47、防火墙配置与网络存储访问指南

防火墙配置与网络存储访问指南

1. 理解Firewalld区域

Firewalld通过使用区域（zones）来简化防火墙管理。区域是一组规则的集合，这些规则应用于与特定源地址或网络接口匹配的传入数据包。默认情况下，Firewalld仅应用于传入数据包，对传出数据包不进行过滤。

在具有多个接口的服务器上，区域的使用尤为重要。在这样的服务器上，管理员可以轻松为特定接口分配一组规则。而对于只有一个网络接口的服务器，可能只需要一个默认区域。系统会分析每个传入数据包的源地址，根据该地址，Firewalld判断数据包是否属于特定区域。如果不属于，将使用传入网络接口的区域；若没有特定区域可用，则使用默认区域的设置。

Firewalld有一些默认区域，如下表所示：
| 区域名称 | 默认设置 |
| — | — |
| block | 传入网络连接会被“icmp-host-prohibited”消息拒绝，仅允许从本系统发起的网络连接。 |
| dmz | 用于非军事区的计算机，仅接受选定的传入连接，并允许对内部网络的有限访问。 |
| drop | 任何传入数据包都会被丢弃，且不做回复。 |
| external | 用于启用了伪装（网络地址转换 [NAT]）的外部网络，尤其适用于路由器，仅接受选定的传入连接。 |
| home | 用于家庭网络，同一网络中的大多数计算机是可信的，仅接受选定的传入连接。 |
| internal | 用于内部网络，同一网络中的大多数计算机是可信的，仅接受选定的传入连接。 |
| public | 用于公共区域，同一网络中的其他计算机不可信，仅接受有限的连接，是所有新创建网络