firewalld介绍

Posted 2021-12-17 diantong

(1).什么是firewalld？

　　firewalld是提供了支持网络/防火墙区域（zone）定义网络链接以及接口安全等级的动态防火墙管理工具。

(2).firewalld与iptables之间的关系

　　firewalld 提供了一个daemon 和service，还有命令行和图形界面配置工具，它仅仅是替代了 iptables service 部分，其底层还是使用 iptables作为防火墙规则管理入口。firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样罢了。

(3).什么是区域(zone)？

　　在firewalld中将过滤规则集合称之为zone。一个zone就是一套过滤规则，数据包必须要经过某个zone才能入站或出站。firewalld将网卡对应到不同的区域（zone），zone 默认共有9个，分别为block、dmz、drop external、home、internal、public、trusted、work。不同的区域之间的差异是其对待数据包的默认行为不同，根据区域名字我们可以很直观的知道该区域的特征，在CentOS7系统中，默认区域被设置为public。

(4).区域（zone）说明

　　drop（丢弃）：任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。

　　block（限制）：任何接收的网络连接都被 IPv4 的 icmp-host-prohibited 信息和 IPv6 的 icmp6-adm-prohibited 信息所拒绝。

　　public（公共）：在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成危害，只能接收经过选取的连接。

　　external（外部）：特别是为路由器启用了伪装功能的外部网。您不能信任来自网络的其他计算机，不能相信它们不会对您的计算机造成危害，只能接收经过选择的连接。

　　dmz（非军事区）：用于您的非军事区内的电脑，此区域内可公开访问，可以有限地进入您的内部网络，仅仅接收经过选择的连接。

　　work（工作）：用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅接收经过选择的连接。

　　home（家庭）：用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅接收经过选择的连接。

　　internal（内部）：用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算机。仅接受经过选择的连接。

　　trusted（信任）：可接受所有的网络连接。

　　指定以上9个区域中的一个区域为默认区域。当接口连接加入了 NetworkManager，它们就被分配为默认区域。安装时，firewalld 里的默认区域为public。

(5).预设服务配置文件

　　在/usr/lib/firewalld/services/目录下存放了许多.xml结尾的配置文件，每个文件对应一个服务，例如ssh.xml。这些配置文件中存放了服务的短描述、长描述、端口号及端口协议。

[[email protected] ~]# cat /usr/lib/firewalld/services/ssh.xml 
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

　　当默认提供的服务不够用或者需要自定义某项服务的端口时，我们需要将 service 配置文件放置在 /etc/firewalld/services/ 目录中。

　　/etc/firewalld/              存放修改过的配置（优先查找，找不到再找默认的配置）

　　/usr/lib/firewalld/         默认的配置

　　例如：将ssh服务的端口改为23591，就需要将/usr/libfirewalld/ssh.xml文件拷贝到/etc/firewalld/services/目录下，再就该文件内的端口号。

　　service配置文件可以更加高效的管理端口，每一个service配置文件都对应了一个网络应用（可内网可外网）。

(6).firewalld的两种重启

　　firewall-cmd --reload　　无需断开连接

　　firewall-cmd --complete-reload　　需要断开连接，类似重启服务