Linux基础（firewalld防火墙配置管理工具的图形用户界面）

雨点打透心脏的1/2处 2022-11-17 13:48 402阅读 0赞

firewall-config的界面如图所示

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70][]

我们先将当前区域中请求http服务的流量设置为允许，但仅限当前生效。具体配置如图

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 1][]

尝试添加一条防火墙策略规则，使其放行访问8080-8088端口（TCP协议）的流量，并将其设置为永久生效，以达到系统重启后防火墙策略依然生效的目的。配置完毕后还需要重载防火墙，这与在命令行中执行--reload参数的效果一样

首先选中永久，然后点击端口，添加端口，输入端口号范围

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 3][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 4][]

SNAT是一种为了解决IP地址匮乏而设计的技术，它可以使得多个内网中的用户通过一个外网IP接入Internet。该技术的应用非常广泛，甚至可以说我们每天都在使用，只不过没有察觉罢了。

使用iptables命令实现SNAT技术是一件麻烦的事情，但是firewall-config中却是小菜一碟了，用户只需勾选Masquerade zone（伪装区）复选框，就自动开启了SNAT技术

**开启防火墙的SNAT技术**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 5][]

配置本地的端口转发

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 6][]

**让防火墙策略规则立即生效**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 7][]

**配置富规则，让192.168.1.10主机访问到本机的1234端口号**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 8][]

把网卡与防火墙策略区域进行绑定

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 9][]

服务的访问控制列表

TCP Wrappers是一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。

换句话说，Linux系统中其中有两个层面的防火墙，第一种是前面讲到的基于TCP/IP协议的流量过滤工具，而TCP Wrappers服务则是能允许或禁止Linux系统提供服务的防火墙，从而在更高层面保护了Linux系统的安全运行。

TCP Wrappers服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量。也可以编辑拒绝控制列表文件来阻止对服务的请求流量。控制列表文件修改后立即生效，系统将会先检查允许控制列表文件，如果匹配到相应的允许策略则放行流量；如果没有匹配，则去进一步匹配拒绝控制列表文件，若找到匹配项则拒绝该流量，如果两个文件全都没匹配到，则默认放行流量。

TCP Wrappers服务的控制列表文件配置起来并不复杂，常用的参数如表：

<table> 
 <tbody> 
  <tr> 
   <td>客户端类型</td> 
   <td>示例</td> 
   <td>满足示例的客户端列表</td> 
  </tr> 
  <tr> 
   <td>单一主机</td> 
   <td>192.168.1.10</td> 
   <td>IP地址为192.168.1.10/24的主机</td> 
  </tr> 
  <tr> 
   <td>指定网段</td> 
   <td>192.168.1.</td> 
   <td>IP段为192.168.1.0/24的主机</td> 
  </tr> 
  <tr> 
   <td>指定网段</td> 
   <td>192.168.1.0/255.255.255.0</td> 
   <td>IP段为192.168.1.0/24的主机</td> 
  </tr> 
  <tr> 
   <td>指定DNS后缀</td> 
   <td>.linux.com</td> 
   <td>所有DNS后缀为.linux.com</td> 
  </tr> 
  <tr> 
   <td>指定主机名称</td> 
   <td>www.beijing.com</td> 
   <td>主机名称为www.beijing.com</td> 
  </tr> 
  <tr> 
   <td>指定所有客户端</td> 
   <td>ALL</td> 
   <td>所有主机全部包括在内</td> 
  </tr> 
 </tbody> 
</table>

在配置TCP Wrappers服务时需要遵循两个原则：

编写拒绝策略规则时，填写的是服务名称，而非协议名称

建议先编写拒绝策略规则，在编写允许策略规则，以便直观看到相应的效果

我们使用Vi/Vim编辑/etc/hosts.deny文件即可配置

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 10][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70]: /images/20221022/fa284f26e50c4e11a1f2e0af1fd95fc6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 1]: /images/20221022/35e6d18d3ff649799c86ccda0ef371ab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 2]: /images/20221022/e61bf0321880402bb80bea28eeadbfbe.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 3]: /images/20221022/df29aeecfa5d44f7b02d703e17e6e5bf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 4]: /images/20221022/eac903143e6442e7a5b23f8bb7f6b9bd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 5]: /images/20221022/8945666ec43e4362a668baf87e93810b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 6]: /images/20221022/5d3e2ba094f940ecae955ddff55ed0c3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 7]: /images/20221022/c6509cee1e594fb3b0d88e168b8a1607.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 8]: /images/20221022/c9df0568374849db9c446151851a7038.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 9]: /images/20221022/23de551b26a34e1f8037eec56895500e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 10]: /images/20221022/5a99e9fc453e49948bbb0762de2c4c3c.png