Linux防火墻與iptables

Firewalld簡介

• 支持網絡區域所定義的網絡連接以及接口安全等級的動態防火墻管理工具
• 支持IPv4、IPv6防火墻設置以及以太網橋
• 支持服務或應用程序直接添加防火墻規則接口
• 擁有兩種配置模式
  （1）運行時配置
  （2）永久配置
  
  netfilter
• 位于Linux內核中的包過濾功能體系
• 稱為Linux防火墻的“內核態”
  Friewalld/iptables
• Centos7默認的管理防火墻規則的工具（Firewalld）
• 稱為Linux防火墻的“用戶態”

Friewalld和iptables的區別

iptables
四表五鏈！！！（重要）
鏈就是位置：共有五個，進路由（PRUROUTING）、進系統（INPUT）、轉發（FORWORD）、出系統（OUTPUT）、出路由（POSTROUTING）；表就是存儲的規則；數據包到了該鏈處，會去對應表中查詢設置的規則，然后決定是否放行、丟棄、轉發還是修改等等操作。
表當中包含多個鏈，鏈當中包含多個規則！
具體的四表：

• filter表：過濾數據包
• Nat表：用于網絡地址轉換（IP、端口）
• Mangle表：修改數據包的服務類型、TTL、并且可以配置路由實現QOS
• Raw表：決定數據包是否被狀態跟蹤機制處理
  具體的五鏈：
• INPUT鏈：進來的數據包應用此規則鏈中的策略
• OUTPUT鏈：外出的數據包應用此規則鏈中的策略
• FORWARD鏈：轉發數據包時應用此規則鏈中的策略
• PREROUTING鏈：對數據包作路由選擇前應用此鏈中的規則（所有的數據包進來的時候先有這個鏈處理）
• POSTROUTING鏈：對數據包作路由選擇前應用此鏈中的規則（所有的數據包出來的時候先有這個鏈處理）

  iptables 【-t 表名】選項 【鏈名】【條件】【-j 控制類型】

• -p 設置默認策略：iptables
• -P：INPUT (DROP|ACCEPT)
• -F：清空規則鏈
• -L：查看規則鏈
• -A：在規則鏈的末尾加入新規則
• -I：num 在規則鏈的頭部加入新規則
• -D：刪除某一條規則
• -s：匹配來源地址IP/MASK，加“ ！”表示除了這個ip外
• -d：匹配目標地址
• -i：網卡名稱 匹配從這塊網卡流入的數據
• -o：網卡名稱 匹配從這塊網卡流出的數據
• -p：匹配協議如tcp、udp、icmp
• --dport num 匹配目標端口號
• --sport num 匹配來源端口號
  
  默認的所有端口存放在public區域中。
  訪問權限由高到低。高權限訪問低權限。

運行時配置

• 實時生效，并持續至firewalld重新啟動或重新加載配置
• 不中斷先有連接
• 不能修改服務配置
  永久配置
• 不立即生效，除非Firewalld重新啟動或重新加載配置
• 中斷現有連接
• 可以修改服務配置
  
  圖形化界面操作不做過多介紹，字符界面操作：

  [root@localhost~]#systemctl 選項 firewalld
  選項：start stop restart status

  防火墻管理操作

• firewall-cmd命令
• 支持全部防火墻特性
• 對于狀態和查詢模式，命令只返回狀態，沒有其他輸出
• --permanent參數：攜帶該參數表示永久配置，否則表示運行時配置
• [--zone=<zone>]選項：不攜帶此選項表示針對默認區域操作，否則針對指定區域操作
  查詢Firewalld狀態

  systemctl status firewalld

  

  firewall-cmd-reload
  重新加載firewalld的配置

  顯示網絡連接或接口的默認區域

  firewall-cmd --get-default-zone

  
  設置網絡連接或接口的默認區域為internal

  firewall-cmd --set-default-zone=internal

  
  顯示已激活的所有區域

  firewall-cmd --get-active-zones 

  
  顯示ens33接口綁定的區域

  firewall-cmd --get-zone-of-interface=ens33

  
  為ens33接口綁定work區域

  firewall-cmd --zone=work --add-interface=ens33

  
  為work區域更改啊綁定的網絡接口ens33

  firewall-cmd --zone=work --change-interface=ens33

  為work區域刪除綁定的網絡接口ens33

  firewall-cmd --zone=work --remove-interface=ens33

  顯示左右區域及規則

  firewall-cmd --list-all-zones

  顯示internal區域的所有規則

  firewall-cmd ---zones=internal --list-all

  現在默認區域的所有規則

  firewall-cmd --list-all