firewall防火墙acl规则，以及介绍

admin

现在对安全的要求更严格了,对内网环境的特定服务器,现在只允许指定IP或IP段进行访问,其他一律屏蔽,配置步骤如下:
检查防火墙是否启动：
systemctl status firewalld.service
启动防火墙：
systemctl start  firewalld.service
2 M; ^4 X" |' y$ @* P5 @) _0 \
6 a* i1 M/ B  e
7 X5 J8 c' q  h' u4 M开机启动防火墙：
systemctl enable firewalld.service
. k) x2 F* S9 D1 m! C6 ?. y

( k) k# ]; T" ]; j修改防火墙acl规则：
通过编辑文件：
* c1 X) n* K& y0 S5 U" H9 D/ {vim /etc/firewalld/zones/public.xml

) E6 C! X) S- a) y& d. \- W  h* j<?xml version="1.0" encoding="utf-8"?>
& s: \4 \1 j( r0 _' i3 {<zone>
* S: V9 c; C, p* S+ |  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
, ~0 W7 r, k5 g8 V  <service name="ssh"/>
+ {5 d# W9 u9 P* l# h3 I- R  <service name="dhcpv6-client"/>
$ ~. z& G) Y- x  O3 _/ c</zone>
~                  

* H4 |1 Z: F, J8 \! P: v默认的防火墙规则

6 n3 |# v7 q# V7 b8 `& R& Z0 D7 }第二种通过命令：
" d9 A: v, n1 S7 ?3 X* h! |
手动开放指定端口
9 a) Y( q9 A/ ?2 d5 O
" j/ [! s, D& y( }; U7 t5 L4 g

firewall-cmd --permanent --add-port=3306/tcp

( q& p( _' G: M, h; s$ o4 _2 M1 y改完配置文件后重载一下防火墙服务
4 d$ t) K1 k2 {0 P* B4 T/ |" rfirewall-cmd --reload
+ a# y# ^5 ?0 _0 B8 u

  S8 Q* f9 b8 {* N基本应用

firewall-cmd --state
获取firewalld状态
.
firewall-cmd --reload
2 Y; {  x! Y7 C$ i3 [# d  N4 e在不改变状态的条件下重载防火墙
: T: y1 D* I- o8 A. U.
firewall-cmd --complete-reload
完全重启，状态信息将会丢失
# k: p' S6 @; Y: C.
firewall-cmd --get-zones
2 ?2 \; Q, w! _( b) V3 {1 i获取支持的区域
.
) Z* ?: [! h- Ofirewall-cmd --get-services
: ~8 a" f1 m' s. a获取所有支持的服务，支持的服务存放在/usr/lib/firewalld/services目录下。
, V0 Y# \4 B6 c- d服务是firewalld所使用的有关端口和选项的规则集合。
被启动的服务会在firewalld服务开启或运行是自动加载。
我们还可以创建自己的服务，即添加端口和服务的对应关系，将在下面讲解。
.
firewall-cmd --get-icmptypes
获取所有支持的ICMP类型
.
firewall-cmd --list-all-zones
: E2 z  U& {) v, |列出全部启用的区域的特性（即查询当前防火墙策略），特性是定义的防火墙策略。
, K  b# Q1 x8 d' W8 a( V策略如：服务、端口和协议的组合、端口/数据报转发、伪装、ICMP拦截或自定义规则等。
该命令会列出所有区域的所有特性，包括详细规则（rich-rules）。
0 W, W1 m  W! [1 Y) P( y.
3 ^+ I3 ~2 x( D  M( Cfirewall-cmd [--zone=区域] --list-all
+ `2 W8 }2 l" h7 a. x输出指定区域启用的全部特性，如果区域被省略，将显示默认区域的信息。
.
firewall-cmd --get-default-zone
/ |! R+ p! V# ?( M8 p9 |查默认区域，默认的默认区域为public
( T" p  M* K6 V5 _" ^9 E.
firewall-cmd --set-default-zone=区域
+ B+ s5 ^" g4 w* a, L) P/ Z, r设置默认区域，也可通过/etc/firewalld/firewalld.conf中的DefaultZone配置项定义默认区域。
, R& G8 b! W- S2 M! H) V5 D流入默认区域中配置的接口的新访问请求将被置入新的默认区域。当前活动的连接将不受影响。
/ D% z5 ]+ q3 F' l: z0 H2 H.
firewall-cmd --get-active-zones
/ E/ D& S! L- t8 v获取活动的区域，同时会输出活动区域所包含的接口。
.
firewall-cmd --get-zone-of-interface=网卡名
7 v+ f1 g& N2 L5 L$ B查指定接口属于哪个区域
.
& H' i4 b* q' j! o, sfirewall-cmd [--zone=区域] --add-interface=接口名
' k& A0 g. z; ~# L将指定接口增加到指定区域，如果区域被省略了，将会被添加到默认区域。
( m8 l& p' l" n% [: I一个接口同时只能属于一个区域，接口会在防火墙重新加载后重新应用。
! e; O2 W/ R: _9 f. [7 M+ [.
firewall-cmd [--zone=区域] --change-interface=接口名
! [7 M, U9 U3 [2 G修改接口所属区域，这个选项与--add-interface选项相似。
但不同的是，当接口已经存在于另一个区域的时候，该接口将被重置到新的区域。
.
firewall-cmd [--zone=区域] --remove-interface=接口名
: A' C$ H" D* @; L: R. u, {; J从指定区域中删除指定接口，删除后，这个接口的所有数据包将使用默认区域的规则。
.
firewall-cmd [--zone=区域] --query-interface=接口名
查指定区域中是否包含指定接口，如果区域被省略了，将被指定为默认区域。
4 b6 |) w& }1 J6 \4 c.
: M9 h5 [8 H8 J; ifirewall-cmd [--zone=区域] --list-services
7 t- J* A4 f5 E; ?4 R- ^列举区域中启用的服务，如果区域被省略了，将使用默认区域。
.
firewall-cmd --query-masquerade 检查是否允许NAT转发
firewall-cmd --zone=public --add-masquerade --permanent 永久开启路由转发
# M) _. {: J9 n- W) Y$ mfirewall-cmd --remove-masquerade 禁止防火墙NAT转发
3 g+ M4 F$ ?2 }- \; v.
firewall-cmd --panic-on 启用应急模式，将阻断所有网络连接，以防出现紧急状况。
firewall-cmd --panic-off 禁用应急模式
firewall-cmd --query-panic 查应急模式状态
.
7 R  }1 ^1 q* ^6 Q# \' z其它相关的配置可在手册页man firewall-cmd中查看。

admin

firewalld默认为我们提供了9个区域，默认就有一些区域是有效的。这些区域按照不信任到信任的顺序排序，如下。
.
% i4 ^4 [6 u8 r5 t起---------------------------------
: x* a9 b; h! B' {* w; h丢弃区域（Drop Zone）
1 k$ G8 J: A; L* p如果使用丢弃区域，任何进入的数据包都将被丢弃。
+ z1 Q, B9 \; e, u这个类似于6.x版本中使用的iptables -j drop。
使用丢弃规则意味着将不存在响应。
.
% r( b. H+ c( V, n阻塞区域（Block Zone）
阻塞区域会拒绝进入的网络连接，并返回icmp-host-prohibited。
只有服务器已经建立的连接会被通过，即只允许由该系统初始化的网络连接。
( P0 G+ x; z: [.
公共区域（Public Zone）
只接受被选中的连接，默认只允许ssh和dhcpv6-client。
0 L7 ~" }' \+ T: z! s' _# j( j这个zone是缺省zone，即被默认使用的Zone。
  V/ r5 \( F$ ?* Z.
; }# L& r. G, A; B7 u外部区域（External Zone）
8 g+ m9 y+ _8 O3 k8 a7 d只有指定的连接会被接受，即ssh，而其它的连接将被丢弃或不被接受。
. O; x6 F# L; x5 e# y$ V这个区域类似于路由器的启用伪装(masquerading)选项。
; x$ U$ e1 {6 T  \* H2 T3 w.
, k+ r0 o- _) b3 m! l2 d隔离区域（DMZ Zone）
该区域只允许被选中的连接通行。
如果只允许部分服务能被外部访问，可以在DMZ区域中定义。
.
0 G! B; F5 N' f4 D% E- U' |工作区域（Work Zone）
在这个区域，我们只能定义内部网络连接。
比如私有网络通信才被允许，只允许ssh， ipp-client和dhcpv6-client。
.
" x, H( k) q' E家庭区域（Home Zone）
这个区域专用于家庭环境。
! J, y( {) p' u5 j它同样只允许被选中的连接，即ssh，ipp-client，mdns，samba-client和dhcpv6-client。
+ c2 P- S7 i' I  q* d2 i.
内部区域（Internal Zone）
这个区域和工作区域类似，只有被选中的连接才可通行，和家庭区域一样。
.
! Y4 U7 H1 @1 O* p. D2 j& O信任区域（Trusted Zone）
信任区域允许所有网络连接通行。
切记：trusted区域是最被信任的区域，使用该区域时，在不做任何配置的情况下允许所有连接通行。
8 I7 t' p. R9 t--------------------------------------始
.
3 [8 A; i) n7 I9 X2 K以上是系统定义的所有的zone，但这些zone并不是都在使用，只有活跃的zone才有实际操作意义。

Firewalld 原则
.
当一个客户端访问服务器时，服务器将根据以下原则决定使用哪个zone的策略去匹配。
.
5 B. Z# H$ G  `" I1
: P8 ]' G' i' I# q如果这个客户端数据包的源IP地址匹配zone的sources(来源)，那么该zone的规则就适用这个客户端。
, X, x* W: P; [2 w7 Y7 C! k注意：一个源只能属于一个zone，不能同时属于多个zone。
# t& o8 G  b9 r7 y8 l: h3 ~.
2
6 y  X2 |; P$ ~) w5 v( _8 j1 k. j& X如果这个客户端数据包进入服务器的某一个接口(如eth0)区配zone的interfaces， 则么该zone的规则就适用这个客户端。
) }2 w1 @+ E; r一个接口只能属于一个zone，不能同时属于多个zone。
.
3
; w+ Q. Z6 t) K  O% N- p4 O如果上述两个原则都不满足，那么缺省的zone将被应用，即使用public区域。

admin

实现过程
5 |# F2 c3 N7 S
下面的命令将配置192.168.1.0/24整个网段的IP允许访问服务器的22端口


3 @# T2 T3 G. t' Z& b! e// 先移除默认开启的没有访问限制的ssh服务
+ p% d! X" M' T" ^2 b: ^# firewall-cmd --permanent --remove-service=ssh
( H5 G4 F  s1 k1 A, E* _% v// 添加复杂规则,只允许指定IP段访问22端口
; J* l$ x% M/ x9 d* K: }# `# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
// 使上面配置生效
" D. b, E0 _4 ~# firewall-cmd --reload
/ Y: D7 R  c1 X! c7 H) s; S1 z// 查看当前配置信息
- }2 L7 l6 N8 G8 w# Q/ W9 E9 g# firewall-cmd --list-all

备注:
source address也可以设置为单个IP地址,例如192.168.1.1
port可以为单个端口或端口范围，例如1-10000
) C, `/ d% C" T% s  @
! v& V# u4 i' Y) R# |) O
1 b& i" m  z' z  n
其他常用命令

3 r9 M: {+ T8 l* p6 L删除之前的复杂规则,这里的内容需要与之前添加时的rule内容完全一致,可以复制粘贴过来
) T. D2 j0 `+ ~$ w$ v. f, \( [  R
9 j* V  s& @) Mfirewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
: j" b" J9 m: E  F
手动开放指定端口

$ R: }9 F, l6 l- s" _6 Y7 tfirewall-cmd --permanent --add-port=3306/tcp
$ T  w; P5 x4 ~% e9 x) \
删除开放的端口
3 S9 p" W9 a& A. v
firewall-cmd --permanent --remove-port=3306/tcp

开放指定服务(系统内置的)

! Q+ @6 }4 B& n6 rfirewall-cmd --permanent --add-service=http

删除服务

/ @1 i/ `5 H. `firewall-cmd --permanent --remove-service=http
+ l$ G: T, o1 H; k1 _9 M- z
添加白名单地址(单IP)
% H3 }6 y7 G+ f1 j, H& v: c
firewall-cmd --permanent --add-source=192.168.1.100
; @+ d: v: ]9 u& K' H
+ a5 Z5 _; l! Y) Y- Q注: 白名单中的IP可以任意访问所有服务器可用的端口 这个白名单的作用不是这样的,有待继续研究
% @% U- z# n/ E* t$ r8 Q

添加白名单地址(指定网络段CIDR格式)
) Q* \9 W% A: |! A5 e9 A) a
firewall-cmd --permanent --add-source=192.168.1.0/24
7 d1 M; g. t5 j; d
删除白名单地址

firewall-cmd --permanent --remove-source=192.168.1.100
$ }, ]/ w1 F& D; D8 X
/ n$ A8 |% L# l屏蔽指定IP地址
2 ?1 C. P5 e, Y+ S# B4 S5 ?
) A1 G2 B) @* l: r. }! Hfirewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"
- N! g5 D& @3 k5 ~
屏蔽IP地址段
: }' M3 Z2 u6 ^" B! J
  @+ [+ w9 b  ffirewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"

手动编辑xml配置文件
3 Y0 F0 T7 {& C8 K6 j/ t
除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)

admin

1.firewalld的基本使用
4 X' V% [/ Y% e- S1 l+ o# h- H
启动：  systemctl start firewalld
/ Y! S5 b6 F; V' o
查状态：systemctl status firewalld
, |& d2 w+ i6 [8 U- b% U6 Q/ v, ^
停止：  systemctl disable firewalld

& n2 J7 |5 Z; i0 T( {4 g5 P) j# l" S6 t禁用：  systemctl stop firewalld
3 c8 K* }: A3 ]' _  H) I& W
$ p' D  O3 \" i在开机时启用一个服务：systemctl enable firewalld.service

在开机时禁用一个服务：systemctl disable firewalld.service

& r! N' }" }$ G0 f6 k查看服务是否开机启动：systemctl is-enabled firewalld.service
  V4 H3 M2 ?( j& u9 O& m8 H
查看已启动的服务列表：systemctl list-unit-files|grep enabled

3 X7 C' q; V9 z5 n# u4 W查看启动失败的服务列表：systemctl --failed

, M6 S4 L6 @/ K% F
6 K5 D6 q. x" G3 G9 {) O
. N: X  O1 `5 z5 P2.配置firewalld-cmd
/ T/ |# O& q$ ~/ k) N
7 f. z5 T, e  ]2 j& ~查看版本： firewall-cmd --version
% S4 L9 h% I1 p0 y# w( {' T8 i
查看帮助： firewall-cmd --help
+ ~2 |: @9 A% E8 d- h
显示状态： firewall-cmd --state
! d9 m4 _! P. [. F& o1 ?- H
! O8 K0 M" B5 Z" J2 K: K- M. Y8 H7 k查看所有打开的端口： firewall-cmd --zone=public --list-ports

更新防火墙规则： firewall-cmd --reload

3 ~0 [- J9 V* h9 X查看区域信息:  firewall-cmd --get-active-zones

查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0
; @/ V6 d  M" T6 j) Q( N; ^
+ z/ [$ ^' M) {1 ]3 F$ N0 b2 O拒绝所有包：firewall-cmd --panic-on

取消拒绝状态： firewall-cmd --panic-off
& h+ p7 V6 O. F! r+ F8 X7 }2 K
! I, Z$ ~- l5 B  m查看是否拒绝： firewall-cmd --query-panic
/ W+ }" ?' I! {

. L+ M/ O+ v/ u- n
' m) t) A4 o% P/ d$ c" z7 p% q3.添加/删除  一条规则



4 g; ]7 |7 |5 N/ n7 t1 K% G添加

firewall-cmd --zone=public(作用域) --add-port=80/tcp(端口和访问类型) --permanent(永久生效)
/ i7 z! n2 o" x, u: K- H
firewall-cmd --zone=public --add-service=http --permanent
1 C: @4 w% }# Y# Z  G  ?3 ]
! b/ g  k: W' r/ z. w8 efirewall-cmd --reload    # 重新载入，更新防火墙规则

# t0 O$ p, e- |1 Bfirewall-cmd --zone= public --query-port=80/tcp  #查看

; m. ]9 M6 i- {' g
0 A& }0 o' l, q4 Z- x
7 e$ _9 e1 k: P' P" a删除

firewall-cmd --zone= public --remove-port=80/tcp --permanent  # 删除
9 }" @: u, T2 x, W8 L3 n0 f* G6 P. F
: N, d, R6 S+ _6 g
+ J8 j/ C$ X+ [1 s! j/ {& B
firewall-cmd --list-services
  Y4 s/ c  Q1 M  m
firewall-cmd --get-services

firewall-cmd --add-service=<service>
+ g+ L" F3 a- q/ K2 ]' ?4 v
/ N: `. B' E6 b) E3 Gfirewall-cmd --delete-service=<service>
+ ]1 G# }0 A0 y
在每次修改端口和服务后/etc/firewalld/zones/public.xml文件就会被修改,所以也可以在文件中之间修改,然后重新加载

1 O2 I, `7 b% G, P- }" _使用命令实际也是在修改文件，需要重新加载（firewall-cmd --reload）才能生效。


; O  H/ O8 ?" i0 C) ^2 I
5 i+ q( d0 |( u' rfirewall-cmd --zone=public --query-port=80/tcp

firewall-cmd --zone=public --query-port=8080/tcp
  H8 x2 R9 \- d: @$ ]& V
5 l$ H/ |5 [" b2 A4 I  gfirewall-cmd --zone=public --query-port=3306/tcp

firewall-cmd --zone=public --add-port=8080/tcp --permanent
; f& S8 u8 t  ~5 y: Y
9 Z  d3 ^/ N, ^9 ^7 G3 vfirewall-cmd --zone=public --add-port=3306/tcp --permanent
7 ?: F6 {5 h5 i7 Q7 ~+ m" _  P
. K7 H# o! h9 G( V3 j1 h& n/ Mfirewall-cmd --zone=public --query-port=3306/tcp
; c7 d1 v, B5 q5 r$ v  `; b
( @$ K/ I) M+ P# Y# gfirewall-cmd --zone=public --query-port=8080/tcp

9 _1 M1 s4 W+ [! X1 ~: Z: |firewall-cmd --reload  # 重新加载后才能生效
2 y6 C8 w$ E0 s; V% L
% S# Q6 N; O3 G/ f- x" T" Sfirewall-cmd --zone=public --query-port=3306/tcp

  ^0 _$ F" \0 e* {9 z2 ^0 _firewall-cmd --zone=public --query-port=8080/tcp

2 O4 {# Z3 K! h7 v

4.参数解释
  q3 Y/ j: {3 l0 e6 Q* l4 W& `& Y
/ y0 N* f. l) ~' u% V0 s) l2 m–add-service #添加的服务
, Z: q- G0 R& w  r; O% W
3 \# O/ ^# r; K–zone #作用域
2 x: n, B* k1 S) m8 b* o
–add-port=80/tcp #添加端口，格式为：端口/通讯协议

; n( S' T: o/ N/ A–permanent #永久生效，没有此参数重启后失效
4 z; |/ d3 s3 {

: w" l1 Y; {8 P7 W% b
5.使用举例


" o8 u$ [- `$ |% r
0 h! |6 d3 w/ q  ]firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept'    //设置某个ip访问某个服务

firewall-cmd --permanent --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //删除配置
3 n9 V2 A9 [  ]3 w$ O
firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //设置某个ip访问某个端口
. v! P; m2 m1 n3 X- r4 [
1 J2 Q: O3 F) P7 ?" Y+ bfirewall-cmd --permanent --remove-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //删除配置
5 V0 @" J1 g# K# c1 Z
6 s6 {- J8 V1 F4 M2 V! S
$ A9 \8 `; _$ Z$ F4 j" N/ U
firewall-cmd --query-masquerade  # 检查是否允许伪装IP

( l/ `8 {. l; e/ A) N  t3 u5 Z$ z& Tfirewall-cmd --add-masquerade    # 允许防火墙伪装IP

5 i; u1 q8 @. s  Qfirewall-cmd --remove-masquerade # 禁止防火墙伪装IP

6 i. z0 Q' `+ X8 D
" d* Y9 c/ t* n' W' p" k
4 J6 ^$ U8 F: D/ \firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080   # 将80端口的流量转发至8080
/ Q& `+ H" X( R  ?1 Z
firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1 # 将80端口的流量转发至192.168.0.1
  {/ ]( s5 B* l8 B
! F9 h- N% s! G" B: Gfirewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的流量转发至192.168.0.1的8080端口
3 u, e* ^- ?% C' B* W; k# `+ N9 l3 K

admin

开放指定服务(系统内置的)
firewall-cmd --permanent --add-service=http
1
. I" `4 Z, H% v* v0 ~6 X" a7 q删除服务
firewall-cmd --permanent --remove-service=http
1
添加白名单地址(单IP)
, n9 O0 r) n& \4 B: s9 L' o4 ~firewall-cmd --permanent --add-source=192.168.1.100
1
注: 白名单中的IP可以任意访问所有服务器可用的端口 这个白名单的作用不是这样的,有待继续研究
/ t( r+ O9 F; B
添加白名单地址(指定网络段CIDR格式)
firewall-cmd --permanent --add-source=192.168.1.0/24
1 {3 F8 h  Z1 c0 b0 }* j1 G1
删除白名单地址
firewall-cmd --permanent --remove-source=192.168.1.100
1
屏蔽指定IP地址
& L, B: a- ~6 {firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"
4 W1 {: P2 F* K$ o$ n6 [1
屏蔽IP地址段
! Y4 {9 c$ m+ m# D0 t* {( cfirewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"
1
' h! v6 i! z) b! r) S手动编辑xml配置文件
除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)