linux下防火墙的管理工具firewall-cmd

关于firewalld

作为内核的管理软件firewall-cmd,通过使用这个软件来间接管理linux内核的开启与关闭等等,而firewall-cmd软件也本身支持firewall-cmd(命令)firewall-config(图形管理工具)两种管理模式来管理kerne lnetfilte。

配置文件:/usr/lib/firewalld/和/etc/firewalld/中的各种XML文件里。

Firewall能将不同的网络连接归类到不同的信任级别,Zone提供了以下几个级别:

drop:丢弃所有进入的包,而不给出任何响应

block:拒绝所有外部发起的连接,允许内部发起的连接

public:允许指定的进入连接

external:同上,对伪装的进入连接,一般用于路由转发

dmz:允许受限制的进入连接

work:允许受信任的计算机被限制的进入连接,类似workgroup

home:同上,类似homegroup

internal:同上,范围针对所有互联网用户

trusted:信任所有连接

1)安装   yum    install   firewall   -y     (一般都会装机时候自带)

firewall-config     ------firewalld  的图形管理工具

runtime : 改了当时生效,但所systemctl  restart   firewall 后就失效了。

permanent   :   y永久性生效,但是写完之后必须systemctl  restart   firewall

所有永久性的更改会保存在 /usr/lib/firewall/zones/ 目录下的对应xml文件中,比如下图就是保存在了/usr/lib/firewall/zones/public.xml文件中。

2)命令firewall-cmd 添加各种功能

firewall-cmd --state        ------------查看火墙状态

firewall-cmd --get-default-zone        ----------查看默认域

firewall-cmd --get-active-zones         ---------------查看当前生效域的状态

firewall-cmd -get-zones        -------------查看存在的所有域

firewall-cmd --zone=public --list-all                          ------------------查看public域的所有信息

firewall-cmd --list-all-zones             --------------查看所有域的所有信息

firewall-cmd  --set-default-zone=home                 ---------------将默认域设置为home

3)高级命令设置

1、firewall-cmd -zone=public  --add-source=172.25.254.50/24           ---------将172.25.254.50的主机添加到本机public块中,使得它可以访问本地资源

firewall-cmd  --zone=public  --remove-source=172.25.254.50/24                  --------------移除172.25.254.50 主机。

firewall-cmd  --remove-intenface=eth0         ------------删除接口eth0

firewall-cmd  --add-interface=eth0                -----------添加接口eth0.

firewall-cmd  --permanent  --remove-port=80/tcp              ----------------删除端口80

firewall-cmd --reload  和  firewall-cmd --complete-reload的区别:

firewall-cmd --reload在执行之后并不会将正在运行的服务打断,而firewall-cmd --complete-reload 将会把正在运行的服务打断,比如先将172.25.254.50 通过ssh连接主机172.25.254.220,然后在将50主机加入到block域中,最后执行firewall-cmd --complete-reload  命令时候50主机将会连输入字符的机会都没有了。所以说通过firewall-cmd --complete-reload  可以随时禁止哪台主机。

3)、DirectRules

通过 firewall-cmd工具,可以使用--direct选项在运行时间里增加或者移除链。如果不熟悉iptables,使用直接接口非常危险,因为您可能无意间导致防火墙被入侵。直接端口模式适用于服务或者程序,以便在运行时间内增加特定的防火墙规则。直接端口模式添加的规则优先应用。

参数:filter(本地数据限制):(-s源地址,-d目的地址,-p协议,--dport端口,-j行为/REJECT拒绝/ACCEPT同意/DROP丢弃)

firewall-cmd--direct --add-rule ipv4 filter IN_public_allow 0 -p tcp --dport 80-jACCEPT ---添加规则

firewall-cmd--direct --get-all-rules ---列出规则

firewall-cmd --direct  -add -rule ipv4 filter INPUT  1 -s  172.25.254.50  -p  tcp   -dport  22 -j  REJECT   ----------拒绝50主机的22端口访问。

4)RichRules

通过该方法,可以用比直接接口方式更易理解的方法建立复杂防火墙规则。此外,还能永久保留保留设置,这种语法使用关键词值。

主要参数:source源地址,destination目的地址,service服务名称,port端口,protocol协议名

地址伪装示例:

连接220主机,但是220主机成功将连接请求转到了50主机。

本文转自技术小白JDY51CTO博客,原文链接:http://blog.51cto.com/13355576/2047352 ,如需转载请自行联系原作者

上一篇:防火墙规则配置iptables
下一篇:PIX防火墙配置端口映射。