原

配置firewalld防火墙

2018年09月04日 16:02:12 阅读数：8

RHEL7的防火墙体系根据所在的网络场所区分，提供了预设的安全区域：

public 只容许访问本机的sshd等少数几个服务

trusted 容许任何访问

block 阻塞任何来访请求

drop 丢弃任何来访的数据包

新增防火墙规则的位置包括：

运行时（runtime）：当前有效，重载防火墙后失效

永久（permanent）：静态配置，需要重载防火墙才能生效

本地端口转发（端口1—>端口2）：

从客户机访问防火墙主机的端口1时，与访问防火墙的端口2时等效

真在的网络应用服务其实在端口2提供监听

需求1：采取“默认全容许，只拒绝个别”的防护方法

[root@zhuhaiyan ~]# systemctl restart firewalld
[root@zhuhaiyan ~]# firewall-cmd –get-default-zone //默认区域
public
[root@zhuhaiyan ~]# firewall-cmd –set-default-zone=trusted //修改操作
success
[root@zhuhaiyan ~]# firewall-cmd –get-default-zone //修改号
trusted

需要2：封锁指定的IP网段

添加永久配置“阻塞来自网段172.34.0.0/24的任何访问，

[root@zhuhaiyan ~]# firewall-cmd –permanent –zone=block –add-source=172.34.0.0/24
success
[root@zhuhaiyan ~]# firewall-cmd –reload //重载防火墙
success
[root@zhuhaiyan ~]# firewall-cmd –list-all –zone=block //检查运行时规则
block (active)
target: %%REJECT%%
icmp-block-inversion: no
interfaces:
sources: 172.34.0.0/24
services:
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:

需求三：实现5423到80端口的转发

实现的效果时当客户利用端口5423访问的时候，默认转到服务器的80端口

[root@zhuhaiyan ~]# firewall-cmd –permanent –zone=trusted –add-forward-port=port=5423:proto=tcp:toport=80
success
[root@zhuhaiyan ~]# firewall-cmd –reload
success
[root@zhuhaiyan ~]# firewall-cmd –list-all
trusted (active)
target: ACCEPT
icmp-block-inversion: no
interfaces: eth0 eth1 eth2 team0
sources:
services:
ports:
protocols:
masquerade: no
forward-ports: port=5423:proto=tcp:toport=80:toaddr=
source-ports:
icmp-blocks:
rich rules: