firewalld&iptables

一. Firewalld

动态防火墙后台程序-firewalld，提供了一个动态管理的防火墙，用以支持网络“zones”，以分配对一个网络及其相关链接和界面一定程序的信任。它具备对ipv4和ipv6防火墙设置的支持，它支持以太网桥，并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。

1. firewall-sysconfig        #图像化配置工具

yum install -y firewalld firewall-config    #安装图像化配置工具

2. 火墙策略

firewall-cmd --state                       

firewall-cmd --get-zones               

firewall-cmd --get-active-zones    

firewall-cmd --get-default-zone     

firewall-cmd --list-all

firewall-cmd --list-all --zone=trusted

firewall-cmd --list-all-zones    #列出所有

firewall-cmd --get-services

firewall-cmd --set-default-zone=trusted

firewall-cmd --get-default-zone

firewall-cmd --permanent --add-service=***

firewall-cmd --reload

firewall-cmd --permanent --add-source=172.25.254.150 --zone=trusted   #对172.25.254.150永久信任

firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=trusted

firewall-cmd --reload

 firewall-cmd --permanent --remove-source=172.25.254.150--zone=trusted   #移除

firewall-cmd --reload

firewall-cmd --add-interface=eth1 --zone=trusted     

重启火墙恢复默认

firewall-cmd --remove-interface=eth1 --zone=trusted

firewall-cmd --change-interface=eth1 --zone=public

3. 修改httpd火墙策略

firewall-cmd --permanent --add-service=http    #永久添加httpd服务

firewall-cmd --reload                                            #永久添加需重新加载

firewall-cmd --permanent --add-port=8080/tcp #添加tcp协议8080端口

firewall-cmd --reload                                            #永久添加需重新加载

vim /usr/lib/firewalld/services/http.xml                #修改火墙服务端口，rpm -ql firewalld  可查看火墙服务的相关服务信息

vim /etc/httpd/conf/httpd.conf                              #修改httpd服务端口

systemctl restart httpd.service                            #重启httpd服务

测试：

firewall-cmd --list-ports --zone=public                          #列出火墙服务端口

firewall-cmd --permanent --remove-port=8080/tcp    #删除火墙服务端口

注：

semanage port -l | grep http                              #查询服务接口

semanage port -a -t http_port_t -p tcp 6666  #添加服务接口

4. 修改sshd火墙策略

firewall-cmd --direct --add-rule ipv4 filter INPUT 1 ! -s 172.25.254.150 -p tcp --dport 22 -j REJECT   #添加火墙规则，只允许150连接

firewall-cmd --direct --get-all-rules      #查看火墙规则

注：“!”表示否定，除什么之外 ；s表示来源；p表示协议；j表示动作

测试：

firewall-cmd --direct --remove-rule ipv4 filter INPUT 1 ! -s 172.25.254.150 -p tcp --dport 22 -j REJECT    #移除规则

测试：

firewall-cmd --direct --add-rule ipv4 filter INPUT 1 ! -s 172.25.254.150 -p tcp --dport 22 -j DROP   #添加火墙规则，除150可以链接，其余全部等待，没有任何回应

测试：

注：

小规则写在前，加数字表序号，由上到小逐条匹配，只要有一条匹配，匹配完成将不再读取后续规则

拓展：

三张表：filter；mangle；nat

五条链：input（输入）；output（输出）；prerouting（路由前）；postrouting（路由后）；forward（转换）

配置双网卡-路由前：

vim /etc/sysconfig/network-scripts/ifcfg-eth1     #配置网卡，eth1与eth0在不同网段

systemctl restart network

firewall-cmd --add-masquerade --zone=public

firewall-cmd --add-forward-port=port=22:proto=tcp:toport=22:toaddr=172.25.254. 150    #访问本机，在路由前不经过内核，进行地址转换，直接转换为150主机

单网卡测试：

配置双网卡-路由后：

firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.25.254.170 masquerade'    #访问本机另一不同网段ip，路由后经过内核进行源地址转换，可以连接成功

单网卡测试：

ip与双网卡其中一块ip处于同一网段，通过连接不同网段的ip，连接成功

注：若ip可以ping通，但不能连接，使用以下方法进行恢复

sysctl -p

sysctl -a | grep ip_forward

vim /etc/sysctl.conf      #编辑net.ipv4.ip_forward = 1

二. iptables

1. 安装配置iptables

yum search iptables

yum install -y iptables-services.x86_64

systemctl stop firewalld.service

systemctl mask firewalld.service

systemctl start iptables.service

systemctl enable iptables.service

2. iptables的命令使用

iptables -nL                        #默认查看filter表，包含三条链

iptables -F                          #表示刷新，重启后将还原

service iptables save       #保存刷新，重启后不会还原

iptables -t filter -nL          #查看filter表

iptables -t nat -nL            #查看nat表

iptables -t mangle -nL    #查看mangle表

3. 配置规则

iptables -A INPUT -p tcp --dport 22 -j ACCEPT        #添加允许tcp协议22端口输入规则；"A"表示添加

iptables -A INPUT -i lo -j ACCEPT                              #添加允许环形网络接口输入规则

iptables -A INPUT -j REJECT                                      #添加拒绝所有输入规则

iptables -A INPUT -p tcp --dport 8080 -j ACCEPT   #添加允许tcp协议8080端口输入规则

iptables -nL

iptables -D INPUT 4                                                      #删除第四条规则;"D"表示删除

iptables -I INPUT 3 -p tcp --dport 80 -j ACCEPT      #将允许tcp协议80端口输入规则插入到第三条；"I"表示插入

ip -nL

iptables -R INPUT 3 -p tcp --dport 8080 -j ACCEPT      #将第三条允许tcp协议80端口改为8080端口输入；"R"表示插入

iptables -P INPUT DROP             #修改默认执行动作为DROP

4. 配置链

iptables -N westos                      #新建链；"N"表示新建

iptables -nL

iptables -E westos WESTOS    #修改链；"E"表示修改

iptables -nL

iptables -X WESTOS                   #删除链；"X"表示删除

iptables -nL

5. 配置规则状态

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT   #添加ESTABLISHED,RELATED状态输入规则；""表示状态

iptables -A INPUT -m state --state NEW -i lo -j ACCEPT                          #添加允许环形网路接口状态NEW输入规则

iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT    #添加允许tcp协议端口80状态NEW输入规则

iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT    #添加允许tcp协议端口22状态NEW输入规则

iptables -A INPUT -m state --state NEW -j REJECT                                  #添加拒绝所有状态NEW输入规则

注：cat /etc/services | grep http可查看服务接口

双网卡-路由后：

配置不同网段ip

iptables -t nat -A POSTROUTING -j SNAT --to-source 172.25.254.170     #路由后经过内核，源地址转换170主机

单网卡测试：

连接不同网段的ip，经过源地址转换，连接成功

双网卡-路由前：

iptables -t nat -A PREROUTING -j DNAT --to-dest 192.168.1.112     #路由前不经过内核，直接进行地址转换，转换到192.168.1.112主机

单卡测试：

注：firewalld与iptables本质区别：

firewalld将配置存储在/usr/lib/firewalld/和/etc/firewalld/中的各种xml文件中

iptables在/etc/sysconfig/iptables中存储配置