CentOS 7 防火墙 Firewalld

CentOS 7 防火墙 Firewalld

CentOS 7 与 RHEL 7 系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务

是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

查看 firewalld 服务的运行状态：

[[email protected] ~]# systemctl status firewalld

● firewalld.service - firewalld - dynamic firewall daemon

   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)

   Active: active (running) since 一 2018-04-23 17:23:01 CST; 13min ago

     Docs: man:firewalld(1)

 Main PID: 1182 (firewalld)

   CGroup: /system.slice/firewalld.service

           └─1182 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid

说明运行正常。

相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略

模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。例如，我们有一台笔记本电脑，每天都要在办公室、咖啡厅和家

里使用。按常理来讲，这三者的安全性按照由高到低的顺序来排列，应该是家庭、公司办公室、咖啡厅。当前，我们希望为这台笔记本电脑指定如下防火墙策略规则：

    在家中允许访问所有服务；在办公室内仅允许访问文件共享服务；在咖啡厅仅允许上网浏览。

在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标就可以自动切换了，从而极大地提升了防火墙策略的应用效率。

firewalld中常见的区域名称（默认为public）以及相应的策略规则如下表所示。

                            firewalld中常用的区域名称及策略规则

+===========+===============================================================================================================================+

|    区域    |    默认规则策略                                                                                                                |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| trusted    | 允许所有的数据包                                                                                                                |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| home        | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client 与 dhcpv6-client 服务相关，则允许流量    |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| internal    | 等同于home区域                                                                                                                |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| work        | 拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量                        |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| public    | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量                                        |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| external    | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量                                                        |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| dmz        | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量                                                        |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| block        | 拒绝流入的流量，除非与流出的流量相关                                                                                            |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

| drop        | 拒绝流入的流量，除非与流出的流量相关                                                                                            |

+-----------+-------------------------------------------------------------------------------------------------------------------------------+

1. 终端管理工具

---------------------------------------------------------------------------------------------------------------------------------------------

firewall-cmd 是 firewalld 防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的，如下表所示：

                         firewall-cmd命令中使用的参数以及作用

        +===============================+=======================================================+

        |    参数                        |             作用                                        |

        +-------------------------------+-------------------------------------------------------+

        | --get-default-zone            | 查询默认的区域名称                                    |

        +-------------------------------+-------------------------------------------------------+

        | --set-default-zone=<区域名称>    | 查询默认的区域名称                                    |

        +-------------------------------+-------------------------------------------------------+

        | --get-zones                    | 显示可用的区域                                        |

        +-------------------------------+-------------------------------------------------------+

        | --get-services                | 显示预先定义的服务                                    |

        +-------------------------------+-------------------------------------------------------+

        | --get-active-zones            | 显示当前正在使用的区域与网卡名称                        |

        +-------------------------------+-------------------------------------------------------+

        | --change-source                | 将源自此IP或子网的流量导向指定的区域                    |

        +-------------------------------+-------------------------------------------------------+

        | --remove-source=                | 不再将源自此IP或子网的流量导向某个指定区域            |

        +-------------------------------+-------------------------------------------------------+

        | --add-inter 将源自该网卡的所有流量都导向某个指定区域                |

        +-------------------------------+-------------------------------------------------------+

        | --change-inter 将某个网卡与区域进行关联                                |

        +-------------------------------+-------------------------------------------------------+

        | --list-all                    | 显示当前区域的网卡配置参数、资源、端口以及服务等信息    |

        +-------------------------------+-------------------------------------------------------+

        | --list-all-zones                | 显示所有区域的网卡配置参数、资源、端口以及服务等信息    |

        +-------------------------------+-------------------------------------------------------+

        | --add-service=<服务名>        | 设置默认区域允许该服务的流量                            |

        +-------------------------------+-------------------------------------------------------+

        | --add-port=<端口号/协议>        | 设置默认区域允许该端口的流量                            |

        +-------------------------------+-------------------------------------------------------+

        | --remove-service=<服务名>        | 设置默认区域不再允许该服务的流量                        |

        +-------------------------------+-------------------------------------------------------+

        | --remove-port=<端口号/协议>    | 设置默认区域不再允许该端口的流量                        |

        +-------------------------------+-------------------------------------------------------+

        | --reload                        | 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则    |

        +-------------------------------+-------------------------------------------------------+

        | --panic-on                    | 开启应急状况模式                                        |

        +-------------------------------+-------------------------------------------------------+

        | --panic-off                    | 关闭应急状况模式                                        |

        +-------------------------------+-------------------------------------------------------+

使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用

永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。但是，

永久生效模式有一个特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。

范例：

    ● 查看firewalld服务当前所使用的区域：

        [[email protected] ~]# firewall-cmd --get-default-zone

        public

    ● 查询 enp6s0f0 网卡在firewalld服务中的区域：

        [[email protected] ~]# firewall-cmd --get-zone-of-interexternal'.

        success

        [[email protected] ~]# firewall-cmd --get-zone-of-interrule family="ipv4" source address="192.168.10.0/24" \

        service name="ssh" reject"

        success

        [[email protected] ~]# firewall-cmd --reload

        success

    在客户端使用ssh命令尝试访问 192.168.10.10 主机的ssh服务（22端口）：

        [[email protected] ~]# ssh 192.168.10.10

        Connecting to 192.168.10.10:22...

        Could not connect to '192.168.10.10' (port 22): Connection failed.

2. 图形管理工具 (GUI)

---------------------------------------------------------------------------------------------------------------------------------------------        

firewall-config 是 firewalld 防火墙配置管理工具的 GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作， firewall-config 功能具体如下。

    1：选择运行时（Runtime）模式或永久（Permanent）模式的配置。

    2：可选的策略集合区域列表。

    3：常用的系统服务列表。

    4：当前正在使用的区域。

    5：管理当前被选中区域中的服务。

    6：管理当前被选中区域中的端口。

    7：开启或关闭SNAT（源地址转换协议）技术。

    8：设置端口转发策略。

    9：控制请求icmp服务的流量。

    10：管理防火墙的富规则。

    11：管理网卡设备。

    12：被选中区域的服务，若勾选了相应服务前面的复选框，则表示允许与之相关的流量。

    13：firewall-config 工具的运行状态。

运行：

    [[email protected] ~]# firewall-config

---------------------------------------------------------------------------------------------------------------------------------------------    

参考：

    http://www.firewalld.org/