	Firewalld	iptables
配置文件	/usr/lib/firewalld//etc/firewalld/	etc/sysconfig/iptables
对规则的修改	不需要全部刷新策略,不丢失现行连接	需要全部刷新策略,丢失连接
防火墙类型	动态防火墙	静态防火墙

Firewalld网络区域

区域介绍

区域如同进入主机的安全门,每个区域都具有不同程度的规则

可以使用一个或多个区域,但是任何一个活跃区域至少需要关联源地址或接口

默认情况下,public区域是默认区域,包含所有接口(网卡)

Firewalld数据处理流程

检查数据来源的源地址

若源地址关联到特定的区域,则执行该区域所指定的规则

若源地址未关联到特定的区域,则使用传入网络接口的区域并执行该区域所指定的规则

若网络接口未关联到特定的区域,则使用默认区域并执行该区域所指定的规则

Firewalld防火墙的配置方法

运行时配置 ===>相当于mount

实时生效,并持续至Firewalld重新启动或重新加载配置

不中断现有连接

不能修改服务配置

永久配置 ===>相当于fstab

不立即生效,除非Firewalld重新启动或重新加载配置

终端现有连接

可以修改服务配置

Firewaall-config图形工具

在这里插入图片描述

Firewall-cmd命令行工具

firewall-cmd

/etc/firewalld/中的配置文件

Firewalld会优先使用/etc/firewalld/中的配置.如果不存在配置文件,则使用/usr/lib/firewalld/中的配置

/etc/firewalld/:用户自定义配置文件,需要时可通过从/usr/lib/firewalld/中拷贝

/usr/lib/firewalld/:默认配置文件,不建议修改,若恢复至默认配置,可直接删除/etc/firewalld/中的配置

Firewall-config图形工具

运行时配置/永久配置

重新加载防火墙

更改永久配置并生效

关联网卡到指定区域

修改默认区域

连接状态

"区域"选项卡

"服务"子选项卡

"端口"子选项卡

"协议"子选项卡

"源端口"子选项卡

"伪装"子选项卡

"端口转发"子选项卡

"ICMP过滤器"子选项卡

"服务"选项卡

"模块"子选项卡

"目标地址"子选项卡

Firewalld防火墙案例

实验环境

一台客户端（CentOS 7.6）与一台Firewalld防火墙直接连接

客户端IP：20.0.0.21

Firewalld防火墙IP：20.0.0.20

需求描述

禁止主机ping服务器

只允许192.168.8.130主机访问SSH服务

允许所有主机访问Apache服务

实验步骤

安装相关软件

		[root@hostname ~]# yum -y install firewalld

		[root@hostname ~]# yum -y install firewall-config

网络参数配置

实现—禁止主机ping服务器

实现—只允许192.168.8.130主机访问SSH服务

实现—允许所有主机访问Apache服务

开启Firewalld防火墙

		[root@Firewalld ~]# systemctl restart firewalld		===>重启防火墙
		[root@Firewalld ~]# systemctl status firewalld		===>查看防火墙状态

firewalld-cmd命令汇总

1、启动、停止、查看 firewalld服务

在安装CentOS7系统时,会自动安装firewalld和图形化工具firewall-config.执行以下命令可以启动firewalld并设置为开机自启动状态.

[root@hostname ~]# systemctl start firewalld		===>启动firewalld

[root@hostname ~]# systemctl status firewalld	===>设置firewalld为开机自启动

如果firewalld正在运行,可以通过systemctl status firewalld 或 firewall-cmd 查看其运行状态

[root@hostname ~]# systemctl status firewalld	===>看看运行状态

或

[root@hostname ~]# firewall-cmd --state		===>查看运行状态

如果想要禁用firewalld,执行以下命令.

[root@hostname ~]# systemctl stop firewalld		===>停止firewalld

[root@hostname ~]# systemctl disable firewalld	===>设置firewalld开启不自启

2、获取预定义信息

firewall-cmd 预定义信息主要包括三种:可用的区域、可用的服务以及可用的ICMP阻塞类型,具体的查看命令如下所示.

[root@hostname ~]# firewall-cmd --get-zones	===>显示预定义的区域

[root@hostname ~]# firewall-cmd --get-service	===>显示预定义的服务

[root@hostname ~]# firewall-cmd --get-icmptypes	===>显示预定义的ICMP类型

firewall-cmd --get-icmptypes 命令的执行结果中各种阻塞类型的含义分别如下所示.

destination-unreachable:目的地址不可达.

echo-replay:应答回应(pong).

parameter-problem:参数问题.

redirect:重新定向.

router-advertisement:路由器通告.

router-solicitation:路由器征寻.

source-quench:源端抑制.

time-exceeded:超时.

timestamp-replay:时间戳应答回应.

timestamp-request:时间戳请求.

3、区域管理

使用firewall-cmd命令可以实现获取和管理区域,为指定区域绑定网络接口等功能.

firewall-cmd 区域管理的命令

[root@hostname ~]# firewall-cmd --get-default-zone	===>显示网络连接或接口的默认区域

[root@hostname ~]# firewall-cmd --get-default-zone=<zone>	===>设置网络连接或接口的默认区域

[root@hostname ~]# firewall-cmd --getactive-zones	===>显示已激活的所有区域

[root@hostname ~]# firewall-cmd --getzone-of-interface=<interface>	===>显示指定接口绑定的区域

[root@hostname ~]# firewall-cmd --zone=<zone> --add-interface=<interface>	===>为指定接口绑定区域

[root@hostname ~]# firewall-cmd --zone=<zone> --change-interface=<interface>	===>为指定的区域更改绑定的网络接口

[root@hostname ~]# firewall-cmd --zone=<zone> --remove-interface=<interface>	===>为指定的区域删除绑定的网络接口

[root@hostname ~]# firewall-cmd --zone=<zone> --list-all	===>显示所有区域及其规则(省略了"--zone=<zone>"表示显示所有指定区域的所有规则)

对默认区域操作命令

[root@hostname ~]# firewall-cmd --get-default-zone	===>显示当前系统中的默认区域

[root@hostname ~]# firewall-cmd --list-all	===>显示默认区域的所有规则

[root@hostname ~]# firewall-cmd --get-zone-of-interface=ens33		===>显示网络接口ens33对应区域

[root@hostname ~]# firewall-cmd --zone=<zone> --change-interface=ens33	===>将网络接口ens33对应区域更改为internal 区域

[root@hostname ~]# firewaall-cmd --get-active-zones		===>显示所有激活区域

4、服务管理

为了方便管理,firewalld预先定义了很多服务,存放在/usr/lib/firewalld/services/目录中,服务通过单个的XML配置文件来指定.这些配置文件则按以下格式命名:service-name.xml,每个文件对应以相具体的网络服务,如ssh服务等.与之对应的配置文件中记录了各项服务所使用的tcp/udp端口.在最新版本的firewalld中默认已经定义了70多种服务供我们使用,对于每个网络区域,均可以配置允许访问的服务.当默认提供的服务不适用或者需要自定义某项服务的端口时,我们需要将service配置文件放置在/etc/firewalld/services/目录中.service配置具有以下优点.

通过服务名字来管理规则更加人性化.

通过服务来组织端口分组的模式更加高效,如果一个服务使用了若干个网络端口,则服务的配置文件就相当于提供了到这些端口的规则服务管理的常用选项说明.

firewall-cmd 命令区域中服务管理的常用选项说明

[root@hostname ~]# firewall-cmd --zone=<zone> --list-services		===>显示指定区域内允许访问的所有服务

[root@hostname ~]# firewall-cmd --zone=<zone> --add-service=<service>		===>为指定区域设置允许访问的某项服务

[root@hostname ~]# firewall-cmd --zone=<zone> --remove-service=<service>		===>删除指定区域已设置的允许访问的某项服务

[root@hostname ~]# firewall-cmd --zone=<zone> --add-port=<portid>[-<portid>]/<protocol>		===>为指定区域设置允许访问的某个/某段端口号(包括协议号)

[root@hostname ~]# firewall-cmd --zone=<zone> --list-icmp-blocks	===>显示指定区域内拒绝访问的某项icmp类型

[root@hostname ~]# firewall-cmd --zone=<zone> --add-icmp-block=<icmptype>		===>为指定区域设置拒绝访问的某项icmp类型

[root@hostname ~]# firewall-cmd --zone=<zone> --remove-icmp-block=<icmptype>		===>删除指定区域已设置的拒绝访问的某项icmp类型,省略--zone=<zone>表示对默认区域操作

具体操作如下

[root@hostname ~]# firewall-cmd --list-services	===>显示默认区域内允许访问的所有服务

[root@hostname ~]# firewall-cmd --add-service=http	===>设置默认区域允许访问http服务

[root@hostname ~]# firewall-cmd --add-service=https	===>设置默认区域允许访问https服务

5、端口管理

在进行服务配置时,预定义的网络服务可以使用服务名配置,服务所涉及的端口就会自动打开.但是,对于非预定义的服务只能手动为指定的区域添加端口.

[root@hostname ~]# firewall-cmd --zone=internal --add-port=443/tcp	===>在internal区域打开443/TCP端口

[root@hostname ~]# firewall-cmd --zone=internal --remove-port=443/tcp	===>在internal区域禁止443/TCP端口访问

6、两种配置模式

前面提到firewall-cmd命令工具有两种配置模式:运行时模式(Runtime mode)表示当前内存中运行的防火墙配置,在系统或firewalld服务重启、停止时配置将失效:永久模式(Permanent mode)表示重启防火墙或重新加载防火墙时的规则配置,是永久存储在配置文件中的

firewall-cmd命令工具与配置模式相关的选项有三个.

[root@hostname ~]# firewall-cmd --reload:重新加载防火墙规则并保持状态信息,即将永久配置应用为运行时配置.

[root@hostname ~]# firewall-cmd --add-service=http --permanent:带有此选项的命令用于设置永久性规则,这些规则只有在重新启动firewalld或重新加载防火墙规则时才会生效;若不带有此选项,表示用于设置运行时规则.

[root@hostname ~]# firewall-cmd --runtime-to-permanent:将当前的运行时配置写入规则配置文件中,使之称为永久性配置