Linux防火墙-Firewalld （持续更新）

按表现形式划分：

软件防火墙： 集成在系统内部，Linux系统： iptables、firewalld、ufw； windows系统下：

windows defender

硬件防火墙： 华为防火墙、思科防火墙、奇安信防火墙、深信服防火墙等

按技术划分：

包过滤防火墙： 检查数据包的源IP、目的IP、源端口、目的端口、TCP的syn控制位

七层防火墙： 除了上述检查外，还会检查数据内容

防火墙的作用：

阻止来自网络外部的攻击、进行流量控制     

一、 Linux防火墙

防火墙结构

用户态：

iptables： 使用iptables命令对防火墙规则进行管理，必须深度理解网络技术和四表五链，对

于初学者或者网络技术不达标的人员不友好

firewalld：使用firewall-cmd命令对防火墙进行管理，采用的是区域划分的形式。不需要连接

底层的四表五链，对于初学者比较友好

ufw： 使用ufw命令对防火墙进行管理，命令简单易懂。

内核态：

四表： 从内核->用户的顺序： raw -> mangle -> nat -> filter

五链： input、output、forward、prerouting、postrouting

firewall-cmd命令用法

关键字：

--list-*

--get-*

--set-*

--add-*

--remove-*

--change-*

--zone=

查看命令案例：

#查看所有区域的详细信息        firewall-cmd --list-all-zones

#查看指定区域的详细信息         firewall-cmd --list-all --zone=public

#查看指定区域的放行服务         firewall-cmd --list-services --zone=public

#查看指定区域的放行端口         firewall-cmd --list-ports --zone=public

#查看指定区域包含的网络接口         firewall-cmd --list-interfaces --zone=public

#查看指定区域的放心协议         firewall-cmd --list-protocols --zone=public

#查看指定区域的ICMP阻塞类型 #         firewall-cmd --list-icmp-blocks --zone=public

#查看指定区域的放行源地址         firewall-cmd --list-sources --zone=public

#查看指定区域的源端口         firewall-cmd --list-source-ports --zone=public

#查看指定区域的富规则         firewall-cmd --list-rich-rules --zone=public

#查看指定区域的转发端口         firewall-cmd --list-forward-ports --zone=public

#查看firewalld支持的服务类型         firewall-cmd --get-services

添加：

#添加指定服务到指定区域         firewall-cmd --add-service=http --zone=public

success

#添加端口到指定区域         firewall-cmd --add-port=80/tcp --zone=public

success

#添加指定协议到指定区域         firewall-cmd --add-protocol=ah --zone=public

success

#添加ICMP阻塞类型到指定区域         firewall-cmd --add-icmp-block=echo-request --zone=public

success

#windows端验证

C:\Users\zzh>ping 192.168.115.129

正在 Ping 192.168.115.129 具有 32 字节的数据:

来自 192.168.115.129 的回复: 无法访问目标主机。

来自 192.168.115.129 的回复: 无法访问目标主机。

来自 192.168.115.129 的回复: 无法访问目标主机。

删除：

#删除指定服务到指定区域         firewall-cmd --remove-service=http --zone=public

success

#删除端口到指定区域         firewall-cmd --remove-port=80/tcp --zone=public

success

#删除指定协议到指定区域         firewall-cmd --remove-protocol=ah --zone=public

success

#删除ICMP阻塞类型到指定区域         firewall-cmd --remove-icmp-block=echo-request --

zone=public

success

#删除指定网络接口到指定区域         firewall-cmd --remove-interface=ens33 --zone=work

success

#删除指定区域的放行源地址         firewall-cmd --remove-source=192.168.1.0/24 --zone=work

success

#删除指定区域的放行源端口         firewall-cmd --remove-source-port=999/tcp --zone=work

success

#删除转发端口到指定区域         firewall-cmd --remove-forward

port=port=8080:proto=tcp:toport=80:toremover=192.168.115.115 --zone=work

success

#删除地址转换功能到指定区域           firewall-cmd --remove-masquerade --zone=work

success

#验证删除

firewall-cmd --list-all --zone=public

保存规则：

#逐行规则保存          firewall-cmd --remove-masquerade --zone=work --permanent

#一次性保存所有规则         firewall-cmd --runtime-to-permanent

success

#保存的规则存储路径         /etc/firewalld/zones

案例：

禁止外部主机ping本机

#本机IP：192.168.115.129 ens33 NAT

#外部IP：192.168.115.128

#防火墙配置

firewall-cmd --add-interface=ens33 --zone=work

success

firewall-cmd --add-icmp-block=echo-request --zone=work

success

#验证

ping -c 4 192.168.115.129

PING 192.168.115.129 (192.168.115.129) 56(84) bytes of data.

From 192.168.115.129 icmp_seq=1 Destination Host Prohibited

From 192.168.115.129 icmp_seq=2 Destination Host Prohibited

From 192.168.115.129 icmp_seq=3 Destination Host Prohibited

From 192.168.115.129 icmp_seq=4 Destination Host Prohibited

--- 192.168.115.129 ping statistics ---

4 packets transmitted, 0 received, +4 errors, 100% packet loss, time 3001ms

允许外部主机访问本机的http服务

#本机IP：192.168.80.128 ens34 vmnet3

#外部IP：192.168.80.129

#######环境配置 开始#########

##本机安装httpd服务

#改变SElinux的规则

setenforce 0

yum install -y httpd

##启动httpd服务

systemctl start httpd

##修改httpd服务的监听IP

vim /etc/httpd/conf/httpd.conf

Listen 192.168.80.128:80

##重启httpd服务

systemctl restart httpd

##验证服务监听状态

netstat -naptu | grep :80

tcp 0 0 192.168.80.128:80 0.0.0.0:* LISTEN

5884/httpd

#######环境配置 结束#########

#防火墙配置

firewall-cmd --change-interface=ens34 --zone=dmz

success

##客户端验证访问##

curl 192.168.80.128

curl: (7) Failed connect to 192.168.80.128:80; 拒绝连接

##发现无法访问###

#服务端查看dmz区域信息

firewall-cmd --list-all --zone=dmz

dmz (active)

target: default

icmp-block-inversion: no

interfaces: ens34

sources:

services: ssh

ports:

protocols:

masquerade: no

forward-ports:

source-ports:

icmp-blocks:

rich rules:

#发现没有放心http服务

#配置dmz区域http服务放行策略

firewall-cmd --add-service=http --zone=dmz

success

dmz (active)

target: default

icmp-block-inversion: no

interfaces: ens34

sources:

services: http ssh

ports:

protocols:

masquerade: no

forward-ports:

source-ports:

icmp-blocks:

rich rules:

允许外部主机访问本机的某个端口号

#前置环境如上

#防火墙配置

firewall-cmd --add-port=801/tcp --zone=dmz

success

#放行服务的本质实际上是放行了该服务的默认端口号！！！

#假如服务改变了监听端口号，只需放行对应的端口号即可！！！

#客户端验证

curl 192.168.80.128:801