防火墙

Posted 2022-05-22 XIKE-S

开启虚拟机

将防火墙打开
systemctl enable firewalld
systemctl start firewalld
点击 应用程序、点击杂项、点击防火墙
成功跳出此选项
开启http和ssh
查看当前区域
firewall-cmd --get-default-zone
把http服务勾选
把ssh服务勾选
测试
（外面远程连接终端软件不可以进行连接）

---

firewalld 将网卡对应到不同的区域（zone），zone 默认共有9个，
block dmz drop external home internal public trusted work.
drop（丢弃）
任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。
block（限制）
任何接收的网络连接都被 IPv4 的 icmp-host-prohibited 信息和 IPv6 的 icmp6-adm-prohibited 信息所拒绝。
public（公共）
在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成危害，只能接收经过选取的连接。
external（外部）
特别是为路由器启用了伪装功能的外部网。您不能信任来自网络的其他计算，不能相信它们不会对您的计算机造成危害，只能接收经过选择的连接。
dmz（非军事区）
用于您的非军事区内的电脑，此区域内可公开访问，可以有限地进入您的内部网络，仅仅接收经过选择的连接。
work（工作）
用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接。
home（家庭）
用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接。
internal（内部）
用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算机。仅仅接受经过选择的连接。
trusted（信任）
可接受所有的网络连接。
指定其中一个区域为默认区域是可行的。当接口连接加入了 NetworkManager，它们就被分配为默认区域。
不同的区域之间的差异是其对待数据包的默认行为不同，在CentOS7系统中，默认区域被设置为public.
ls /usr/lib/firewalld/services/ //可以使用容易理解的名称表示的所有服务
firewall-cmd --get-services //查看支持的所有服务名称
firewall-cmd --get-zones //查看所有区域
firewall-cmd --get-default-zone //查看当前默认区域
firewall-cmd --get-zone-of-interface=ens33 //查看指定网卡所处的区域
firewall-cmd --zone=public --query-service=ssh //查看指定区域中有没有相关的服务开放
firewall-cmd --zone=public --query-service=http
firewall-cmd --list-services //查看当前区域允许的服务
firewall-cmd --reload //重新加载配置文件
--------设置服务或端口放行--------
firewall-cmd --add-service=http
firewall-cmd --permanent --zone=public --add-service=http
firewall-cmd --reload
firewall-cmd --permanent --zone=public --add-port=80/tcp
firewall-cmd --reload
firewall-cmd --zone=home --remove-service=http
-------为网卡设置区域------
firewall-cmd --permanent --zone=external --change-interface=ens33
firewall-cmd --reload
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="172.27.10.0/22" service name="ssh" reject" //拒绝172.27.10.0/22网络用户访问ssh
-------设置默认区域------
firewall-cmd --set-default-zone=work
-----查看活动区域及端口-----
firewall-cmd --get-active-zones
firewall-cmd --zone=work --add-interface=ens37 //将接口加入到相关区域
firewall-cmd --zone=public --remove-interface=ens37 //将接口移出相关的区域回到默认区域