相信技术的力量

Linux-Centos7防火墙配置

关于防火墙管理工具,RHEL7之前使用iptables,7之后使用firewalld(Dynamic Firewall Manager of Linux systems,Linux系统的动态防火墙管理器),二者都不是真正的防火墙,都只是用来定义防火墙策略的防火墙管理工具,真正的防火墙需要通过内核层面来实现。

目前对于防火墙只是处于入门阶段,随着理解的深入再逐渐完善本文,目前仅做工作记录。

Firewalld

RHEL7默认的防火墙管理工具,新特性:

  • 动态更新技术
  • 加入区域(zone)管理

区域名称及策略规则

区域      默认规则策略
trusted     允许所有的数据包
home        拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关,则允许流量
internal    等同于home区域
work        拒绝流入的流量,除非与流出的流量数相关;而如果流量与ssh、ipp-client与dhcpv6-client服务相关,则允许流量
public      拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、dhcpv6-client服务相关,则允许流量
external    拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
dmz     拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
block   拒绝流入的流量,除非与流出的流量相关
drop    拒绝流入的流量,除非与流出的流量相关

firewalld-cmd命令

firewalld-cmd命令中使用的参数以及作用

参数      作用
--get-default-zone  查询默认的区域名称
--set-default-zone=<区域名称>   设置默认的区域,使其永久生效
--get-zones 显示可用的区域
--get-services  显示预先定义的服务
--get-active-zones  显示当前正在使用的区域与网卡名称
--remove-source=    将源自此IP或子网的流量导向指定的区域
--remove-source=    不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称>  将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称>   将某个网卡与区域进行关联
--list-all  显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones    显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service=<服务名> 设置默认区域允许该服务的流量
--add-port=<端口号/协议> 设置默认区域允许该端口的流量
--remove-service=<服务名>  设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议>  设置默认区域不再允许该端口的流量
--reload    让“永久生效”的配置规则立即生效,并覆盖当前的配置规则
--panic-on  开启应急状况模式
--panic-off 关闭应急状况模式

常用命令:

systemctl status firewalld.service      查看firewalld状态
systemctl start firewalld.service       开启firewalld
systemctl stop firewalld.service        关闭firewalld
firewall-cmd --zone=public --add-port=80/tcp --permanent    永久添加指定端口
firewall-cmd --zone=public --remove-port=8080/tcp --permanent   永久移除指定端口
firewall-cmd --query-port=3306/tcp      查看端口是否被开放,返回yes/no
firewall-cmd --list-all     查看所有开放的端口
systemctl enable firewalld.service      开启自启
systemctl disable firewalld.service     禁止开机自启
systemctl is-enabled firewalld.service      查看是否开机自启
firewall-cmd --reload       更新防火墙规则(立即生效,永久添加时需要reload)

另外,查看已经开放的端口,也可以直接到/etc/firewalld/zones/目录下去查看指定文件,例如查看对外公开的防火墙端口:

vim /etc/firewalld/zones/public.xml

Iptables

早期Linux系统的默认防火墙管理工具。

策略与规则链

按照从上至下的顺序来读取配置进行匹配,找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为(放行或阻止)如果在读取完所有的策略规则之后没有匹配项,就去执行默认的策略。规则:放行 与 阻止。

iptables服务把用于处理或过滤流量的策略条目称之为规则,多条规则可以组成一个规则链,而规则链则依据数据包处理位置的不同进行分类,具体如下:

在进行路由选择前处理数据包(PREROUTING)
处理流入的数据包(INPUT)
处理流出的数据包(OUTPUT)
处理转发的数据包(FORWARD)
在进行路由选择后处理数据包(POSTROUTING)

使用最多的是INPUT规则链,即默认阻止,自定义放行规则。

处理方式:

ACCEPT(允许流量通过)
REJECT(拒绝流量通过,拒绝并回复)
LOG(记录日志信息)
DROP(拒绝流量通过,默默拒绝不回复)

基本命令参数

参数  作用
-P  设置默认策略
-F  清空规则链
-L  查看规则链
-A  在规则链的末尾加入新规则
-I num  在规则链的头部加入新规则
-D num  删除某一条规则
-s  匹配来源地址IP/MASK,加叹号“!”表示除这个IP外
-d  匹配目标地址
-i 网卡名称 匹配从这块网卡流入的数据
-o 网卡名称 匹配从这块网卡流出的数据
-p  匹配协议,如TCP、UDP、ICMP
--dport num 匹配目标端口号
--sport num 匹配来源端口号

配置示例

命令配置

iptables -L     查看已有的防火墙规则链
iptables -F     清空已有的防火墙规则链
iptables -P INPUT DROP      设置默认的规则链
iptables -I INPUT -p icmp -j ACCEPT     添加允许ICMP流量进入的策略规则
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT    只允许指定网段的主机访问本机22端口
iptables -A INPUT -p tcp --dport 22 -j REJECT 拒绝其他所有主机流量访问22端口
iptables -I INPUT -p tcp --dport 12345 -j REJECT    拒绝所有人以TCP协议访问本机12345端口的策略规则
iptables -I INPUT -p udp --dport 12345 -j REJECT    拒绝所有人以UDP协议访问本机12345端口的策略规则
iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT   拒绝192.168.10.5主机访问本机80端口

注意:通过命令行配置的防火墙规则,系统重启后会失效,永久生效需要执行保存命令:

service iptables save

编辑防火墙配置文件

打开防火墙配置文件

vim /etc/sysconfig/iptables

文件内容如下:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

注意:

1.匹配规则是从上至下,因此要把允许策略放在上面,拒绝策略放在下面。

2.必须重启防火墙,新的配置才能生效

service iptables restart

(完)

参考链接:

https://www.linuxprobe.com/chapter-08.html (推荐)

https://www.linuxidc.com/Linux/2017-03/141434.htm

http://blog.csdn.net/xlgen157387/article/details/52672988

http://blog.csdn.net/sunny05296/article/details/66004445 firewall命令

⬆️