Linux防火墙配置

防火墙策略管理:

作用: 隔离 众多的策略,允许出站,严格控制入站
硬件防火墙
软件防火墙

firewalld服务基础
• 系统服务:firewalld
• 管理工具:firewall-cmd、firewall-config

预设安全区域:

• 根据所在的网络场所区分,预设保护规则集

– public:仅允许访问本机的ssh dhcp ping服务
– trusted:允许任何访问
– block:阻塞任何来访请求(明确拒绝,有回应客户端)
– drop:丢弃任何来访的数据包(没有回应,节省服务端资源)

根据数据包的源IP地址
数据包: 源IP地址 目标IP地址 数据

防火墙判定原则:

1.查看数据包的源IP地址,然后查看自己所有的区域,那个区域中有该源IP地址的规则,则进入该区域
2.进入默认区域(public)

防火墙默认区域的修改:

虚拟机server:
]# firewall-cmd --get-default-zone  #查看默认区域
虚拟机desktop:
]# ping 172.25.0.11  #可以通信,有回应
虚拟机server:
]# firewall-cmd --set-default-zone=block  #修改默认区域
]# firewall-cmd --get-default-zone 
虚拟机desktop:
]# ping 172.25.0.11  #不可以通信,有回应
虚拟机server:
]# firewall-cmd --set-default-zone=drop 
]# firewall-cmd --get-default-zone 
虚拟机desktop:
]# ping 172.25.0.11  #不可以通信,没有回应

互联网常见的协议:

http:超文本传输协议 默认端口:80
https:安全的超文本传输协议 默认端口:443
DNS:域名解析协议 默认端口:53
FTP:文件传输协议 默认端口:21
tftp:简单的文件传输协议 默认端口:69
telnet:远程管理协议(明文传输) 默认端口:23
ssh:远程管理协议(加密传输) 默认端口:22
SMTP:邮件协议(用户发邮件) 默认端口:25
pop3:邮件协议(用户收邮件) 默认端口:110
snmp:简单的网络管理协议 默认端口:161

防火墙区域添加允许的协议:

虚拟机server
]# firewall-cmd --set-default-zone=public  #修改默认区域 
]# firewall-cmd --zone=public --list-all  #查看区域规则
]# firewall-cmd --zone=public --add-service=ftp #添加协议
]# firewall-cmd --zone=public --add-service=http
]# firewall-cmd --zone=public --list-all

虚拟机desktop
[root@desktop0 ~]# firefox 172.25.0.11   #访问成功
[root@desktop0 ~]# firefox ftp://172.25.0.11  #访问成功

防火墙规则的永久设置:

– 永久(permanent)
]# firewall-cmd  --reload    #重新加载防火墙所有配置
]# firewall-cmd --zone=public --list-all
]# firewall-cmd  --permanent  --zone=public --add-service=http
]# firewall-cmd  --permanent  --zone=public --add-service=ftp
]# firewall-cmd --zone=public --list-all
]# firewall-cmd --reload 
]# firewall-cmd --zone=public --list-all 
单独拒绝虚拟机desktop访问
虚拟机server:将虚拟机desktop的IP地址写入block
]# firewall-cmd --zone=block  --add-source=172.25.0.10
]# firewall-cmd --zone=block  --list-all
虚拟机desktop:
]# firefox 172.25.0.11        #访问失败
]# firefox ftp://172.25.0.11   #访问失败
真机:
]# firefox 172.25.0.11          #可以进行访问
]# firefox ftp://172.25.0.11   #可以进行访问
虚拟机server: 删除规则               
]# firewall-cmd --zone=block --remove-source=172.25.0.10
虚拟机desktop:
]# firefox 172.25.0.11        #可以进行访问
]# firefox ftp://172.25.0.11    #可以进行访问    

端口: 协议或程序或服务的编号

        利用root可以改变端口,而且一个程序可以具备多个端口
监听端口    
实现本机的端口映射
• 本地应用的端口重定向(端口1 --> 端口2)
客户端访问: firefox  172.25.0.11:5423--->172.25.0.11:80
虚拟机server:
]# firewall-cmd --permanent  --zone=public  
--add-forward-port=port=5423:proto=tcp:toport=80
]# firewall-cmd --reload
]# firewall-cmd --zone=public --list-all 
虚拟机desktop:
[root@desktop0 ~]# firefox 172.25.0.11:5423