Linux中的防火墙————Firewalld

2024-04-07 02:52
文章标签 linux 防火墙 firewalld

本文主要是介绍Linux中的防火墙————Firewalld，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

firewalld介绍和原理

firewalld是一个服务，这个服务提供了防火墙配置的工具

只要开启了firewalld服务，那么就可以通过firewall服务提供的工具来配置防火墙

Linux本身不具备防火墙功能，而是通过内核的net_filter模块来实现软防火墙功能，而且你必须通过iptables才能和net_filter进行交互

默认在rhel7和fedora20，centos7以上的版本默认安装了firewalld服务，默认是开启的

##  开启防火墙
[root@client ~]# systemctl start firewalld## 查看firewalld状态
[root@client ~]# systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemonLoaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; preset: enabled)Active: active (running) since Wed 2024-03-20 15:47:15 CST; 1min 23s agoDocs: man:firewalld(1)Main PID: 4076 (firewalld)Tasks: 2 (limit: 10803)Memory: 25.7MCPU: 375msCGroup: /system.slice/firewalld.service└─4076 /usr/bin/python3 -s /usr/sbin/firewalld --nofork --nopidMar 20 15:47:14 client systemd[1]: Starting firewalld - dynamic firewall daemon...
Mar 20 15:47:15 client systemd[1]: Started firewalld - dynamic firewall daemon.## 查看iptables规则

firewalld的服务提供了一个更加简单的方式来配置防火墙，原理就是firewalld服务将你的防火墙配置命令转换成iptables规则

firewalld提供了两中管理工具，一种图形化管理工具firewall-offline-cmd，另一种命令行管理工具firewall-cmd。

firewall-cmd原理

firewalld提供了zone的概念，zone是区域的意思，firewalld将我们的系统划分成了一个个zone。

znoe的边界取决于网卡

firewalld提供了zone，一个网卡只能属于一个zone，那zone的边界就是属于该zone的网卡。

firewalld的zone里面有网卡，有规则（rule）。如果一个网卡属于firewalld的某个zone，那么这个zone里面的所有规则都会应用到该zone内的网卡

  • 网卡，zone和规则

zone包含网卡和规则，网卡在zone里面就应用这个zone里面的规则

我们把firewalld学明白，就搞定这三个感念

zone的概念比较简单，将网卡划分入zone也很简单，复杂的就只有规则（rule）。

firewalld的操作

zone

列出所有的zone

[root@server ~]# firewall-cmd --list-all-zones 
blocktarget: %%REJECT%%icmp-block-inversion: nointerfaces: sources: services: ports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules: dmztarget: defaulticmp-block-inversion: nointerfaces: sources: services: ssh
...

 只要不是特别复杂的网络场景，一个zone可以解决我们所有的问题

列出"缺省的zone"的规则

[root@server ~]# firewall-cmd --list-all
public (active)target: defaulticmp-block-inversion: nointerfaces: ens160 ens224sources: services: cockpit dhcpv6-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules:

firewall-cmd添加规则正常来说必须指定zone，因为规则实在zone里面，那你肯定添加规则的时候要指定这个规则在哪个zone里面。

有些时候如果每一次添加规则都指定zone会显得比较复杂，因为大多数情况下一个zone就能满足我的需求，所以firewalld给我们提供一个缺省的zone，没有指定zone的操作，都相当于操作缺省的zone。

列出指定zone的规则

## 列出home zone的规则
[root@server ~]# firewall-cmd --list-all --zone=home 
hometarget: defaulticmp-block-inversion: nointerfaces: sources: services: cockpit dhcpv6-client mdns samba-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules:

查看缺省的zone

[root@server ~]# firewall-cmd --get-default-zone 
public

可以看到缺省的zone的名字为public

  • 将缺省的zone更改为其他zone

## 将缺省的zone更改为home zone
[root@server ~]# firewall-cmd --set-default-zone=home 
success
[root@server ~]# firewall-cmd --get-default-zone 
home

可以看到现在缺省的zone变成了home zone

## 将默认的zone改回来
[root@server ~]# firewall-cmd --set-default-zone=public 
success
[root@server ~]# firewall-cmd --get-default-zone 
public

网卡(interface)

默认Linux的所有网卡都在默认的zone里面

注意：像我们讲的这种防火墙，无论iptables还是firewalld，都只能应用于内核管理的网卡，有些网卡如果不受内核管理，那防火墙的规则也无法应用，应用管理防火墙的工具（DBDK）

列出当前zone中的网卡

[root@server ~]# firewall-cmd --list-interfaces --zone=public 
ens224 ens160

不加--zone=public，列出的是缺省的zone的网卡

移除一个zone中的网卡

[root@server ~]# firewall-cmd --remove-interface=ens160 
success
[root@server ~]# firewall-cmd --list-interfaces 
ens224

给一个zone添加网卡

[root@server ~]# firewall-cmd --add-interface=ens160 --zone=public 
success
[root@server ~]# firewall-cmd --list-interfaces 
ens160 ens224

规则(rule)

查看指定zone的规则

[root@server ~]# firewall-cmd --list-all --zone=home 
hometarget: defaulticmp-block-inversion: nointerfaces: sources: services: cockpit dhcpv6-client mdns samba-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules: 
[root@server ~]# firewall-cmd --list-all 
public (active)target: defaulticmp-block-inversion: nointerfaces: ens160 ens224sources: services: cockpit dhcpv6-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules:

如果一个zone里面没有网卡，那么这个zone就是非active状态 一个zone里面必须要有网卡，这个zone才有实际意义

三种规则

第一种：service规则

第二种：port规则

第三种：rich rule（富规则）

service规则

查看指定zone的service规则
## 查看home和缺省的zone的service规则
[root@server ~]# firewall-cmd --list-services --zone=home 
cockpit dhcpv6-client mdns samba-client ssh    
[root@server ~]# firewall-cmd --list-services
cockpit dhcpv6-client ssh
添加service规则
## 给home和缺省的zone添加ftp规则
[root@server ~]# firewall-cmd --add-service=ftp
success
[root@server ~]# firewall-cmd --add-service=ftp --zone=home 
success
[root@server ~]# firewall-cmd --list-services --zone=public 
cockpit dhcpv6-client ftp ssh
[root@server ~]# firewall-cmd --list-services --zone=home 
cockpit dhcpv6-client ftp mdns samba-client ssh

可以看到，在两个中有了ftp的规则

现在ftp的流量就可以过来，但不是所有的流量都能进来

删除service规则
## 删除刚才定义的ftp的规则
[root@server ~]# firewall-cmd --remove-service=ftp
success
[root@server ~]# firewall-cmd --remove-service=ftp --zone=home 
success
[root@server ~]# firewall-cmd --list-services --zone=home 
cockpit dhcpv6-client mdns samba-client ssh
[root@server ~]# firewall-cmd --list-services 
cockpit dhcpv6-client ssh
测试

可以搭建一个web服务器进行测试

1、在server搭建http服务

[root@server ~]# yum install -y httpd
[root@server ~]# echo firewalld-test >> /var/www/html/index.html
[root@server ~]# systemctl restart httpd

2、访问

[root@server ~]# curl 192.168.200.128
firewalld-test
[root@client ~]# curl  192.168.200.128
curl: (7) Failed to connect to 192.168.200.128 port 80: No route to host

3、写入规则

[root@server ~]# firewall-cmd --add-service=http
success

4、再次访问

[root@client ~]# curl  192.168.200.128
firewalld-test

把规则写入之后就可以对http进行访问了

service的原理

在/usr/lib/firewalld/services/目录下有许多xml文件，这些文件就定义一些常用service的的端口号

## 查看https.xml
[root@client ~]# cat /usr/lib/firewalld/services/https.xml 
<?xml version="1.0" encoding="utf-8"?>
<service><short>Secure WWW (HTTPS)</short><description>HTTPS is a modified HTTP used to serve Web pages when security is important. Examples are sites that require logins like stores or web mail. This option is not required for viewing pages locally or developing Web pages. You need the httpd package installed for this option to be useful.</description><port protocol="tcp" port="443"/>
</service>

在添加service的规则的时候，实际上就是firewalld将443端口开放，让外面的服务可以通过这个端口号进行访问

这个service规则只是一个名字，至于service到底放行的是什么，就要看这个service代表的端口号是多少，这个service也可以自己来编写

如果你要放行的端口并没有在service规则的xml文件里面定义，那么你就不能用service规则满足你的条件

如果是复杂的流量的话，你需要通过port规则放行流量，也可以自己编写service规则

port规则
添加port规则
[root@server ~]# firewall-cmd --add-port=3333/tcp
success
[root@server ~]# firewall-cmd --add-port=5555/udp
success
查看port规则
[root@server ~]# firewall-cmd --list-ports --zone=public 
3333/tcp 5555/udp
[root@server ~]# firewall-cmd --list-all
public (active)target: defaulticmp-block-inversion: nointerfaces: ens160 ens224sources: services: cockpit dhcpv6-client sshports: 3333/tcp 5555/udpprotocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules:
删除port规则
[root@server ~]# firewall-cmd --remove-port=3333/tcp
success
[root@server ~]# firewall-cmd --remove-port=5555/udp
success
[root@server ~]# firewall-cmd --list-ports --zone=public [root@server ~]# firewall-cmd --list-all
public (active)target: defaulticmp-block-inversion: nointerfaces: ens160 ens224sources: services: cockpit dhcpv6-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules:
rich rule

有点像iptables

添加rich rule
[root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=8080 protocol=tcp reject"
success
使添加的规则永久生效

上面做的规则都是临时的

方式一

如果让上面做的临时规则变成永久的，可以使用一下命令

[root@server ~]# firewall-cmd --runtime-to-permanent 
success

如果使用firewall-cmd --reload命令之后规则还会存在，就是永久的规则

firewall-cmd --reload：表示重新加载防火墙规则

[root@server ~]# firewall-cmd --reload 
success
[root@server ~]# firewall-cmd --list-all
public (active)target: defaulticmp-block-inversion: nointerfaces: ens160 ens224sources: services: cockpit dhcpv6-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules: rule family="ipv4" source address="192.168.200.0/24" port port="8080" protocol="tcp" reject

方式二

使用--permanent，在规则后面添加这一条命令，就可以直接创建永久规则

但是不会立即生效，在list中不会显示，如果要立即生效，就需要使用--reload

[root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept" --permanent 
success
## 进行查看
[root@server ~]# firewall-cmd --list-all
public (active)target: defaulticmp-block-inversion: nointerfaces: ens160 ens224sources: services: cockpit dhcpv6-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules: rule family="ipv4" source address="192.168.200.0/24" port port="8080" protocol="tcp" reject
## 可以看到定义的规则并没有立即生效## 使用--reload
[root@server ~]# firewall-cmd --reload 
success
[root@server ~]# firewall-cmd --list-all
public (active)target: defaulticmp-block-inversion: nointerfaces: ens160 ens224sources: services: cockpit dhcpv6-client sshports: protocols: forward: yesmasquerade: noforward-ports: source-ports: icmp-blocks: rich rules: rule family="ipv4" source address="192.168.200.0/24" port port="8080" protocol="tcp" rejectrule family="ipv4" source address="192.168.200.0/24" port port="443" protocol="tcp" accept

可以看到在使用--permanent之后并没有立即生效，在执行--reload之后，配置就会重新加载

建议

建议先写一遍有--permanent，在写一遍没有--permanent的

[root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept" --permanent 
[root@server ~]# firewall-cmd --add-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept"

一条命令执行两边

删除rich rule
[root@server ~]# firewall-cmd --remove-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept" --permanent 
success
[root@server ~]# firewall-cmd --remove-rich-rule="rule family=ipv4 source address=192.168.200.0/24 port port=443 protocol=tcp accept"

删除和添加一样，永久添加不会立即执行，临时添加重启之后就会消失，所以还是建议使用这种方式进行删除

这篇关于Linux中的防火墙————Firewalld的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/881474。

相关文章

防止Linux rm命令误操作的多场景防护方案与实践

防止Linux rm命令误操作的多场景防护方案与实践

《防止Linuxrm命令误操作的多场景防护方案与实践》在Linux系统中,rm命令是删除文件和目录的高效工具,但一旦误操作,如执行rm-rf/或rm-rf/*,极易导致系统数据灾难,本文针对不同场景... 目录引言理解 rm 命令及误操作风险rm 命令基础常见误操作案例防护方案使用 rm编程 别名及安全删除
阅读更多...
Linux下MySQL数据库定时备份脚本与Crontab配置教学

Linux下MySQL数据库定时备份脚本与Crontab配置教学

《Linux下MySQL数据库定时备份脚本与Crontab配置教学》在生产环境中,数据库是核心资产之一,定期备份数据库可以有效防止意外数据丢失,本文将分享一份MySQL定时备份脚本,并讲解如何通过cr... 目录备份脚本详解脚本功能说明授权与可执行权限使用 Crontab 定时执行编辑 Crontab添加定
阅读更多...
使用docker搭建嵌入式Linux开发环境

使用docker搭建嵌入式Linux开发环境

《使用docker搭建嵌入式Linux开发环境》本文主要介绍了使用docker搭建嵌入式Linux开发环境,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面... 目录1、前言2、安装docker3、编写容器管理脚本4、创建容器1、前言在日常开发全志、rk等不同
阅读更多...
linux系统上安装JDK8全过程

linux系统上安装JDK8全过程

《linux系统上安装JDK8全过程》文章介绍安装JDK的必要性及Linux下JDK8的安装步骤,包括卸载旧版本、下载解压、配置环境变量等,强调开发需JDK,运行可选JRE,现JDK已集成JRE... 目录为什么要安装jdk？1.查看linux系统是否有自带的jdk：2.下载jdk压缩包2.解压3.配置环境
阅读更多...
Linux搭建ftp服务器的步骤

Linux搭建ftp服务器的步骤

《Linux搭建ftp服务器的步骤》本文给大家分享Linux搭建ftp服务器的步骤,本文通过图文并茂的形式给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录ftp搭建1：下载vsftpd工具2：下载客户端工具3：进入配置文件目录vsftpd.conf配置文件4:
阅读更多...
Linux实现查看某一端口是否开放

Linux实现查看某一端口是否开放

《Linux实现查看某一端口是否开放》文章介绍了三种检查端口6379是否开放的方法：通过lsof查看进程占用,用netstat区分TCP/UDP监听状态,以及用telnet测试远程连接可达性... 目录1、使用lsof 命令来查看端口是否开放2、使用netstat 命令来查看端口是否开放3、使用telnet
阅读更多...
Linux系统管理与进程任务管理方式

Linux系统管理与进程任务管理方式

《Linux系统管理与进程任务管理方式》本文系统讲解Linux管理核心技能,涵盖引导流程、服务控制（Systemd与GRUB2）、进程管理（前台/后台运行、工具使用）、计划任务（at/cron）及常用... 目录引言一、linux系统引导过程与服务控制1.1 系统引导的五个关键阶段1.2 GRUB2的进化优
阅读更多...
Linux查询服务器 IP 地址的命令详解

Linux查询服务器 IP 地址的命令详解

《Linux查询服务器IP地址的命令详解》在服务器管理和网络运维中,快速准确地获取服务器的IP地址是一项基本但至关重要的技能,下面我们来看看Linux中查询服务器IP的相关命令使用吧... 目录一、hostname 命令：简单高效的 IP 查询工具命令详解实际应用技巧注意事项二、ip 命令：新一代网络配置全
阅读更多...
linux安装、更新、卸载anaconda实践

linux安装、更新、卸载anaconda实践

《linux安装、更新、卸载anaconda实践》Anaconda是基于conda的科学计算环境,集成1400+包及依赖,安装需下载脚本、接受协议、设置路径、配置环境变量,更新与卸载通过conda命令... 目录随意找一个目录下载安装脚本检查许可证协议，ENTER就可以安装完毕之后激活anaconda安装更
阅读更多...
Linux查询服务器系统版本号的多种方法

Linux查询服务器系统版本号的多种方法

《Linux查询服务器系统版本号的多种方法》在Linux系统管理和维护工作中,了解当前操作系统的版本信息是最基础也是最重要的操作之一,系统版本不仅关系到软件兼容性、安全更新策略,还直接影响到故障排查和... 目录一、引言：系统版本查询的重要性二、基础命令解析：cat /etc/Centos-release详
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2