firewall防火墙acl规则，以及介绍

admin · 发表于 2022-1-17 10:08:56

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？开始注册

x

现在对安全的要求更严格了,对内网环境的特定服务器,现在只允许指定IP或IP段进行访问,其他一律屏蔽,配置步骤如下:
检查防火墙是否启动：
systemctl status firewalld.service
启动防火墙：
systemctl start  firewalld.service

开机启动防火墙：
systemctl enable firewalld.service

修改防火墙acl规则：
通过编辑文件：
vim /etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
</zone>
~

默认的防火墙规则

第二种通过命令：

手动开放指定端口

firewall-cmd --permanent --add-port=3306/tcp

改完配置文件后重载一下防火墙服务
firewall-cmd --reload

基本应用

firewall-cmd --state/ N! r" Q! f! x" T9 X
获取firewalld状态6 v) \2 E* P9 `
.
  A* x* }/ G& f- zfirewall-cmd --reload
4 m8 x0 ~8 s5 O4 O, z8 k) F在不改变状态的条件下重载防火墙
$ J) j: I: g/ V+ F5 k& Q3 g6 I.& _# H, P9 ~- p& L, O/ A/ H
firewall-cmd --complete-reload
# R9 Q% b: A1 F; T0 U# B- A完全重启，状态信息将会丢失+ ]7 F- h- }2 V# s4 d* v
.
# i$ ^% [1 ]/ v2 y6 {1 ?; Z+ E$ nfirewall-cmd --get-zones! O; O  @$ b0 q: a+ ]5 t; U
获取支持的区域% J0 w0 O: I* V8 X1 S& ?# s
.3 n$ q* T. \5 V0 P/ P+ A. y& T
firewall-cmd --get-services
: c5 U; S6 k3 i获取所有支持的服务，支持的服务存放在/usr/lib/firewalld/services目录下。
( Y- y% g, K# u8 c服务是firewalld所使用的有关端口和选项的规则集合。
, y0 x3 c2 i* w5 }+ i被启动的服务会在firewalld服务开启或运行是自动加载。! c$ c1 D4 s+ y9 b
我们还可以创建自己的服务，即添加端口和服务的对应关系，将在下面讲解。4 Q: W' Z* ~1 B, y8 |) O
.
$ r* q$ F% \% |firewall-cmd --get-icmptypes- t: p6 Y  t5 a8 t, j2 o* h
获取所有支持的ICMP类型
+ T6 m% q" b9 s8 q: ].
4 z% ^% e* i5 cfirewall-cmd --list-all-zones( X9 ]: t& Q3 v( j6 X
列出全部启用的区域的特性（即查询当前防火墙策略），特性是定义的防火墙策略。- h6 c2 z2 W3 W1 \5 i9 `
策略如：服务、端口和协议的组合、端口/数据报转发、伪装、ICMP拦截或自定义规则等。9 F$ D$ L  V9 V' H7 z
该命令会列出所有区域的所有特性，包括详细规则（rich-rules）。
) G2 O5 r7 k  L8 K5 O& D9 q.
: {8 M6 N/ _" n$ e- C( x* i  {/ _+ cfirewall-cmd [--zone=区域] --list-all# z# C# R- C8 P- D
输出指定区域启用的全部特性，如果区域被省略，将显示默认区域的信息。* s3 X  S1 C, J8 @
.( D$ @, P5 H: g9 M. g- v1 u
firewall-cmd --get-default-zone
+ f0 E& U  T; `, W2 u# y查默认区域，默认的默认区域为public  e+ i9 N/ _8 z9 t3 }
.
9 E0 n7 @4 C: g) h- Z) d( l- t. Efirewall-cmd --set-default-zone=区域
5 |0 _) e! x% \/ v+ Z, P& A设置默认区域，也可通过/etc/firewalld/firewalld.conf中的DefaultZone配置项定义默认区域。4 j. r% G+ H9 r) r# L  D
流入默认区域中配置的接口的新访问请求将被置入新的默认区域。当前活动的连接将不受影响。
5 X! e6 _& f& y' M* E8 Z.
  _2 n7 R+ t- h' `% O# Vfirewall-cmd --get-active-zones
7 D3 _" [- C8 B: A- C获取活动的区域，同时会输出活动区域所包含的接口。0 \8 A. {" p+ ]) M
.
9 o3 {5 c9 @8 j; ]( b  Sfirewall-cmd --get-zone-of-interface=网卡名+ ?1 ]* J1 W) l6 P
查指定接口属于哪个区域
% j) z4 S) U$ q( [1 d.$ E% l( I0 v3 O9 N
firewall-cmd [--zone=区域] --add-interface=接口名9 F& _% Q# z  C. r% Q, w
将指定接口增加到指定区域，如果区域被省略了，将会被添加到默认区域。$ `, p$ d% d! Q9 M: p/ Y( G9 m6 w
一个接口同时只能属于一个区域，接口会在防火墙重新加载后重新应用。* Z7 r- _3 l8 U/ E4 H$ A- C7 B1 m
.
: {- T/ _3 `0 O( O) cfirewall-cmd [--zone=区域] --change-interface=接口名0 F! n# Q6 a! s( }. q6 |
修改接口所属区域，这个选项与--add-interface选项相似。
3 h+ @6 x; n3 `1 z$ V  b0 Q; |但不同的是，当接口已经存在于另一个区域的时候，该接口将被重置到新的区域。
" ^6 p# D+ C; ~+ S& D+ X.
6 m* [) I7 b8 E$ `- a  |firewall-cmd [--zone=区域] --remove-interface=接口名2 a  X, P$ |* h# {  U$ r
从指定区域中删除指定接口，删除后，这个接口的所有数据包将使用默认区域的规则。
! x9 F: o0 r. ?+ B! U3 Q.6 b% |3 |0 g# H6 z* U
firewall-cmd [--zone=区域] --query-interface=接口名8 q% Z3 T8 L% n/ h( r
查指定区域中是否包含指定接口，如果区域被省略了，将被指定为默认区域。
3 v% ]+ z# O/ @( d; A- ~0 s5 x, c+ V.8 Q; Y$ X  N3 W) V
firewall-cmd [--zone=区域] --list-services8 e# a* @( J3 K  S7 L
列举区域中启用的服务，如果区域被省略了，将使用默认区域。
4 F7 e3 t- ?: @- A! ].
& w. E" U- U6 A" @& I$ I8 Vfirewall-cmd --query-masquerade 检查是否允许NAT转发
0 p# Q( g1 l# S* Vfirewall-cmd --zone=public --add-masquerade --permanent 永久开启路由转发
5 X( h6 ^4 i9 L2 s1 O/ `$ P1 g0 x1 |firewall-cmd --remove-masquerade 禁止防火墙NAT转发$ u9 A& p. D+ h2 q7 S
.- ?( p4 T4 o. k! r1 Z
firewall-cmd --panic-on 启用应急模式，将阻断所有网络连接，以防出现紧急状况。
: V5 R  U# ^8 t/ e8 }5 ^firewall-cmd --panic-off 禁用应急模式/ B' L: B0 M6 [( ~+ ^7 J8 J+ `
firewall-cmd --query-panic 查应急模式状态
9 A+ I2 f, y' D3 t# T.
+ y* z7 C& t7 j) [' a) d- s其它相关的配置可在手册页man firewall-cmd中查看。

admin · 发表于 2022-1-17 10:21:23

firewalld默认为我们提供了9个区域，默认就有一些区域是有效的。这些区域按照不信任到信任的顺序排序，如下。
.
起---------------------------------
丢弃区域（Drop Zone）
如果使用丢弃区域，任何进入的数据包都将被丢弃。
这个类似于6.x版本中使用的iptables -j drop。
使用丢弃规则意味着将不存在响应。
.
阻塞区域（Block Zone）
阻塞区域会拒绝进入的网络连接，并返回icmp-host-prohibited。
只有服务器已经建立的连接会被通过，即只允许由该系统初始化的网络连接。
.
公共区域（Public Zone）
只接受被选中的连接，默认只允许ssh和dhcpv6-client。
这个zone是缺省zone，即被默认使用的Zone。
.
外部区域（External Zone）
只有指定的连接会被接受，即ssh，而其它的连接将被丢弃或不被接受。
这个区域类似于路由器的启用伪装(masquerading)选项。
.
隔离区域（DMZ Zone）
该区域只允许被选中的连接通行。
如果只允许部分服务能被外部访问，可以在DMZ区域中定义。
.
工作区域（Work Zone）
在这个区域，我们只能定义内部网络连接。
比如私有网络通信才被允许，只允许ssh， ipp-client和dhcpv6-client。
.
家庭区域（Home Zone）
这个区域专用于家庭环境。
它同样只允许被选中的连接，即ssh，ipp-client，mdns，samba-client和dhcpv6-client。
.
内部区域（Internal Zone）
这个区域和工作区域类似，只有被选中的连接才可通行，和家庭区域一样。
.
信任区域（Trusted Zone）
信任区域允许所有网络连接通行。
切记：trusted区域是最被信任的区域，使用该区域时，在不做任何配置的情况下允许所有连接通行。
--------------------------------------始
.
以上是系统定义的所有的zone，但这些zone并不是都在使用，只有活跃的zone才有实际操作意义。

Firewalld 原则
.
当一个客户端访问服务器时，服务器将根据以下原则决定使用哪个zone的策略去匹配。
.
1
如果这个客户端数据包的源IP地址匹配zone的sources(来源)，那么该zone的规则就适用这个客户端。
注意：一个源只能属于一个zone，不能同时属于多个zone。
.
2
如果这个客户端数据包进入服务器的某一个接口(如eth0)区配zone的interfaces，则么该zone的规则就适用这个客户端。
一个接口只能属于一个zone，不能同时属于多个zone。
.
3
如果上述两个原则都不满足，那么缺省的zone将被应用，即使用public区域。

admin · 发表于 2022-1-17 10:24:43

实现过程

下面的命令将配置192.168.1.0/24整个网段的IP允许访问服务器的22端口

// 先移除默认开启的没有访问限制的ssh服务
# firewall-cmd --permanent --remove-service=ssh
// 添加复杂规则,只允许指定IP段访问22端口
# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
// 使上面配置生效
# firewall-cmd --reload
// 查看当前配置信息
# firewall-cmd --list-all

备注:
source address也可以设置为单个IP地址,例如192.168.1.1
port可以为单个端口或端口范围，例如1-10000

其他常用命令

删除之前的复杂规则,这里的内容需要与之前添加时的rule内容完全一致,可以复制粘贴过来

firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'

手动开放指定端口

firewall-cmd --permanent --add-port=3306/tcp

删除开放的端口

firewall-cmd --permanent --remove-port=3306/tcp

开放指定服务(系统内置的)

firewall-cmd --permanent --add-service=http

删除服务

firewall-cmd --permanent --remove-service=http

添加白名单地址(单IP)

firewall-cmd --permanent --add-source=192.168.1.100

注: 白名单中的IP可以任意访问所有服务器可用的端口这个白名单的作用不是这样的,有待继续研究

添加白名单地址(指定网络段CIDR格式)

firewall-cmd --permanent --add-source=192.168.1.0/24

删除白名单地址

firewall-cmd --permanent --remove-source=192.168.1.100

屏蔽指定IP地址

firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"

屏蔽IP地址段

firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"

手动编辑xml配置文件

除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)

admin · 发表于 2022-1-17 10:26:05

1.firewalld的基本使用

启动：  systemctl start firewalld

查状态：systemctl status firewalld

停止：  systemctl disable firewalld

禁用：  systemctl stop firewalld

在开机时启用一个服务：systemctl enable firewalld.service

在开机时禁用一个服务：systemctl disable firewalld.service

查看服务是否开机启动：systemctl is-enabled firewalld.service

查看已启动的服务列表：systemctl list-unit-files|grep enabled

查看启动失败的服务列表：systemctl --failed

2.配置firewalld-cmd

查看版本： firewall-cmd --version

查看帮助： firewall-cmd --help

显示状态： firewall-cmd --state

查看所有打开的端口： firewall-cmd --zone=public --list-ports

更新防火墙规则： firewall-cmd --reload

查看区域信息:  firewall-cmd --get-active-zones

查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0

拒绝所有包：firewall-cmd --panic-on

取消拒绝状态： firewall-cmd --panic-off

查看是否拒绝： firewall-cmd --query-panic

3.添加/删除  一条规则

添加

firewall-cmd --zone=public(作用域) --add-port=80/tcp(端口和访问类型) --permanent(永久生效)

firewall-cmd --zone=public --add-service=http --permanent

firewall-cmd --reload # 重新载入，更新防火墙规则

firewall-cmd --zone= public --query-port=80/tcp  #查看

删除

firewall-cmd --zone= public --remove-port=80/tcp --permanent  # 删除

firewall-cmd --list-services

firewall-cmd --get-services

firewall-cmd --add-service=<service>

firewall-cmd --delete-service=<service>

在每次修改端口和服务后/etc/firewalld/zones/public.xml文件就会被修改,所以也可以在文件中之间修改,然后重新加载

使用命令实际也是在修改文件，需要重新加载（firewall-cmd --reload）才能生效。

firewall-cmd --zone=public --query-port=80/tcp

firewall-cmd --zone=public --query-port=8080/tcp

firewall-cmd --zone=public --query-port=3306/tcp

firewall-cmd --zone=public --add-port=8080/tcp --permanent

firewall-cmd --zone=public --add-port=3306/tcp --permanent

firewall-cmd --zone=public --query-port=3306/tcp

firewall-cmd --zone=public --query-port=8080/tcp

firewall-cmd --reload  # 重新加载后才能生效

firewall-cmd --zone=public --query-port=3306/tcp

firewall-cmd --zone=public --query-port=8080/tcp

4.参数解释

–add-service #添加的服务

–zone #作用域

–add-port=80/tcp #添加端口，格式为：端口/通讯协议

–permanent #永久生效，没有此参数重启后失效

5.使用举例

firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //设置某个ip访问某个服务

firewall-cmd --permanent --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //删除配置

firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'    //设置某个ip访问某个端口

firewall-cmd --permanent --remove-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'    //删除配置

firewall-cmd --query-masquerade  # 检查是否允许伪装IP

firewall-cmd --add-masquerade # 允许防火墙伪装IP

firewall-cmd --remove-masquerade # 禁止防火墙伪装IP

firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 # 将80端口的流量转发至8080

firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1 # 将80端口的流量转发至192.168.0.1

firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的流量转发至192.168.0.1的8080端口

admin · 发表于 2022-1-17 11:40:00

开放指定服务(系统内置的)
firewall-cmd --permanent --add-service=http
1
删除服务
firewall-cmd --permanent --remove-service=http
1
添加白名单地址(单IP)
firewall-cmd --permanent --add-source=192.168.1.100
1
注: 白名单中的IP可以任意访问所有服务器可用的端口这个白名单的作用不是这样的,有待继续研究

添加白名单地址(指定网络段CIDR格式)
firewall-cmd --permanent --add-source=192.168.1.0/24
1
删除白名单地址
firewall-cmd --permanent --remove-source=192.168.1.100
1
屏蔽指定IP地址
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"
1
屏蔽IP地址段
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"
1
手动编辑xml配置文件
除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)

账号		自动登录	找回密码
密码			开始注册

firewall防火墙acl规则，以及介绍

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

浏览过的版块

站长推荐 /4