您好,登錄后才能下訂單哦!
內(nèi)容要點(diǎn):
firewalld概述
firewalld和iptables的關(guān)系
firewalld網(wǎng)絡(luò)區(qū)域
firewalld防火墻的配置方法
firewalld-config圖形工具
一、firewalld概述
firewalld簡介:
支持網(wǎng)絡(luò)區(qū)域所定義的網(wǎng)絡(luò)鏈接以及接口安全等級的動態(tài)防火墻管理工具
支持IPv4、IPv6防火墻設(shè)置以及以太網(wǎng)橋
支持服務(wù)或應(yīng)用程序直接添加防火墻規(guī)則接口
擁有兩種配置模式
運(yùn)行時配置(重啟后則設(shè)置不再生效)
永久配置(聲明于配置文件中)
二、Firewalld和iptables的關(guān)系
?netfilter
位于Linux內(nèi)核中的包過濾功能體系
稱為Linux防火墻的“內(nèi)核態(tài)”
Firewalld/iptables
CentOS7默認(rèn)的管理防火墻規(guī)則的工具(Firewalld)
稱為Linux防火墻的“用戶態(tài)”
三、網(wǎng)絡(luò)區(qū)域
區(qū)域介紹(默認(rèn)區(qū)域為public)
區(qū)域如同進(jìn)入主機(jī)的安全門,每個區(qū)域都具有不同限制程度的規(guī)則
可以使用一個或多個區(qū)域,但是任何一一個活躍區(qū)域至少需要關(guān)聯(lián)源地址或接口
默認(rèn)情況下,public區(qū) 域是默認(rèn)區(qū)域,包含所有接口(網(wǎng)卡)
firewalld數(shù)據(jù)處理流程
檢查數(shù)據(jù)來源的源地址
若源地址關(guān)聯(lián)到特定的區(qū)域,則執(zhí)行該區(qū)域所指定的規(guī)則
若源地址未關(guān)聯(lián)到特定的區(qū)域,則使用傳入網(wǎng)絡(luò)接口的區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則
若網(wǎng)絡(luò)接口未關(guān)聯(lián)到特定的區(qū)域,則使用默認(rèn)區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則
四、firewalld防火墻的配置方法
運(yùn)行時配置
實時生效,并持續(xù)至Firewalld重新啟動或重新加載配置
不中斷現(xiàn)有連接
不能修改服務(wù)配置
永久配置
不立即生效,除非Firewalld重新啟動或重新加載配置
中斷現(xiàn)有連接
可以修改服務(wù)配置
firewall-config圖形工具
運(yùn)行時配置/永久配置
重新加載防火墻
更改永久配置并生效?
關(guān)聯(lián)網(wǎng)卡到指定區(qū)域
修改默認(rèn)區(qū)域
連接狀態(tài)
firewall-cmd命令行工具
1、啟動、停止、查看firewalld服務(wù)
在安裝Cent0S7 系統(tǒng)時,會自動安裝firewalld 和圖形化工具firewall-config。 執(zhí)行以下命令可以啟動firewalld 并設(shè)置為開機(jī)自啟動狀態(tài)。
[root@localhost?~]#?systemctl?start?firewalld?//啟動firemal1d [root@localhost?~]#?systemctl?enable?firewalld?//設(shè)置firewalld為開機(jī)自啟動 如果firewalld正在運(yùn)行,通過systemctl?status?firewalld?或firewall-cmd?命令可以查看其運(yùn)行狀態(tài)。 [root@localhost?~]#?systemctl?status?firewalld [root@1ocalhost?~]#?systemct1?stop?firewalld?//停止firewal1d [root@localhost?~]#?systemct1?disable?firewalld?//設(shè)置firewalld開機(jī)不自啟動
2、獲取預(yù)定義信息
firewall-cmd預(yù)定義信息主要包括三種:可用的區(qū)域、可用的服務(wù)以及可用的ICMP阻塞類型,具體的查看命令如下所示。
[root@localhost?~]#?firewall-cmd?--get-zones?//顯示預(yù)定義的區(qū)域 work?drop?internal?external?trusted?home?dmz?public?block [root@localhost?~]#?firewall-cmd?-?get?service?//顯示預(yù)定義的服務(wù) RH-?Sate1ite-6?amanda-client?amanda?-k5-client?bacul?abacula-client?cephcephmondhcp?dhcpv6?dhcpv6-client?dnsdocker-?registrx?dropbox-lansyncfreeipa-1dap ....... [root@localhost?~]#?firewall-cmd?--get-icmptypes?//顯示預(yù)定義的ICMP?類型 destinatian-unreachable?echo-reply?echo-request?parameter-problem?redirect?router-advertisement?router-solici?tati?on?source-?quench?time-exceeded?timest?amp-?reply?timestamp-request
firewall-cmd --get-icmptypes命令的執(zhí)行結(jié)果中各種阻塞類型的含義分別如下所示。
destination-unreachable:目的地址不可達(dá)。 echo-reply:?應(yīng)答回應(yīng)(pong)?。 parameter-problem:參數(shù)問題。 redirect:?重新定向。 router-?advertisement:路由器通告。 router-?solicitation:路由器征尋。 source-quench:源端抑制。 time-exceeded::超時。 timestamp-reply::時間戳應(yīng)答回應(yīng)。 timestamp-request:時間戳請求。
3、區(qū)域管理
4、firewalld端口操作命令
5、firewalld阻塞ICMP操作命令
6、兩種配置模式
--reload:?重新加載防火墻規(guī)則并保持狀態(tài)信息,即將永久配置應(yīng)用為運(yùn)行時配置。 --permanent::帶有此選項的命令用于設(shè)置永久性規(guī)則,這些規(guī)則只有在重新啟動firewalld或重新加載防火墻規(guī)則時才會生效;若不帶有此選項,表示用于設(shè)置運(yùn)行時規(guī)則。 --runtime-to-permanent:將當(dāng)前的運(yùn)行時配置寫入規(guī)則配置文件中,使之成為永久性
/etc/firewalld/中的配置文件
Firewalld會優(yōu)先使用/etc/firewalld/中的配置,如果不存在配置文件。
/etc/firewalld/ :用戶自定義配置文件,需要時可通過從usr/lib/firewalld/中拷貝
/usr/lib/firewalld/:默認(rèn)配置文件,不建議修改,若恢復(fù)至默認(rèn)配置,可直接刪除/etcfirewalld/中的配置
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場,如果涉及侵權(quán)請聯(lián)系站長郵箱:is@yisu.com進(jìn)行舉報,并提供相關(guān)證據(jù),一經(jīng)查實,將立刻刪除涉嫌侵權(quán)內(nèi)容。