dynamic firewall daemon...
  18. Mar 20 15:47:15 client systemd[1]: Started firewalld - dynamic firewall daemon.
  19.  
  20. ## 查看iptables规则

firewalld的服务提供了一个更加简单的方式来配置防火墙，原理就是firewalld服务将你的防火墙配置命令转换成iptables规则

firewalld提供了两中管理工具，一种图形化管理工具firewall-offline-cmd，另一种命令行管理工具firewall-cmd。

firewall-cmd原理

firewalld提供了zone的概念，zone是区域的意思，firewalld将我们的系统划分成了一个个zone。

znoe的边界取决于网卡

firewalld提供了zone，一个网卡只能属于一个zone，那zone的边界就是属于该zone的网卡。

firewalld的zone里面有网卡，有规则（rule）。如果一个网卡属于firewalld的某个zone，那么这个zone里面的所有规则都会应用到该zone内的网卡

  • 网卡，zone和规则

zone包含网卡和规则，网卡在zone里面就应用这个zone里面的规则

我们把firewalld学明白，就搞定这三个感念

zone的概念比较简单，将网卡划分入zone也很简单，复杂的就只有规则（rule）。

firewalld的操作

zone

列出所有的zone

  1. [root@server ~]# firewall-cmd --list-all-zones 
  2. block
  3.   target: %%REJECT%%
  4.   icmp-block-inversion: no
  5.   interfaces: 
  6.   sources: 
  7.   services: 
  8.   ports: 
  9.   protocols: 
  10.   forward: yes
  11.   masquerade: no
  12.   forward-ports: 
  13.   source-ports: 
  14.   icmp-blocks: 
  15.   rich rules: 
  16.  
  17. dmz
  18.   target: default
  19.   icmp-block-inversion: no
  20.   interfaces: 
  21.   sources: 
  22.   services: ssh
  23. ...

 只要不是特别复杂的网络场景，一个zone可以解决我们所有的问题

列出"缺省的zone"的规则

  1. [root@server ~]# firewall-cmd --list-all
  2. public (active)
  3.   target: default
  4.   icmp-block-inversion: no
  5.   interfaces: ens160 ens224
  6.   sources: 
  7.   services: cockpit dhcpv6-client ssh
  8.   ports: 
  9.   protocols: 
  10.   forward: yes
  11.   masquerade: no
  12.   forward-ports: 
  13.   source-ports: 
  14.   icmp-blocks: 
  15.   rich rules:

firewall-cmd添加规则正常来说必须指定zone，因为规则实在zone里面，那你肯定添加规则的时候要指定这个规则在哪个zone里面。

有些时候如果每一次添加规则都指定zone会显得比较复杂，因为大多数情况下一个zone就能满足我的需求，所以firewalld给我们提供一个缺省的zone，没有指定zone的操作，都相当于操作缺省的zone。

列出指定zone的规则

  1. ## 列出home zone的规则
  2. [root@server ~]# firewall-cmd --list-all --zone=home 
  3. home
  4.   target: default
  5.   icmp-block-inversion: no
  6.   interfaces: 
  7.   sources: 
  8.   services: cockpit dhcpv6-client mdns samba-client ssh
  9.   ports: 
  10.   protocols: 
  11.   forward: yes
  12.   masquerade: no
  13.   forward-ports: 
  14.   source-ports: 
  15.   icmp-blocks: 
  16.   rich rules:

查看缺省的zone

  1. [root@server ~]# firewall-cmd --get-default-zone 
  2. public

可以看到缺省的zone的名字为public

  • 将缺省的zone更改为其他zone

  1. ## 将缺省的zone更改为home zone
  2. [root@server ~]# firewall-cmd --set-default-zone=home 
  3. success
  4. [root@server ~]# firewall-cmd --get-default-zone 
  5. home

可以看到现在缺省的zone变成了home zone

  1. ## 将默认的zone改回来
  2. [root@server ~]# firewall-cmd --set-default-zone=public 
  3. success
  4. [root@server ~]# firewall-cmd --get-default-zone 
  5. public

网卡(interface)

默认Linux的所有网卡都在默认的zone里面

注意：像我们讲的这种防火墙，无论iptables还是firewalld，都只能应用于内核管理的网卡，有些网卡如果不受内核管理，那防火墙的规则也无法应用，应用管理防火墙的工具（DBDK）

列出当前zone中的网卡

  1. [root@server ~]# firewall-cmd --list-interfaces --zone=public 
  2. ens224 ens160

不加--zone=public，列出的是缺省的zone的网卡

移除一个zone中的网卡

  1. [root@server ~]# firewall-cmd --remove-interface=ens160 
  2. success
  3. [root@server ~]# firewall-cmd --list-interfaces 
  4. ens224

给一个zone添加网卡

  1. [root@server ~]# firewall-cmd --add-interface=ens160 --zone=public 
  2. success
  3. [root@server ~]# firewall-cmd --list-interfaces 
  4. ens160 ens224

规则(rule)

查看指定zone的规则

  1. [root@server ~]# firewall-cmd --list-all --zone=home 
  2. home
  3.   target: default
  4.   icmp-block-inversion: no
  5.   interfaces: 
  6.   sources: 
  7.   services: cockpit dhcpv6-client mdns samba-client ssh
  8.   ports: 
  9.   protocols: 
  10.   forward: yes
  11.   masquerade: no
  12.   forward-ports: 
  13.   source-ports: 
  14.   icmp-blocks: 
  15.   rich rules: 
  16. [root@server ~]# firewall-cmd --list-all 
  17. public (active)
  18.   target: default
  19.   icmp-block-inversion: no
  20.   interfaces: ens160 ens224
  21.   sources: 
  22.   services: cockpit dhcpv6-client ssh
  23.   ports: 
  24.   protocols: 
  25.   forward: yes
  26.   masquerade: no
  27.   forward-ports: 
  28.   source-ports: 
  29.   icmp-blocks: 
  30.   rich rules:

如果一个zone里面没有网卡，那么这个zone就是非active状态 一个zone里面必须要有网卡，这个zone才有实际意义

三种规则

第一种：service规则

第二种：port规则

第三种：rich rule（富规则）

service规则

查看指定zone的service规则
  1. ## 查看home和缺省的zone的service规则
  2. [root@server ~]# firewall-cmd --list-services --zone=home 
  3. cockpit dhcpv6-client mdns samba-client ssh    
  4. [root@server ~]# firewall-cmd --list-services
  5. cockpit dhcpv6-client ssh
添加service规则
  1. ## 给home和缺省的zone添加ftp规则
  2. [root@server ~]# firewall-cmd --add-service=ftp
  3. success
  4. [root@server ~]# firewall-cmd --add-service=ftp --zone=home 
  5. success
  6. [root@server ~]# firewall-cmd --list-services --zone=public 
  7. cockpit dhcpv6-client ftp ssh
  8. [root@server ~]# firewall-cmd --list-services --zone=home 
  9. cockpit dhcpv6-client ftp mdns samba-client ssh

可以看到，在两个中有了ftp的规则

现在ftp的流量就可以过来，但不是所有的流量都能进来

删除service规则
  1. ## 删除刚才定义的ftp的规则
  2. [root@server ~]# firewall-cmd --remove-service=ftp
  3. success
  4. [root@server ~]# firewall-cmd --remove-service=ftp --zone=home 
  5. success
  6. [root@server ~]# firewall-cmd --list-services --zone=home 
  7. cockpit dhcpv6-client mdns samba-client ssh
  8. [root@server ~]# firewall-cmd --list-services 
  9. cockpit dhcpv6-client ssh
测试

可以搭建一个web服务器进行测试

1、在server搭建http服务

  1. [root@server ~]# yum install -y httpd
  2. [root@server ~]# echo firewalld-test >> /var/www/html/index.html
  3. [root@server ~]# systemctl restart httpd

2、访问

  1. [root@server ~]# curl 192.168.200.128
  2. firewalld-test
  3. [root@client ~]# curl  192.168.200.128
  4. curl: (7) Failed to connect to 192.168.200.128 port 80: No route to host

3、写入规则

  1. [root@server ~]# firewall-cmd --add-service=http
  2. success

4、再次访问

  1. [root@client ~]# curl  192.168.200.128
  2. firewalld-test

把规则写入之后就可以对http进行访问了

service的原理

在/usr/lib/firewalld/services/目录下有许多xml文件，这些文件就定义一些常用service的的端口号

  1. ## 查看https.xml
  2. [root@client ~]# cat /usr/lib/firewalld/services/https.xml 
  3. <?xml version="1.0" encoding="utf-8"?>
  4. <service>
  5.   <short>Secure WWW (HTTPS)</short>
  6.   <description>HTTPS is a modified HTTP used to serve Web pages when security is important. Examples are sites that require logins like stores or web mail. This option is not required for viewing pages locally or developing Web pages. You need the httpd package installed for this option to be useful.</description>
  7.   <port protocol="tcp" port="443"/>
  8. </service>

在添加service的规则的时候，实际上就是firewalld将443端口开放，让外面的服务可以通过这个端口号进行访问

这个service规则只是一个名字，至于service到底放行的是什么，就要看这个service代表的端口号是多少，这个service也可以自己来编写

如果你要放行的端口并没有在service规则的xml文件里面定义，那么你就不能用service规则满足你的条件

如果是复杂的流量的话，你需要通过port规则放行流量，也可以自己编写service规则

port规则
添加port规则
  1. [root@server ~]# firewall-cmd --add-port=3333/tcp
  2. success
  3. [root@server ~]# firewall-cmd --add-port=5555/udp
  4. success
查看port规则
  1. [root@server ~]# firewall-cmd --list-ports --zone=public 
  2. 3333/tcp 5555/udp
  3. [root@server ~]# firewall-cmd --list-all
  4. public (active)
  5.   target: default
  6.   icmp-block-inversion: no
  7.   interfaces: ens160 ens224
  8.   sources: 
  9.   services: cockpit dhcpv6-client ssh
  10.   ports: 3333/tcp 5555/udp
  11.   protocols: 
  12.   forward: yes
  13.   masquerade: no
  14.   forward-ports: 
  15.   source-ports: 
  16.   icmp-blocks: 
  17.   rich rules:
删除port规则
  1. [root@server ~]# firewall-cmd --remove-port=3333/tcp
  2. success
  3. [root@server ~]# firewall-cmd --remove-port=5555/udp
  4. success
  5. [root@server ~]# firewall-cmd --list-ports --zone=public 
  6.  
  7. [root@server ~]# firewall-cmd --list-all
  8. public (active)
  9.   target: default
  10.   icmp-block-inversion: no
  11.   interfaces: ens160 ens224
  12.   sources: 
  13.   services: cockpit dhcpv6-client ssh
  14.   ports: 
  15.   protocols: 
  16.   forward: yes
  17.   masquerade: no
  18.   forward-ports: 
  19.   source-ports: 
  20.   icmp-blocks: 
  21.   rich rules:
rich rule

有点像iptables

添加rich rule
  1. [root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=8080 protocol=tcp reject"
  2. success
使添加的规则永久生效

上面做的规则都是临时的

方式一

如果让上面做的临时规则变成永久的，可以使用一下命令

  1. [root@server ~]# firewall-cmd --runtime-to-permanent 
  2. success

如果使用firewall-cmd --reload命令之后规则还会存在，就是永久的规则

firewall-cmd --reload：表示重新加载防火墙规则

  1. [root@server ~]# firewall-cmd --reload 
  2. success
  3. [root@server ~]# firewall-cmd --list-all
  4. public (active)
  5.   target: default
  6.   icmp-block-inversion: no
  7.   interfaces: ens160 ens224
  8.   sources: 
  9.   services: cockpit dhcpv6-client ssh
  10.   ports: 
  11.   protocols: 
  12.   forward: yes
  13.   masquerade: no
  14.   forward-ports: 
  15.   source-ports: 
  16.   icmp-blocks: 
  17.   rich rules: 
  18.         rule family="ipv4" source address="192.168.200.0/24" port port="8080" protocol="tcp" reject

方式二

使用--permanent，在规则后面添加这一条命令，就可以直接创建永久规则

但是不会立即生效，在list中不会显示，如果要立即生效，就需要使用--reload

  1. [root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept" --permanent 
  2. success
  3. ## 进行查看
  4. [root@server ~]# firewall-cmd --list-all
  5. public (active)
  6.   target: default
  7.   icmp-block-inversion: no
  8.   interfaces: ens160 ens224
  9.   sources: 
  10.   services: cockpit dhcpv6-client ssh
  11.   ports: 
  12.   protocols: 
  13.   forward: yes
  14.   masquerade: no
  15.   forward-ports: 
  16.   source-ports: 
  17.   icmp-blocks: 
  18.   rich rules: 
  19.         rule family="ipv4" source address="192.168.200.0/24" port port="8080" protocol="tcp" reject
  20. ## 可以看到定义的规则并没有立即生效
  21.  
  22. ## 使用--reload
  23. [root@server ~]# firewall-cmd --reload 
  24. success
  25. [root@server ~]# firewall-cmd --list-all
  26. public (active)
  27.   target: default
  28.   icmp-block-inversion: no
  29.   interfaces: ens160 ens224
  30.   sources: 
  31.   services: cockpit dhcpv6-client ssh
  32.   ports: 
  33.   protocols: 
  34.   forward: yes
  35.   masquerade: no
  36.   forward-ports: 
  37.   source-ports: 
  38.   icmp-blocks: 
  39.   rich rules: 
  40.         rule family="ipv4" source address="192.168.200.0/24" port port="8080" protocol="tcp" reject
  41.         rule family="ipv4" source address="192.168.200.0/24" port port="443" protocol="tcp" accept

可以看到在使用--permanent之后并没有立即生效，在执行--reload之后，配置就会重新加载

建议

建议先写一遍有--permanent，在写一遍没有--permanent的

  1. [root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept" --permanent 
  2. [root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept"

一条命令执行两边

删除rich rule
  1. [root@server ~]# firewall-cmd --remove-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept" --permanent 
  2. success
  3. [root@server ~]# firewall-cmd --remove-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept"

删除和添加一样，永久添加不会立即执行，临时添加重启之后就会消失，所以还是建议使用这种方式进行删除

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/不正经/article/detail/703182
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号