Linuxのファイアウォールの詳細設定

Firewalld実験

実験トポロジ

要件分析

（1）会社のイントラネットのユーザーがインターネットへのアクセスを共有するためのゲートウェイサーバを介して必要
（2）インターネットユーザーがWebサーバにアクセスする必要がある
唯一のゲートウェイおよびサーバを192.168.1.0/24pingことができます（3）
（4）サーバーとゲートウェイサーバーのリモートからSSH経由し、セキュリティのためにのみホスト192.168.1.10 SSHサーバおよびゲートウェイを可能12345に、デフォルトのSSHポート、内部サーバーは、インターネットSSHを許可します

私たちは4台の仮想マシンを必要とする実験では、我々は、ゲートウェイサーバとして64ビットをCentos7。
社内ネットワークテスターとしてCentos7-2、Centos7-3試験機などのWebサーバー、Centos7-4インターネットなど。

まず、デバイスの準備ができています

まず仮想マシンCentos7-3にhttpdサービスをインストールし、Centos7-4

Centos7 64ビット3枚のネットワークカードで作成された1.1は、NIC 1は、信頼ゾーンとして、VMnet1結合、静的行い、NIC 2 VMnet3で外部領域を結合VMnet2、DMZ領域、NIC 3を結合。

1.2、カードアドレスを設定し、

外部ネットワークへのカード33、IPアドレス100.1.1.10 255.255.255.0の
ネットワークを信頼するように設定カード36、IPアドレス192.168.10.1 255.255.255.0の
DMZネットワークに設定カード37、IPアドレス192.168.20.1 255.255 .255.0

[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# vim ifcfg-ens33

[root@localhost network-scripts]#cp -p ifcfg-ens33 ifcfg-ens36
[root@localhost network-scripts]# vim ifcfg-ens36

[root@localhost network-scripts]#cp -p ifcfg-ens33 ifcfg-ens37
[root@localhost network-scripts]# vim ifcfg-ens37

再起動してネットワーク・サービス：ビューIPアドレス

[root@localhost network-scripts]#service network restart
[root@localhost network-scripts]#ifconfig

転送をルーティングオープンゲートウェイサーバ。

[root@localhost ~]# vim /etc/sysctl.conf 
net.ipv4.ip_forward=1
[root@localhost ~]# sysctl -p

2は、VMent3カードを結合し、代わりにCentos7-2、ホストカスタムカードを入力してください

ホストを入力し、IPアドレス、サブネットマスク、ゲートウェイを変更します。
IPアドレスが192.168.10.10、192.168.10.1へのゲートウェイに設定されています

[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# vim ifcfg-ens33

[root@localhost ]#service network restart    //重启网络服务
[root@localhost ~]# ifconfig     //查看本机地址

[root@localhost ~]# ping 192.168.10.1   //测试与网关服务器的连通性

2は、VMent2カードを結合し、代わりにCentos7-3、ホストカスタムカードを入力してください

ホストのIPアドレス192.168.20.20、ゲートウェイ192.168.20.1を設定します

[root@localhost ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static           //将dhcp改为static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=f4d8cf47-c855-4d04-8c68-75ab8644df70
DEVICE=ens33
ONBOOT=yes
IPADDR=192.168.20.20       //IP地址
NETMASK=255.255.255.0     //子网掩码
GATEWAY=192.168.20.1             //网关
[root@localhost ~]# service network restart       //重启网络服务
[root@localhost ~]# ifconfig      //查看网卡IP地址

[root@localhost ~]# ping 192.168.20.1     //测试与网关的连通性

3、ホスト名Centos7-3は、ファイアウォールルールを設定DMZするように修正しました

[root@localhost ~]# hostnamectl set-hostname dmz             //修改主机名
[root@localhost ~]# su                   
[root@dmz ~]# systemctl start httpd                 //启动http服务
[root@dmz ~]# cd /var/www/html                          //进入网页区域配置文件
[root@dmz html]# vim index.html     //进入输入网页显示内容                                        
[root@dmz html]# firewall-cmd --set-default-zone=dmz      //将默认区域改为dmz
success
[root@dmz html]# firewall-cmd --add-service=http --zone=dmz --permanent        //将http服务添加到dmz永久设置
success
[root@dmz html]# firewall-cmd --remove-service=ssh --zone=dmz --permanent     //禁止ssh登录
success
[root@dmz html]# firewall-cmd --add-icmp-block=echo-request --zone=dmz --permanent     //禁用icmp协议
success
[root@dmz html]# firewall-cmd --reload            //重新加载防火墙
success

図4は、VMent1カードを結合し、代わりにCentos7-4、ホストカスタムカードを入力してください

ホストのIPアドレスが100.1.1.20で構成し、ゲートウェイアドレスは、100.1.1.10

[root@extemal ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static               //将dhcp改为static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=0d5d6fbf-efdf-4b5b-90f9-f08be3fda756
DEVICE=ens33
ONBOOT=yes
IPADDR=100.1.1.20                       //配置IP地址
NETMASK=255.255.255.0                 //配置子网掩码
GATEWAY=100.1.1.10                      //配置网关
[root@localhost ~]# service network restart       //重启网络服务
[root@localhost ~]# ifconfig      //查看网卡IP地址

[root@localhost ~]# hostnamectl set-hostname extemal                  //修改主机名
[root@localhost ~]# su
[root@extemal ~]# systemctl stop firewalld.service                    //关闭防火墙
[root@extemal ~]# setenforce 0                                
[root@extemal ~]# systemctl start httpd                                //开启http服务
[root@extemal ~]# vim /var/www/html/index.html                  //配置网页内容
<h1>this is extwrnal web</h1>

5、Centos7 64ビットサーバー上でファイアウォールを設定

[root@localhost ~]# firewall-cmd --set-default-zone=external                             //将默认区域改 为extemal
success
[root@localhost ~]# firewall-cmd --change-interface=ens36 --zone=trusted --permanent          //将ens36设为信任区域
The interface is under control of NetworkManager, setting zone to 'trusted'.    
success
[root@localhost ~]# firewall-cmd --change-interface=ens37 --zone=dmz --permanent          //将ens37设为dmz区域
The interface is under control of NetworkManager, setting zone to “dmz”'.    
success
[root@localhost ~]# firewall-cmd --zone=dmz --remove-service=ssh --permanent     ////禁止ssh登录
success
[root@localhost ~]# firewall-cmd --zone=dmz --add-service=http --permanent   //添加http服务
success
[root@localhost ~]# firewall-cmd --zone=dmz --add-icmp-block=echo-request --permanent     阻塞icmp协议
success
[root@localhost ~]# firewall-cmd --zone=external --add-service=http --permanent            //在外部区域添加http服务
success
[root@localhost ~]# firewall-cmd --reload        //重新加载防火墙
success

6、Webサイトのサーバやウェブサイト、イントラネットの試験機のビューを使用し、CentOSに7-2、テストを返すinternel

7、設定

[root@localhost ~]# firewall-cmd --zone=external --add-forward port=port=80:proto=tcp:toaddr=192.168.20.20 --permanent      //设置端口映射
success
[root@localhost ~]# firewall-cmd --reload 
success

8は、Webサーバー上のブラウザからサイトを表示Centos7-4。