RHEL7中防火墙firewalld的配置

梦里梦外; 2022-01-16 13:51 334阅读 0赞

在RHEL7里有几种防火墙共存：firewalld、iptables、ebtables，默认使用firewalld来管理netfilter子系统，不过底层调用的命令仍然是iptables等。因为这几个daemon是冲突的建议禁用其他的几种服务：

> ##  systemctl mask iptables(ip6tables,ebtables)    ##

![wps3F68_tmp.png][]

在firewalld中使用了区域(zone)的概念，默认已经定义了几个zone：

![wps3F79_tmp.png][]

zone的解释：

![wps3F7A_tmp.png][]

数据包要进入到内核必须要通过这些zone中的一个，而不同的zone里定义的规则不一样（即信任度不一样，过滤的强度也不一样）。可以根据网卡所连接的网络的安全性来判断，这张网卡的流量到底使用哪个zone，比如上图来自eth0的流量全部使用zone1的过滤规则，eth1的流量使用zone3。一张网卡同时只能绑定到一个zone。大家就可以把这些zone想象成进入火车站（地铁）的安检，不同的入口检测的严格度不一样。

默认的几个zone（由firewalld 提供的区域按照从不信任到信任的顺序排序）：

drop

任何流入网络的包都被丢弃，不作出任何响应，只允许流出的网络连接。即使开放了某些服务(比如http)，这些服务的数据也是不允许通过的。

block

任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。

public（默认）

用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机，只允许选中的服务通过。

external

用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机，只允许选中的服务通过。

dmz

用以允许隔离区（dmz）中的电脑有限地被外界网络访问，只允许选中的服务通过。

work

用在工作网络。你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过。

home

用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过。

internal

用在内部网络。你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过。

trusted

允许所有网络连接，即使没有开放任何服务，那么使用此zone的流量照样通过（一路绿灯）。

查看当前的默认的区域：

![wps3F8A_tmp.png][]

设置默认的区域：

![wps3F8B_tmp.png][]

给某个区域开启某个服务

![wps3F8C_tmp.png][]

关闭某个服务：

![wps3F8D_tmp.png][]

如果没有指定zone的话，则是在默认的zone上操作。

查看某个zone上是否允许某个服务：

![wps3F9E_tmp.png][]

在firewalld里添加一个端口，这样就可以访问了：

![wps3F9F_tmp.png][]

查看开启了哪些端口：

![wps3FA0_tmp.png][]

查看某个接口是属于哪个zone的：

![wps3FA1_tmp.png][]

把接口加入到某个zone：

![wps3FA2_tmp.png][]

查看某个zone里开启了哪些服务、端口、接口：

![wps3FB3_tmp.png][]

现在默认的zone是trusted，虽然现在已经不允许http访问了，但是还能访问，为什么？

记住：因为trusted是最被信任的，即使没有设置任何的服务，那么也是被允许的，因为trusted是允许所有连接的。

有多个不同的zone，每个zone定义的规则是不一样的，因为所有的数据都是从网卡进入，到底使用哪个zone的规则，关键就在于这个网卡是在哪个区域的，比如下面的例子：

![wps3FB4_tmp.png][]

现在eth0是在public这个zone里的，此时public是允许http的：

![wps3FB5_tmp.png][]

但是默认的zone是external，且不允许http访问：

![wps3FC5_tmp.png][]

但是浏览器却能访问，证明了上面的说法。

如果改变eth0所在的zone，比如改到external：

![wps3FC6_tmp.png][]

则访问不了：

![wps3FC7_tmp.png][]

下面验证下源地址的意思：

网卡的source地址，也能决定可以使用哪个zone，新添加了一张网卡，此网卡开始默认不属于任何的zone：

![wps3FC8_tmp.png][]

此时通过访问eth1来访问web是访问不了的：

![wps3FC9_tmp.png][]

下面我们给public设置source，来自源192.168.30.0/24网段的都走public区：

![wps3FDA\_tmp.png][wps3FDA_tmp.png]

![wps3FDB\_tmp.png][wps3FDB_tmp.png]

通过验证，现在访问是成功的。

如果在external里面同时也加入192.168.30.0/24这个源呢？

![wps3FDC\_tmp.png][wps3FDC_tmp.png]

显示为冲突，即一个源只能属于一个zone，不能同时属于多个zone。

以上是对tcp协议做的实验，下面对ICMP做一些演示：

首先获取firewalld所支持的ICMP类型：

![wps3FDD\_tmp.png][wps3FDD_tmp.png]

记住：默认情况下是允许所有类型的ICMP通过。

![wps3FEE\_tmp.png][wps3FEE_tmp.png]

下面阻断public的request的包：

![wps3FEF\_tmp.png][wps3FEF_tmp.png]

这样凡是进来的是echo-request类型的包都会被拒绝，因为public是和eth0绑定在一块的，所以ping 192.168.2.130的时候是不通的：

![wps3FF0\_tmp.png][wps3FF0_tmp.png]

删除此规则：

![wps3FF1\_tmp.png][wps3FF1_tmp.png]

\-端口的转发

![wps3FF2\_tmp.png][wps3FF2_tmp.png]

意思是凡是来从external进来的22端口的数据包全部转发到192.168.30.254

![wps4002\_tmp.png][wps4002_tmp.png]

验证：

![wps4003\_tmp.png][wps4003_tmp.png]

更详细的写法，可以指定目标端口的：

![wps4004\_tmp.png][wps4004_tmp.png]

![wps4015\_tmp.png][wps4015_tmp.png]

查询：

![wps4016\_tmp.png][wps4016_tmp.png]

删除：

![wps4017\_tmp.png][wps4017_tmp.png]

未完待续…

转自：[http://www.rhce.cc/?p=1194][http_www.rhce.cc_p_1194]

转载于:https://blog.51cto.com/hoccboy/1720790

[wps3F68_tmp.png]: /images/20220114/9f37c2685b524bf8ae16b458b089f491.png
[wps3F79_tmp.png]: /images/20220114/00ebe73a28cf4b3bb577d6987d41d6d5.png
[wps3F7A_tmp.png]: /images/20220114/a4ed96cfe26841c5958a7054c600e4fd.png
[wps3F8A_tmp.png]: /images/20220114/90ccda7d36d34aa2b759a311840c7f1b.png
[wps3F8B_tmp.png]: /images/20220114/3ea7f67b0aaf46b3a8924c37f7918c1b.png
[wps3F8C_tmp.png]: /images/20220114/5152fd303dd649baafdd30a3153ab411.png
[wps3F8D_tmp.png]: /images/20220114/8994f9608e9b4f1795b79f885fc85061.png
[wps3F9E_tmp.png]: /images/20220114/62f75f1cd5ef4661a918d5c58f4184f5.png
[wps3F9F_tmp.png]: /images/20220114/d8a53e3ee9a241299ed088548b384a43.png
[wps3FA0_tmp.png]: /images/20220114/2c4d4b6f4f58484e85fc8819429f1b37.png
[wps3FA1_tmp.png]: /images/20220114/421a396be71e43b5bf1f1a3353b7f287.png
[wps3FA2_tmp.png]: /images/20220114/d965fae240d445d6b2c80bd518aa0f05.png
[wps3FB3_tmp.png]: /images/20220114/d8b58f4fe0084a0793d3f952a3b515c7.png
[wps3FB4_tmp.png]: /images/20220114/c1672e7fae9e45759fa2b7339334ba62.png
[wps3FB5_tmp.png]: /images/20220114/697a03a7925b471ea98f1708d140f385.png
[wps3FC5_tmp.png]: /images/20220114/cadcb3b1cf314bf89fbe3b6154706489.png
[wps3FC6_tmp.png]: /images/20220114/cc2ece700b444f459fdc235197348f43.png
[wps3FC7_tmp.png]: /images/20220114/d87dc5b56fbf46c0b812d179fe33749a.png
[wps3FC8_tmp.png]: /images/20220114/e501b09112f346c98cc4c9213306709d.png
[wps3FC9_tmp.png]: /images/20220114/9111826202104b0dbf10777de0ee2caa.png
[wps3FDA_tmp.png]: /images/20220114/9406096bacfc445fb708cce075717f65.png
[wps3FDB_tmp.png]: /images/20220114/a437cf566c424a5fa6f517218f942257.png
[wps3FDC_tmp.png]: /images/20220114/1daadf823d5a4fd48951e288854c180b.png
[wps3FDD_tmp.png]: /images/20220114/5549818610994b0888f92ab6d223e037.png
[wps3FEE_tmp.png]: /images/20220114/a088701a74d54a0dbaf5cad3251317b7.png
[wps3FEF_tmp.png]: /images/20220114/b165127502844732aa428d438656e71a.png
[wps3FF0_tmp.png]: /images/20220114/c933cbd29c4f4dbe9d980b16fc5d44f6.png
[wps3FF1_tmp.png]: /images/20220114/e16437ad48274e2b92d1e21778a827c6.png
[wps3FF2_tmp.png]: /images/20220114/c281f3c08963420d969b1260a98d27a0.png
[wps4002_tmp.png]: /images/20220114/eaaa7fa76a0146b39ecc42b8387c03ea.png
[wps4003_tmp.png]: /images/20220114/fad18d4a28da46aa96a47bcafe20cebc.png
[wps4004_tmp.png]: /images/20220114/050f706e88904b22977bc9bfec9021ac.png
[wps4015_tmp.png]: /images/20220114/6579f8b06ad747409d5af43ed29ded28.png
[wps4016_tmp.png]: /images/20220114/fee7e30c19e34a5898f1952d5572d3b7.png
[wps4017_tmp.png]: /images/20220114/a7f65753502244d580dd343b8e570b3e.png
[http_www.rhce.cc_p_1194]: http://www.rhce.cc/?p=1194