firewalld

type

status

date

slug

summary

firewalld是CentOS 7.0新推出的管理netfilter的工具 firewalld是配置和监控防火墙规则的系统守护进程。可以实现iptables,ip6tables,ebtables的功能 firewalld服务由firewalld包提供 firewalld支持划分区域zone,每个zone可以设置独立的防火墙规则归入zone顺序： 1、先根据数据包中源地址，将其纳为某个zone 2、纳为网络接口所属zone 3、纳入默认zone，默认为public zone,管理员可以改为其它zone 网卡默认属于public zone,lo网络接口属于trusted zone

firewalld zone分类

zone名称

默认配置

trusted

允许所有流量

home

拒绝除和传出流量相关的，以及ssh,mdsn,ipp-client,samba-client,dhcpv6-client预定义服务之外其它所有传入流量

internal

和home相同

work

拒绝除和传出流量相关的，以及ssh,ipp-client,dhcpv6-client预定义服务之外的其它所有传入流量

public

拒绝除和传出流量相关的，以及ssh,dhcpv6-client预定义服务之外的其它所有传入流量，新加的网卡默认属于public zone

external

拒绝除和传出流量相关的，以及ssh预定义服务之外的其它所有传入流量，属于external zone的传出ipv4流量的源地址将被伪装为传出网卡的地址。

dmz

拒绝除和传出流量相关的，以及ssh预定义服务之外的其它所有传入流量

block

拒绝除和传出流量相关的所有传入流量

drop

拒绝除和传出流量相关的所有传入流量（甚至不以ICMP错误进行回应）

预定义服务

服务名称

配置

ssh

Local SSH server. Traffic to 22/tcp

dhcpv6-client

Local DHCPv6 client. Traffic to 546/udp on the fe80::/64 IPv6 network

ipp-client

Local IPP printing. Traffic to 631/udp.

samba-client

Local Windows file and print sharing client. Traffic to 137/udp and 138/udp.

mdns

Multicast DNS (mDNS) local-link name resolution. Traffic to 5353/udp to the 224.0.0.251 (IPv4) or ff02::fb (IPv6) multicast addresses.

firewalld配置

firewall-cmd –get-services 查看预定义服务列表/usr/lib/firewalld/services/*.xml 预定义服务的配置 三种配置方法 1、firewall-config （firewall-config包）图形工具 2、firewall-cmd （firewalld包）命令行工具 3、/etc/firewalld 配置文件，一般不建议

firewall-cmd 命令选项

命令示例

配置firewalld

其他规则

当基本firewalld语法规则不能满足要求时，可以使用以下更复杂的规则 rich-rules 富规则，功能强,表达性语言 Direct configuration rules 直接规则，灵活性差帮助：man 5 firewalld.direct

管理rich规则

rich规则比基本的firewalld语法实现更强的功能，不仅实现允许/拒绝，还可以实现日志syslog和auditd，也可以实现端口转发，伪装和限制速率 rich语法：

查看帮助文档 man 5 firewalld.richlanguage

规则

规则实施顺序 \- 该区域的端口转发，伪装规则 \- 该区域的日志规则 \- 该区域的允许规则 \- 该区域的拒绝规则每个匹配的规则生效，所有规则都不匹配，该区域默认规则生效

rich规则选项

选项

描述

--add-rich-rule='<RULE>'

Add <RULE> to the specified zone, or the default zone if no zone is specified.

--remove-rich-rule='<RULE>'

Remove <RULE> to the specified zone, or the default zone if no zone is specified.

--query-rich-rule='<RULE>'

Query if <RULE> has been added to the specified zone, or the default zone if no zone is specified. Returns 0 if the rule is present, otherwise 1.

--list-rich-rules

Outputs all rich rules for the specified zone, or the default zone if no zone is specified.

示例

rich日志规则

实例

规则示例

伪装和端口转发 NAT网络地址转换，firewalld支持伪装和端口转发两种NAT方式伪装NAT

端口转发端口转发：将发往本机的特定端口的流量转发到本机或不同机器的另一个端口。通常要配合地址伪装才能实现

rich规则

示例

小结

firewalld iptables 都是工具，管理netfilter的工具不同区域，对应不同的防火的规则

firewalld比iptables简单，和英文句子差不多，iptables相对而言专业点，早期使用的就是iptables，fireawlld是cenots7才有的两个服务只能启一个避免冲突

转载请注明来源，欢迎对文章中的引用来源进行考证，欢迎指出任何有错误或不够清晰的表达。可以在下面评论区评论，也可以邮件至 438803792@qq.com