应用管理-防火墙

• 构建web服务：提供一个页面内容

  • 安装httpd
  • 重启httpd服务
  • 测试访问
  • 书写页面文件
    • 存放位置：/var/www/html/
    • 网页名称：index.html
  • 构建FTP服务：文件传输
    • 安装vsftpd
    • 重启服务
    • 测试访问 ftp://127.0.0.1
    • 默认共享路径 /var/ftp/

• 防火墙概述

  • 严格过滤入栈，允许出站
  • 系统服务：firewalld
  • 管理工具：firewall-cmd firewall-config
  • 预设安全区域
    • public：仅允许访问本机的sshd、dhcp、ping3个服务
    • trustd： 允许任何访问
    • block： 阻塞任何来访请求
    • drop：丢弃任何来访的数据包
  • 匹配原则：匹配及停止
    • 1. 查看数据包中源IP地址，查询源IP属于哪个区域，使用该区域规则
    • 2. 无区域匹配时，默认进入public
         [root@localhost ~]# firewall-cmd --get-default-zone //查看默认区域
         public
         [root@localhost ~]# firewall-cmd --set-default-zone= //更改默认区域
         block dmz drop external home internal public trusted work
  • 区域中添加协议
    • 查看区域中有哪些规则
    • [root@localhost ~]# firewall-cmd --zone=public --list-all
      public (active)
      target: default
      icmp-block-inversion: no
      interfaces: eth0
      sources:
      services: dhcpv6-client ssh
      ports:
      protocols:
      masquerade: no
      forward-ports:
      source-ports:
      icmp-blocks:
      rich rules:
    • 互联网常见协议
      • http：80：超文本传输协议
      • https：445：安全超文本传输协议
      • ftp：21：文本传输协议
      • tftp：69：简单的文件传输协议
      • telnet：23：远程管理协议
      • dns：53：域名解析协议
      • snmp：简单网络管理协议
      • smtp：邮件协议（发邮件）
      • pop3：邮件协议（收邮件）
    • 添加服务
    • 临时添加
      • [root@localhost ~]# firewall-cmd --zone=public --add-service=http
        success
        [root@localhost ~]# firewall-cmd --zone=public --add-service=ftp
        success
        [root@localhost ~]# firewall-cmd --zone=public --list-all
        public (active)
        target: default
        icmp-block-inversion: no
        interfaces: eth0
        sources:
        services: dhcpv6-client ftp http ssh
    • 永久添加 (使用参数permanent，最后要reload）
      [root@localhost ~]# firewall-cmd --permanent --zone=public --add-service=http
      success
      [root@localhost ~]# firewall-cmd --permanent --zone=public --add-service=ftp
      success
      [root@localhost ~]# firewall-cmd --reload
      success
    • 区域中添加源IP地址
      单独拒绝某ip所有的访问
      [root@localhost ~]# firewall-cmd --zone=block --add-source=（IP地址）
      * 配置规则的位置
    • 运行时（runtime）
    • 永久（permanent）

• 实现本机的端口银蛇

  • 本地应用的端口重定向（端口1 -->端口2）
    • 从客户机5423端口的请求，自动映射到本机80端口
    • [root@localhost ~]# firewall-cmd --zone=public --add-forward-port=port=5423:proto=tcp:toport=80
      success