firewall防火墙acl规则，以及介绍

admin

现在对安全的要求更严格了,对内网环境的特定服务器,现在只允许指定IP或IP段进行访问,其他一律屏蔽,配置步骤如下:
检查防火墙是否启动：
) S/ b& k& v; V  z  [1 ~# F: Ysystemctl status firewalld.service
启动防火墙：
systemctl start  firewalld.service


% N* S7 [4 r4 w% y开机启动防火墙：
systemctl enable firewalld.service

8 H' E0 j6 d* h4 f; j' G
+ p8 \( p3 v/ ^8 s# {8 ?$ w$ M修改防火墙acl规则：
5 ^: N+ f  M% S, M6 y. b& E2 R通过编辑文件：
vim /etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
% F# p5 X0 j$ U8 R7 A1 \2 [+ W  <short>Public</short>
9 Y$ b5 P7 [+ X* g) c  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
</zone>
~                  

+ j) O0 i2 F" b' u* C& i' X3 T默认的防火墙规则

- _* i; o" F5 ~. {; D& o' c第二种通过命令：

1 |. q6 k2 U% ^# n! m1 d手动开放指定端口
0 Y, i4 X1 e/ B( Z( j8 _7 t

firewall-cmd --permanent --add-port=3306/tcp

. W. T3 t8 v* {/ a, L
: P% O' F' a; s3 [5 y/ ~' l改完配置文件后重载一下防火墙服务
firewall-cmd --reload
; F9 O* E7 {5 |- e% T% `, M
9 u/ A8 |7 w& r- p
基本应用

firewall-cmd --state
5 A  d: u" t5 m6 @获取firewalld状态
.
firewall-cmd --reload
* y& P8 t& E8 F' k7 s/ |4 K在不改变状态的条件下重载防火墙
( v# ~% C, t9 w.
firewall-cmd --complete-reload
完全重启，状态信息将会丢失
) [  G, ?9 n0 ^.
' ], r- P- u0 t  r: Lfirewall-cmd --get-zones
获取支持的区域
.
firewall-cmd --get-services
获取所有支持的服务，支持的服务存放在/usr/lib/firewalld/services目录下。
服务是firewalld所使用的有关端口和选项的规则集合。
被启动的服务会在firewalld服务开启或运行是自动加载。
+ q8 T9 S1 F& @" D, B: i7 s我们还可以创建自己的服务，即添加端口和服务的对应关系，将在下面讲解。
.
firewall-cmd --get-icmptypes
. ?( T# k5 I. F3 G, ]' G获取所有支持的ICMP类型
.
firewall-cmd --list-all-zones
1 A# p$ y8 Z! F/ O9 F( f列出全部启用的区域的特性（即查询当前防火墙策略），特性是定义的防火墙策略。
策略如：服务、端口和协议的组合、端口/数据报转发、伪装、ICMP拦截或自定义规则等。
该命令会列出所有区域的所有特性，包括详细规则（rich-rules）。
.
. V& q5 {/ }# r. q  ~! u( Efirewall-cmd [--zone=区域] --list-all
- ^/ K1 Q2 }, g2 y" v输出指定区域启用的全部特性，如果区域被省略，将显示默认区域的信息。
.
+ ~" z3 Q$ c; t$ e+ P- Bfirewall-cmd --get-default-zone
查默认区域，默认的默认区域为public
.
4 \& n2 q. N$ g1 W. l) ofirewall-cmd --set-default-zone=区域
设置默认区域，也可通过/etc/firewalld/firewalld.conf中的DefaultZone配置项定义默认区域。
. {4 D: V9 v# E* ^流入默认区域中配置的接口的新访问请求将被置入新的默认区域。当前活动的连接将不受影响。
.
# H1 I7 X; `& \6 Q; F1 Z4 ]' C+ Ifirewall-cmd --get-active-zones
获取活动的区域，同时会输出活动区域所包含的接口。
; L. |  `) p# L- t# d.
firewall-cmd --get-zone-of-interface=网卡名
查指定接口属于哪个区域
.
firewall-cmd [--zone=区域] --add-interface=接口名
0 S% S/ n0 y2 T$ C  l" s将指定接口增加到指定区域，如果区域被省略了，将会被添加到默认区域。
一个接口同时只能属于一个区域，接口会在防火墙重新加载后重新应用。
4 m& n# N/ ], u* P& @7 }. l7 b.
firewall-cmd [--zone=区域] --change-interface=接口名
/ x- `+ \+ t% e修改接口所属区域，这个选项与--add-interface选项相似。
" z; x. d/ X  e( o& B但不同的是，当接口已经存在于另一个区域的时候，该接口将被重置到新的区域。
.
firewall-cmd [--zone=区域] --remove-interface=接口名
从指定区域中删除指定接口，删除后，这个接口的所有数据包将使用默认区域的规则。
.
firewall-cmd [--zone=区域] --query-interface=接口名
查指定区域中是否包含指定接口，如果区域被省略了，将被指定为默认区域。
2 R. I" Z4 o/ z8 G9 k' s.
firewall-cmd [--zone=区域] --list-services
列举区域中启用的服务，如果区域被省略了，将使用默认区域。
; n# @0 u, c, v4 ~% P! n2 X.
" ]/ f+ H0 H0 X" b! y  Xfirewall-cmd --query-masquerade 检查是否允许NAT转发
firewall-cmd --zone=public --add-masquerade --permanent 永久开启路由转发
firewall-cmd --remove-masquerade 禁止防火墙NAT转发
( }9 K" R% C% j.
firewall-cmd --panic-on 启用应急模式，将阻断所有网络连接，以防出现紧急状况。
firewall-cmd --panic-off 禁用应急模式
# j% o) r! s' m" Gfirewall-cmd --query-panic 查应急模式状态
- h5 Z" N; a& r) Y.
其它相关的配置可在手册页man firewall-cmd中查看。

2 }5 Z. y: @6 r8 o5 q$ g, {7 E

admin

firewalld默认为我们提供了9个区域，默认就有一些区域是有效的。这些区域按照不信任到信任的顺序排序，如下。
.
" Q, x$ t; c& `起---------------------------------
丢弃区域（Drop Zone）
如果使用丢弃区域，任何进入的数据包都将被丢弃。
这个类似于6.x版本中使用的iptables -j drop。
使用丢弃规则意味着将不存在响应。
.
阻塞区域（Block Zone）
阻塞区域会拒绝进入的网络连接，并返回icmp-host-prohibited。
  d% Q9 t, d* I$ S4 \只有服务器已经建立的连接会被通过，即只允许由该系统初始化的网络连接。
6 H, w$ Z* w! ]6 ~, V# b.
公共区域（Public Zone）
只接受被选中的连接，默认只允许ssh和dhcpv6-client。
这个zone是缺省zone，即被默认使用的Zone。
.
6 T3 Y8 M5 v: {2 ~  o' u: Z! O外部区域（External Zone）
只有指定的连接会被接受，即ssh，而其它的连接将被丢弃或不被接受。
4 }/ F5 W/ c6 n) t这个区域类似于路由器的启用伪装(masquerading)选项。
( V) a8 f( O; z8 {$ ^0 R.
隔离区域（DMZ Zone）
该区域只允许被选中的连接通行。
' _1 z2 k& d, n5 [如果只允许部分服务能被外部访问，可以在DMZ区域中定义。
.
工作区域（Work Zone）
. L9 d6 P4 w3 D5 _9 ]在这个区域，我们只能定义内部网络连接。
比如私有网络通信才被允许，只允许ssh， ipp-client和dhcpv6-client。
7 L9 D0 |: o& p* I3 J.
' I- E& G7 e% S& A- _家庭区域（Home Zone）
( H% h7 I6 o1 d, h这个区域专用于家庭环境。
; z5 p0 o7 W% n* ^2 ~它同样只允许被选中的连接，即ssh，ipp-client，mdns，samba-client和dhcpv6-client。
.
内部区域（Internal Zone）
这个区域和工作区域类似，只有被选中的连接才可通行，和家庭区域一样。
.
; D; x7 L  |, K  H4 ^9 U信任区域（Trusted Zone）
信任区域允许所有网络连接通行。
切记：trusted区域是最被信任的区域，使用该区域时，在不做任何配置的情况下允许所有连接通行。
) n, q# h* V  D: C) T2 A--------------------------------------始
.
以上是系统定义的所有的zone，但这些zone并不是都在使用，只有活跃的zone才有实际操作意义。

Firewalld 原则
.
" m. e# Z' }) v' a当一个客户端访问服务器时，服务器将根据以下原则决定使用哪个zone的策略去匹配。
+ K! G, V* |: Q: Z1 ].
1
9 P( j! S/ {$ x  L如果这个客户端数据包的源IP地址匹配zone的sources(来源)，那么该zone的规则就适用这个客户端。
8 \, o; |. H% ?* Q6 M注意：一个源只能属于一个zone，不能同时属于多个zone。
.
2
如果这个客户端数据包进入服务器的某一个接口(如eth0)区配zone的interfaces， 则么该zone的规则就适用这个客户端。
, @9 Z: j0 }# [3 j' P一个接口只能属于一个zone，不能同时属于多个zone。
' H$ \9 |/ S) }6 j8 I% P.
2 }; ~! w& q$ u: g3
4 i, z6 }1 r) X$ Z$ L! i如果上述两个原则都不满足，那么缺省的zone将被应用，即使用public区域。

admin

实现过程

# T* L% G6 R, u+ ^下面的命令将配置192.168.1.0/24整个网段的IP允许访问服务器的22端口
8 v; h% G$ L  m- U; U: M, L& m

4 M, r; A* U4 u0 ]' Y/ x5 R) m/ F8 x// 先移除默认开启的没有访问限制的ssh服务
# firewall-cmd --permanent --remove-service=ssh
// 添加复杂规则,只允许指定IP段访问22端口
# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
// 使上面配置生效
# firewall-cmd --reload
4 N, t5 C$ {$ r$ L// 查看当前配置信息
4 S1 P6 N, N7 G0 o9 V$ E# firewall-cmd --list-all
' H$ M3 _% n9 v& b0 _
备注:
  I8 _1 @; d) K/ b  h# f source address也可以设置为单个IP地址,例如192.168.1.1
6 T; r: m: K2 P/ X8 K port可以为单个端口或端口范围，例如1-10000
4 |9 k. d1 ]4 R" o' X( H

8 q, X% l6 o) b& p* ~' \3 o
# P# s3 P7 S6 O其他常用命令

  u, N% O' L+ P- Z- e0 b; w2 p删除之前的复杂规则,这里的内容需要与之前添加时的rule内容完全一致,可以复制粘贴过来
- _( m$ w6 M' J6 f
7 H: y) ~8 y, }% E+ z2 G. mfirewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'

' }& g& u5 S9 E; F手动开放指定端口

firewall-cmd --permanent --add-port=3306/tcp
1 t- k3 i- Q8 P- V4 _6 D
. k0 O% f% I! E1 `" _7 X删除开放的端口

- Z4 s4 Q  {" }. v0 C1 M- Hfirewall-cmd --permanent --remove-port=3306/tcp

8 h! D2 A7 h* z; f1 j0 A开放指定服务(系统内置的)
* Q2 Z) v$ @+ ^  ~" z
firewall-cmd --permanent --add-service=http
( D6 ?8 P2 f% }0 Y
9 q/ S" v/ ]$ M1 P- w  F7 O  h删除服务

firewall-cmd --permanent --remove-service=http

; Q) l0 [, h) }& P" S7 I添加白名单地址(单IP)

" j5 F1 `# T/ h7 y- D3 @- L5 Bfirewall-cmd --permanent --add-source=192.168.1.100
! |2 G( \5 S, |8 ^5 H  Y
3 D! c- @, I/ I- ~0 e( G$ k1 s注: 白名单中的IP可以任意访问所有服务器可用的端口 这个白名单的作用不是这样的,有待继续研究


添加白名单地址(指定网络段CIDR格式)
( {" A5 x! O: z; S
firewall-cmd --permanent --add-source=192.168.1.0/24

删除白名单地址
3 G8 H5 y8 E/ y2 E
, W6 t* s, x6 }' z: _firewall-cmd --permanent --remove-source=192.168.1.100
' j* W. m( c3 X% [% s) R! O9 ~
1 P: e1 P. h5 k5 Y* R屏蔽指定IP地址

4 P, l& W1 G/ }4 R9 r* d& @+ |) nfirewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"
9 q/ J  A/ X: ]
屏蔽IP地址段
. u3 H7 ^5 c+ x: H; t
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"

7 i. I$ j" }$ a$ G/ N手动编辑xml配置文件
8 B: ~3 N9 L' x/ `0 N# A- [
除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)

admin

1.firewalld的基本使用
2 S' e9 p2 v9 A2 m$ L
$ e/ L3 Y2 }; W. h9 J启动：  systemctl start firewalld

( P/ B0 m) I) d! y, I% [# A查状态：systemctl status firewalld

停止：  systemctl disable firewalld
3 }' h# r% ?7 h5 q% ^
4 j$ r" w* U+ j/ I+ Z- j禁用：  systemctl stop firewalld
0 m1 A0 o5 m$ p- w
; s. D* d) j) e* r- \在开机时启用一个服务：systemctl enable firewalld.service
7 x% u3 j& f1 o4 A
在开机时禁用一个服务：systemctl disable firewalld.service

查看服务是否开机启动：systemctl is-enabled firewalld.service
; O, x; ]! j8 m( r* {
0 a; ?+ w0 T$ D8 V# f$ |/ x- L查看已启动的服务列表：systemctl list-unit-files|grep enabled
! @. r/ ]+ O8 B- ?4 ^
% l+ u4 w) \$ p8 \' L# T" ?查看启动失败的服务列表：systemctl --failed
* S) ?2 r+ r9 E4 g6 {

$ ~1 W" o0 W* F9 H* N2 e
2.配置firewalld-cmd
: v; ^( R& A4 v7 p
查看版本： firewall-cmd --version

9 n* z9 q8 x: D查看帮助： firewall-cmd --help
. Y/ b( c0 e& l7 p3 J1 U! S
8 ~3 }3 K# G0 x显示状态： firewall-cmd --state

查看所有打开的端口： firewall-cmd --zone=public --list-ports

0 E( C& U. z# C2 A% o更新防火墙规则： firewall-cmd --reload
  ]' F- h, s8 L7 f
查看区域信息:  firewall-cmd --get-active-zones

( Y/ O- s/ V. _5 ]/ A, P5 J( F- n: S查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0
6 t7 N% N% c0 s4 c) L9 S" Z6 ^% C
拒绝所有包：firewall-cmd --panic-on
# i+ k( ~8 Z& v9 p6 l# u( J6 b  m
取消拒绝状态： firewall-cmd --panic-off
7 q& b" G; j2 _" `+ R6 n
查看是否拒绝： firewall-cmd --query-panic
5 p7 G8 e- J% q1 S2 N

0 r6 \; R2 Q: ^) o" H7 W0 V/ m
, e  w: G5 U+ F* D) z3.添加/删除  一条规则
/ J0 f" B; R! a# z( O
+ N5 }. w1 b, c6 b7 o

. m. `3 ~% ~7 o2 r( X5 O添加
1 E, u5 r1 J: n1 K
0 L# y+ G. N1 }" i1 N+ |: ifirewall-cmd --zone=public(作用域) --add-port=80/tcp(端口和访问类型) --permanent(永久生效)

/ ?8 b8 ]- K" L, Nfirewall-cmd --zone=public --add-service=http --permanent

* I, H+ T# u6 g9 M* J4 ifirewall-cmd --reload    # 重新载入，更新防火墙规则
" V8 G' {$ D% M( [# e
5 q1 i: [& `8 E7 X/ _  d! Pfirewall-cmd --zone= public --query-port=80/tcp  #查看



删除
# y8 E) U& M! L9 |. G
6 A0 f* P. C" e- B4 ~; jfirewall-cmd --zone= public --remove-port=80/tcp --permanent  # 删除
4 h1 d1 L: a; Q2 V+ P# r# N7 n
  Z% l1 d# ]7 ]1 v
  m3 d" c) S) D( |0 A. p: A
firewall-cmd --list-services
; a  J: {& r* O- }  h6 i
firewall-cmd --get-services

2 C# t& Q# m( p  O+ Wfirewall-cmd --add-service=<service>

firewall-cmd --delete-service=<service>

0 N4 l4 j% a7 \  k5 }" Y9 e# h! x在每次修改端口和服务后/etc/firewalld/zones/public.xml文件就会被修改,所以也可以在文件中之间修改,然后重新加载
0 p. L& T6 l* ~8 b
) k2 w# s( m  ?使用命令实际也是在修改文件，需要重新加载（firewall-cmd --reload）才能生效。
: M0 k6 s# C2 `, V/ b

" o5 m# v' _/ X6 G5 U( {
firewall-cmd --zone=public --query-port=80/tcp

firewall-cmd --zone=public --query-port=8080/tcp

8 W! p) {# @' Ffirewall-cmd --zone=public --query-port=3306/tcp
, p! R  c# Q% D/ Y8 |4 Q
firewall-cmd --zone=public --add-port=8080/tcp --permanent

firewall-cmd --zone=public --add-port=3306/tcp --permanent
+ y0 w7 x9 V) Z' {) r$ Z& r; q0 X/ b
# V7 a8 @+ j( ?8 ]: K* H- d3 Ufirewall-cmd --zone=public --query-port=3306/tcp
, ~# k* d7 x6 V4 `; G2 w) a0 w/ y
firewall-cmd --zone=public --query-port=8080/tcp
9 S0 T4 M- g" _8 |, M! |( p$ b
firewall-cmd --reload  # 重新加载后才能生效

firewall-cmd --zone=public --query-port=3306/tcp
" @3 W. Y  z) u, o
6 ]$ P# d7 a2 m% y+ a* @- X4 \firewall-cmd --zone=public --query-port=8080/tcp

6 ]- I: t9 ^" t+ \$ u* T

4.参数解释

–add-service #添加的服务

–zone #作用域
' e% M& D; T1 Z/ V, k* C
2 b2 s: K# E6 h6 ^6 [0 c/ N; s, a3 @–add-port=80/tcp #添加端口，格式为：端口/通讯协议

8 y/ {% @4 |: Q  v4 w3 U6 \–permanent #永久生效，没有此参数重启后失效



5.使用举例
0 K+ Z+ `* H+ K& K  {: X+ ~2 q/ N

' U, O9 I: D1 u; D$ L
$ p' _/ c( G; E7 C+ U: L7 |firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept'    //设置某个ip访问某个服务
3 ~' m( G: @  \) P7 r0 |
) E: ~$ N4 i3 g/ v- P" Y7 Pfirewall-cmd --permanent --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //删除配置
: y0 e9 m' e4 N8 w6 c% E
firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //设置某个ip访问某个端口
+ W3 m; w6 j' p, _, N/ P
firewall-cmd --permanent --remove-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //删除配置
; `  @! E" R4 V: l* c: v! [

0 \" p5 Q/ C4 w2 ]2 r7 D0 t! A# y2 N7 F
% y: p% H8 ?+ V# R5 X0 ?1 q* u, [. Afirewall-cmd --query-masquerade  # 检查是否允许伪装IP

- |% Z% d2 J! z. M9 \firewall-cmd --add-masquerade    # 允许防火墙伪装IP
% i4 v  N5 F  W' I, _: K
1 H8 r  y( w5 s% ?firewall-cmd --remove-masquerade # 禁止防火墙伪装IP
5 F9 O7 E( Z3 |% c

% E4 Q6 E$ A9 i9 n* a
firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080   # 将80端口的流量转发至8080

firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1 # 将80端口的流量转发至192.168.0.1

/ O! x: p) D0 r& L  }; ffirewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的流量转发至192.168.0.1的8080端口

admin

开放指定服务(系统内置的)
8 R7 T* {1 Q3 b( D1 Yfirewall-cmd --permanent --add-service=http
5 c% L* E+ O' H! v5 P6 m- v; L7 T1
删除服务
firewall-cmd --permanent --remove-service=http
/ H: q( M6 D: j! t, ]2 K. l/ O; H1
* q1 X" v; i; Q4 ~添加白名单地址(单IP)
8 N0 Q" M5 m" ~& ffirewall-cmd --permanent --add-source=192.168.1.100
1
注: 白名单中的IP可以任意访问所有服务器可用的端口 这个白名单的作用不是这样的,有待继续研究
4 K" ~2 k9 J. ?' R2 p: }8 H$ V) n
! `: W) c) w( U添加白名单地址(指定网络段CIDR格式)
- ?5 y7 d. s' c2 w8 y& D! xfirewall-cmd --permanent --add-source=192.168.1.0/24
2 n; `4 K: a- s' m. K( ~1
7 K7 q2 j% ~2 F  ~# i" w& t  y5 L删除白名单地址
firewall-cmd --permanent --remove-source=192.168.1.100
0 u* S& r8 B/ E, ]6 T' x: y1
, P+ f: r$ G% a. j屏蔽指定IP地址
. t( m2 H: g* J( Ofirewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"
1
8 i5 h9 W  W: n屏蔽IP地址段
" E& D; I$ A, P/ {: c, _firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"
5 V8 H- ?' Z1 S( h: T% s- c5 h1
手动编辑xml配置文件
除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)