0
  • 聊天消息
  • 系统消息
  • 评论与回复
登录后你可以
  • 下载海量资料
  • 学习在线课程
  • 观看技术视频
  • 写文章/发帖/加入社区
会员中心
创作中心

完善资料让更多小伙伴认识你,还能领取20积分哦,立即完善>

3天内不再提示

10分钟精通Linux Firewalld:从入门到企业级安全防护

马哥Linux运维 来源:马哥Linux运维 2025-01-15 14:00 次阅读

实践环境

CentOS-7-x86_64-DVD-2009

简介

Firewalld是一种简单的、有状态的、基于区域(zone-based)的防火墙。策略和区域用于组织防火墙规则。网络在逻辑上被划分为多个区域,它们之间的流量可以通过策略进行管理。

e2b1a25c-d258-11ef-9310-92fbcf53809c.png

查看防火墙状态

# service firewalld status

或者

# systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
   Active: inactive (dead)
     Docs: man:firewalld(1)

说明:如果输出显示Active: inactive (dead),则表示未开启防火墙。如果现实Active: active (running)则表示开启了防火墙。

或者

# firewall-cmd --state
not running

开启防火墙

# service firewalld start

或者

# systemctl start firewalld

重启防火墙

# service firewalld restart

或者

# systemctl restart firewalld

设置防火墙开机自启

# systemctl enable firewalld
Created symlink from /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service to /usr/lib/systemd/system/firewalld.service.
Created symlink from /etc/systemd/system/multi-user.target.wants/firewalld.service to /usr/lib/systemd/system/firewalld.service.

禁用防火墙开机自启

# systemctl disable firewalld
Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.

查看预定义区域

# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
# #查看每个区域的详细信息
# firewall-cmd --list-all-zones

区域简介:

区域 默认规则
block 拒绝流入的流量,除非与流出的流量相关
dmz 拒绝流入的流量,除非与流出的流量相关;如果流量与ssh服务相关,则允许流量
drop 拒绝流入的流量,除非与流出的流量相关
external 拒绝流入的流量;除非与流出的流量相关;如果流量与ssh服务相关,则允许流量
home 拒绝流入的流量;除非与流出的流量相关;如果流量与ssh,mdns,ipp-client,amba-client,dhcpv6-client服务相关,则允许流量
internal 等同于home区域
public 拒绝流入的流量;除非与流出的流量相关;如果流量与ssh,dhcpv6-client服务相关,则允许流量
trusted 允许所有的数据包流入与流出
work 拒绝流入的流量;除非与流出的流量相关;如果流量与ssh,ipp-client,dhcpv6-client服务相关,则允许流量

创建自定义区域

# firewall-cmd --permanent --new-zone=testing
success

注意:--permanent选项不能少

查看默认区域

# firewall-cmd --get-default-zone
public

查看网卡关联的区域

# ip addr
1: lo:  mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 000000:00 brd 000000:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33:  mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 002986:da brd ffffff:ff
    inet 192.168.206.102/24 brd 192.168.206.255 scope global ens33
       valid_lft forever preferred_lft forever
    inet6 fe80:29ff86da/64 scope link 
       valid_lft forever preferred_lft forever
# firewall-cmd --get-zone-of-interface=ens33
public

注意:一张网卡只能关联一个区域

修改默认区域

例子:

# #修改默认区域为`trusted`
# firewall-cmd --set-default-zone=trusted 
success
# firewall-cmd --get-default-zone 
trusted
# firewall-cmd --get-zone-of-interface=ens33
trusted
# #还原
# firewall-cmd --set-default-zone=public 
success
# firewall-cmd --get-default-zone 
public
# firewall-cmd --get-zone-of-interface=ens33
public

修改网卡关联的区域

方法1:先删除现有关联区域,再添加目标关联区域(因为同一时间,一张网卡只能关联一个区域,所以要先添加再删除)

# firewall-cmd --remove-interface=ens33 --zone=public
success
# firewall-cmd --get-zone-of-interface=ens33
no zone
## 设置ens33关联区域为trusted
# firewall-cmd --add-interface=ens33 --zone=trusted
success
# firewall-cmd --get-zone-of-interface=ens33
trusted

方法2:

## 设置ens33关联区域为public
# firewall-cmd --change-interface=ens33 --zone=public
success
# firewall-cmd --get-zone-of-interface=ens33
public

打印当前活动区域及绑定的接口和源

firewall-cmd --get-active-zones

打印当前活动区域以及这些区域中使用的接口和源。活动区域是与接口或源绑定的区域。输出格式为:

zone1
  interfaces: interface1 interface2 ..
  sources: source1 ..
zone2
  interfaces: interface3 ..
zone3
  sources: source2 ..
如果没有接口和源绑定到区域,则忽略该对应区域行

例子:

# firewall-cmd --get-active-zones
public
  interfaces: ens33

端口访问限制

查看已开放端口

firewall-cmd  [--permanent] [--zone=zone] --list-ports

以空格分隔的列表形式列出为区域添加的端口。端口的形式为portid[-portid]/protocol,它可以是端口和协议对,也可以是具有协议的端口范围。如果忽略--zone选项配置,将使用默认区域。

添加开放端口

firewall-cmd [--permanent] [--zone=zone] --add-port=portid[-portid]/protocol [--timeout=timeval]

为zone(区域)添加端口。如果省略了--zone选项配置,将使用默认区域。此选项可以多次指定。如果提供了--timeout,则该规则将在指定的超时时间内处于活动状态,超时之后将自动删除。timeval是一个数字(秒)或数字后跟一个字符s(秒)、m(分钟)、h(小时),例如20m或1h。
端口可以是单个端口号,也可以是端口范围portid-portid。协议可以是tcp、udp、sctp或dccp。
--timeout选项不能与--permanent选项组合使用。

取消开放端口

firewall-cmd [--permanent] [--zone=zone] --remove-port=portid[-portid]/protocol

从区域中删除端口。如果省略了--zone选项配置,将使用默认区域。此选项可以多次指定。
--permanent可用于持久设置选项。这些更改不会立即生效,只有在重新启动/重新加载服务或系统重新启动后才会生效。如果未使用--permanent,则更改将仅是运行时配置的一部分(所做的变更在重启服务、重新加载服务后失效),下同,不再赘述。

例子

例子:为public区域持久开放 tcp协议端口 15672

# firewall-cmd --permanent --add-port=15672/tcp
# firewall-cmd --list-ports # 查不到端口
# #让配置生效
# firewall-cmd --reload
success
# firewall-cmd --list-ports
15672/tcp

说明:

firewall-cmd --reload

重新加载防火墙规则并保留状态信息。当前的持久配置将成为新的运行时配置,也就说执行的所有仅运行时变更在重新加载规则后丢失。类似的,有以下命令

firewall-cmd --complete-reload

完全重新加载防火墙,甚至netfilter内核模块。这很可能会终止活动连接,因为状态信息会丢失。此选项仅用于严重的防火墙问题。例如,防火墙规则正确的情况下,无法建立连接的状态信息问题

例子:为public区域持久开放 tcp协议端口范围 1000-2000(包括1000及2000)

# firewall-cmd --permanent --add-port=1000-2000/tcp
success
# firewall-cmd --reload
success
# firewall-cmd --list-ports
15672/tcp 1000-2000/tcp

例子:为public区域持久取消开放 tcp协议端口 15672

# firewall-cmd --permanent --remove-port=15672/tcp
success
# firewall-cmd --reload
success
# firewall-cmd --list-ports
1000-2000/tcp

例子:为public区域持久取消开放tcp协议端口范围 1000-2000(包括1000及2000)

]# firewall-cmd --permanent --remove-port=1000-2000/tcp
success
# firewall-cmd --reload
success
# firewall-cmd --list-ports

#

IP、网络访问限制

添加开放源

firewall-cmd [--permanent] [--zone=zone] --add-source=source[/mask]|MAC|ipset:ipset

绑定源(source,IP、网络、MAC、IP集)到区域zone。如果省略了--zone选项配置,将使用默认区域。

取消开放源

firewall-cmd [--permanent] --remove-source=source[/mask]|MAC|ipset:ipset

从区域zone删除之前添加绑定的源

例子

例子:允许IP 192.168.50.182持久访问为public区域

# firewall-cmd --permanent --add-source=192.168.50.182
success
# firewall-cmd --reload
success

说明:添加IP白名单后,即使未添加开放端口,针对当前IP,也可以正常访问。

例子:允许子网192.168.50.0/24持久访问为public区域

# firewall-cmd --permanent --add-source=192.168.50.0/24
success
# firewall-cmd --reload
success

例子:取消IP 192.168.50.182对public区域的持久访问许可

# firewall-cmd --permanent --remove-source=192.168.50.182
success
# firewall-cmd --reload
success

富语言规则

列出富语言规则

firewall-cmd [--permanent] [--zone=zone] --list-rich-rules

以换行符分隔的列表形式列出为区域添加的富语言规则。如果省略了--zone选项,将使用默认区域。

添加富语言规则

firewall-cmd [--permanent] [--zone=zone] --add-rich-rule='rule' [--timeout=timeval]

为区域添加富语言规则'rule'。此选项可以多次指定。如果省略了区域,将使用默认区域。如果提供了--timeout,则该规则将在指定的超时时间内处于活动状态,超时之后将自动删除。timeval是一个数字(秒)或数字后跟一个字符s(秒)、m(分钟)、h(小时),例如20m或1h。

--timeout选项不能与--permanent选项组合使用。

删除富语言规则

firewall-cmd  [--permanent] [--zone=zone] --remove-rich-rule='rule'

从区域中删除富语言规则'rule'。此选项可以多次指定。如果省略了区域,将使用默认区域。

查询富语言规则

firewall-cmd  [--permanent] [--zone=zone] --query-rich-rule='rule'

返回是否为区域添加了富语言规则'rule'。如果省略了--zone,将使用默认区域。如果为真,则返回0,否则返回1。

例子

例子:允许 IP 192.168.50.182 持久访问public区域tcp协议端口15672

# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.50.182" port protocol="tcp" port="15672" accept'
# firewall-cmd --reload

例子:取消 IP 192.168.50.182 持久访问public区域tcp协议端口15672的许可

# firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.50.182" port protocol="tcp" port="15672" accept'
success
# firewall-cmd --reload

例子:禁止 IP 192.168.50.182 持久访问public区域

# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.50.182" reject'
# firewall-cmd --reload

注意:添加访问限制前,建议先移除之前的访问许可配置,否则可能导致当前规则不起作用。此外,这里的reject也可以替换为drop,即直接丢弃来访请求数据包。

例子:取消禁止 IP 192.168.50.182 持久访问public区域限制

# firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.50.182" reject'
# firewall-cmd --reload

例子:查看当前配置的富语言规则

# firewall-cmd --list-rich-rules
rule family="ipv4" source address="192.168.50.182" reject

列出为区域启用或添加的所有内容

firewall-cmd[--permanent] [--zone=zone] --list-all

列出为区域添加或启用的所有内容。如果省略了--zone选项配置,则将使用默认区域。

例子:

# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: dhcpv6-client ssh
  ports: 15672/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

保存当前运行时配置为持久配置

# firewall-cmd --runtime-to-permanent

保存活动运行时配置并用它覆盖持久配置。

链接:https://www.cnblogs.com/shouke/p/18366534

声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉
  • Linux
    +关注

    关注

    87

    文章

    11339

    浏览量

    210123
  • 防火墙
    +关注

    关注

    0

    文章

    420

    浏览量

    35657

原文标题:10分钟精通Linux Firewalld:从入门到企业级安全防护,新手必看!

文章出处:【微信号:magedu-Linux,微信公众号:马哥Linux运维】欢迎添加关注!文章转载请注明出处。

收藏 人收藏

    相关推荐

    Ubuntu_Linux入门精通

    Ubuntu_Linux入门精通
    发表于 08-20 14:07

    Linux 入门精通 a

    Linux 入门精通,无分卷,我也是没有E币的伦,CLOUD发送的小于10M的东西能不分卷就
    发表于 04-20 13:16

    Altium designer10入门精通

    Altium designer10入门精通:Altium designer10
    发表于 07-19 22:16

    ALTIUM DESIGNER 10入门精通

    ALTIUM DESIGNER 10入门精通(文件太大,分了好多卷,供有需要的人学习)
    发表于 04-16 18:47

    Linux入门精通 高清版.

    本帖最后由 lee_st 于 2018-3-2 14:26 编辑 Linux入门精通 437页 74.3M 高清版.
    发表于 03-01 15:55

    企业级LInux系统日志管理

    企业级LInux系统日志管理
    发表于 05-29 11:33

    DSP入门精通全集

    DSP入门精通全集
    发表于 03-30 23:20 8487次下载

    nios入门精通

    nios入门精通
    发表于 07-08 16:55 0次下载

    Ubuntu入门精通

    《Ubuntu入门精通》Ubuntu一般是作为学习linux入门操作系统,界面良好,现在已
    发表于 10-30 17:14 167次下载

    Unity5 入门精通

    Unity5 入门精通
    发表于 04-18 14:26 6次下载

    开关电容电路入门精通

    图灵 开关电容电路 入门精通
    发表于 12-29 20:39 58次下载

    安防企业员工培训教程-安防技术入门精通

    安防企业员工培训教程-安防技术入门精通
    发表于 01-04 14:31 0次下载

    C游戏编程入门精通

    C游戏编程入门精通
    发表于 03-31 15:56 0次下载

    《Wireshark入门精通》PDF

    《Wireshark入门精通》,可助网络、安全、开发人员一臂之力,是一款很不错的分析软件使用丛书。
    发表于 02-14 11:43 0次下载

    Android Studio入门精通

    Android Studio入门精通.pdf
    发表于 08-14 15:05 6次下载