添加firewalld防火墙策略

admin

firewall-cmd --list-all
public (active)
  target: default
0 r/ ?* z& m, ?; y  icmp-block-inversion: no
0 V4 F; d% F: |# u) D7 S* X9 X4 J  interfaces: enp0s3 enp0s8
  sources:
  services: ssh dhcpv6-client
) @' M6 d! P9 z1 y- p  ports:
  protocols:
  masquerade: no
6 g' q! v" z) K0 o; N" \3 Z/ C. I  forward-ports:
  source-ports:
  icmp-blocks:
( b. L7 r! W! b* j6 N4 `  s  rich rules:
        rule family="ipv4" source address="192.168.56.3/24" service name="ssh" accept
: M2 L1 ]+ l  b9 ?  n1 C& G        rule family="ipv4" source address="192.168.56.3" service name="ssh" drop

admin

firewall有几个分区(zone):
( p6 I1 f$ P, B% f5 Y
drop：任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。
block：任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。
7 U  ^: S  P' s4 w, q8 ]public：用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。
$ D: {. v; \% l( o# q$ \external：用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。
dmz：用以允许隔离区（dmz）中的电脑有限地被外界网络访问。只接受被选中的连接。
work：用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
0 k/ d0 F" f3 c4 {home：用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
internal：用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

admin

1.1. 网络区域简介

通过将网络划分成不同的区域，制定出不同区域之间的访问控制策略来控制不同程序区域间传送的数据流。例如，互联网是不可信任的区域，而内部网络是高度信任的区域。网络安全模型可以在安装，初次启动和首次建立网络连接时选择初始化。该模型描述了主机所连接的整个网络环境的可信级别，并定义了新连接的处理方式。有如下几种不同的初始化区域：

• 阻塞区域（block）：任何传入的网络数据包都将被阻止。
• 工作区域（work）：相信网络上的其他计算机，不会损害你的计算机。
• 家庭区域（home）：相信网络上的其他计算机，不会损害你的计算机。
• 公共区域（public）：不相信网络上的任何计算机，只有选择接受传入的网络连接。
• 隔离区域（DMZ）：隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接。
• 信任区域（trusted）：所有的网络连接都可以接受。
• 丢弃区域（drop）：任何传入的网络连接都被拒绝。
• 内部区域（internal）：信任网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。
• 外部区域（external）：不相信网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。
  
  

注：FirewallD的默认区域是public。

1.2. 显示支持的区域列表

firewall-cmd --get-zones

0 f5 ^/ b+ u, X1 t2 z

1.3. 设置为家庭区域

[size=1em]?
, j- n/ E+ U5 c3 U, I" s

[size=1em]firewall-cmd --set-default-zone=home

, a( d+ `/ Z7 n/ A& }: p

1.4. 查看当前区域

firewall-cmd --get-active-zones

9 L: ]7 o/ x4 ~6 S5 }3 c: ~

1.5. 设置当前区域的接口

firewall-cmd --get-zone-of-interface=enp03s

1.6. 显示所有公共区域（public）

firewall-cmd --zone=public --list-all

) q$ @% l" E+ q; k

1.7. 临时修改网络接口（enp0s3）为内部区域（internal）

firewall-cmd --zone=internal --change-interface=enp03s

1.8. 永久修改网络接口enp03s为内部区域（internal）

& r0 }% B' I/ L5 ?/ t$ Y

firewall-cmd --permanent --zone=internal --change-interface=enp03s

, B1 z4 T! M' v0 b( y! Q

2. 服务管理

2.1. 显示服务列表

Amanda, FTP, Samba和TFTP等最重要的服务已经被FirewallD提供相应的服务，可以使用如下命令查看：

firewall-cmd --get-services

2.2. 允许SSH服务通过

firewall-cmd --enable service=ssh

2.3. 禁止SSH服务通过

firewall-cmd --disable service=ssh

2.4. 打开TCP的8080端口

! [; t& v7 K' y" z' s; o- M

firewall-cmd --enable ports=8080/tcp

2.5. 临时允许Samba服务通过600秒

firewall-cmd --enable service=samba --timeout=600

) ]3 ]- C/ [0 u' O6 S# E2 z

2.6. 显示当前服务

firewall-cmd --list-services

/ d6 U) V  z! e6 o

2.7. 添加HTTP服务到内部区域（internal）

firewall-cmd --permanent --zone=internal --add-service=http

firewall-cmd --reload     #在不改变状态的条件下重新加载防火墙
% ]4 c; g: {. O3 t7 n/ S

* G1 M& G5 u' T# O' C% @/ _

# G2 A' u& D: ?) N9 K# f0 @- R

& N& Z7 a% A; b3 A, D

7 s% T  p; j2 O" F6 E0 u$ S

3. 端口管理

3.1. 打开端口

#打开443/TCP端口

firewall-cmd --add-port=443/tcp

永久打开3690/TCP端口

firewall-cmd --permanent --add-port=3690/tcp

#永久打开端口好像需要reload一下，临时打开好像不用，如果用了reload临时打开的端口就失效了

其它服务也可能是这样的，这个没有测试

firewall-cmd --reload

查看防火墙，添加的端口也可以看到

firewall-cmd --list-all

* z: h& S$ f* m; Q/ X

4. 直接模式

1 w8 I$ t6 }8 a8 |2 M

FirewallD包括一种直接模式，使用它可以完成一些工作，例如打开TCP协议的9999端口

firewall-cmd --direct -add-rule ipv4 filter INPUT 0 -p tcp --dport 9000 -j ACCEPT

firewall-cmd --reload

. Q' A% O1 s6 f& r- K' X

5. 关闭服务的方法

你也可以关闭目前还不熟悉的FirewallD防火墙，而使用iptables，命令如下：

systemctl stop firewalld

systemctl disable firewalld
yum install iptables-services
) v, K# {, [2 x/ @$ U  e8 ksystemctl start iptables
systemctl enable iptables

admin

添加多个udp端口策略：
# firewall-cmd --permanent --zone=internal --add-port=123/udp --add-port=4952/udp
success
& b) I; F# y) o7 d. f查看interal下的开放端口
# firewall-cmd --zone=internal --list-ports
123/udp 4952/udp