firewall防火墙acl规则，以及介绍

admin · 发表于 2022-1-17 10:08:56

现在对安全的要求更严格了,对内网环境的特定服务器,现在只允许指定IP或IP段进行访问,其他一律屏蔽,配置步骤如下:
检查防火墙是否启动：
systemctl status firewalld.service
启动防火墙：
systemctl start  firewalld.service

开机启动防火墙：
systemctl enable firewalld.service

修改防火墙acl规则：
通过编辑文件：
vim /etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
</zone>
~

默认的防火墙规则

第二种通过命令：

手动开放指定端口

firewall-cmd --permanent --add-port=3306/tcp

改完配置文件后重载一下防火墙服务
firewall-cmd --reload

基本应用

firewall-cmd --state& ]( v8 A2 D4 U0 `
获取firewalld状态
5 v( U! B$ e4 Q/ B) H.
6 R  U% d( k( a1 [7 s, K" jfirewall-cmd --reload
  @# Y( }0 j$ E# ^在不改变状态的条件下重载防火墙
$ |6 _# B! j1 w3 c9 z7 H& L.
4 n. k$ P  M: s/ U' a' ifirewall-cmd --complete-reload, ^/ V* x1 \4 [/ J/ U. @
完全重启，状态信息将会丢失
9 l6 ]( k: M9 J% ^! L% g.# b' C) P/ N: ^2 f7 t
firewall-cmd --get-zones3 [$ j, _, C% W% \2 R) ?! ]
获取支持的区域, h$ f3 e/ d3 r" ]
.: f0 y3 z/ ~0 H# q) Z6 M) ?
firewall-cmd --get-services
6 R3 K, J; J) d! J* ]获取所有支持的服务，支持的服务存放在/usr/lib/firewalld/services目录下。
0 \; e9 Z3 i1 Z0 C服务是firewalld所使用的有关端口和选项的规则集合。- V3 q# S" l8 j3 v6 q& s
被启动的服务会在firewalld服务开启或运行是自动加载。5 a; }7 @5 |1 _7 E) x) y* i
我们还可以创建自己的服务，即添加端口和服务的对应关系，将在下面讲解。0 G( H; y: f7 O* z5 D* }
.5 F* F5 H& \. c) F  \$ l
firewall-cmd --get-icmptypes1 B1 M7 d6 o, `. V2 c* k
获取所有支持的ICMP类型  i, `; V9 g9 N" V) u8 U
./ @4 _3 \- O# H5 s6 V  U/ ~
firewall-cmd --list-all-zones  i" t4 A1 p4 m
列出全部启用的区域的特性（即查询当前防火墙策略），特性是定义的防火墙策略。
' F) @& {" n; B1 L# w策略如：服务、端口和协议的组合、端口/数据报转发、伪装、ICMP拦截或自定义规则等。" M) q. P6 E  {/ A$ I
该命令会列出所有区域的所有特性，包括详细规则（rich-rules）。' E* A+ S. u7 L
.
% P" \" Z7 d1 ~7 t$ cfirewall-cmd [--zone=区域] --list-all- |# ^! b7 C/ Y* l& O' N+ ?
输出指定区域启用的全部特性，如果区域被省略，将显示默认区域的信息。
1 p6 o6 I  ~; y9 R. S# ^; s.
3 ^$ {7 u& ?7 c: wfirewall-cmd --get-default-zone
5 a' r, {7 P# v查默认区域，默认的默认区域为public3 C( n- Y8 w8 X- I0 S
." p8 E/ l/ l6 h9 Z. W0 X
firewall-cmd --set-default-zone=区域6 |; W6 t% z, L& V
设置默认区域，也可通过/etc/firewalld/firewalld.conf中的DefaultZone配置项定义默认区域。
0 J: W5 h' s" ?/ a8 k4 e流入默认区域中配置的接口的新访问请求将被置入新的默认区域。当前活动的连接将不受影响。
6 {) p1 K# S4 e. e5 |$ o1 y.$ V% y4 u5 U( c
firewall-cmd --get-active-zones
! V0 p0 g+ i, h8 F" A获取活动的区域，同时会输出活动区域所包含的接口。
& w' Z/ d3 b4 F* x" [' }6 _3 \.
% D. ]% @/ Q4 i9 H* W- @firewall-cmd --get-zone-of-interface=网卡名
" Q) Y/ b7 N8 ], e0 I查指定接口属于哪个区域( E/ j. ~) j; d" _) Z& V
.! B7 P" }4 V# m! ]3 R/ D
firewall-cmd [--zone=区域] --add-interface=接口名$ F3 j3 d; `; N# R2 E: p8 s
将指定接口增加到指定区域，如果区域被省略了，将会被添加到默认区域。/ g9 k5 H2 D7 ?0 _
一个接口同时只能属于一个区域，接口会在防火墙重新加载后重新应用。9 f0 N3 \  G* R" c* o; n; Y
.: U6 f. n9 t  \, F& a& ^4 j+ F
firewall-cmd [--zone=区域] --change-interface=接口名& Q# K' {! T% D3 ~+ G) ~! l3 x* H
修改接口所属区域，这个选项与--add-interface选项相似。' f) {- N$ l9 a& E* A3 T. K( i, x
但不同的是，当接口已经存在于另一个区域的时候，该接口将被重置到新的区域。
7 y6 T; V% |, E4 S.
' h/ {4 ?2 U/ [, f  o  r& q7 Ifirewall-cmd [--zone=区域] --remove-interface=接口名
* Z6 A& ]4 N' M4 u* S从指定区域中删除指定接口，删除后，这个接口的所有数据包将使用默认区域的规则。6 x3 R& d3 o8 k' D
.
/ N( |6 ?+ J3 W% t* lfirewall-cmd [--zone=区域] --query-interface=接口名( d, G: x' H/ ?) t
查指定区域中是否包含指定接口，如果区域被省略了，将被指定为默认区域。
7 r* k3 ~+ u, b2 n.
0 b, ?; W! N9 z- rfirewall-cmd [--zone=区域] --list-services
  q7 y$ G1 f1 d8 S" S5 x3 R列举区域中启用的服务，如果区域被省略了，将使用默认区域。7 R0 \" t! Y  e3 [$ r
.
- |) G8 _' }) W* q' e9 \firewall-cmd --query-masquerade 检查是否允许NAT转发
. q. Q3 D- _) X$ t3 O  x7 \: hfirewall-cmd --zone=public --add-masquerade --permanent 永久开启路由转发
3 [+ p& r, j' Q1 R! d6 afirewall-cmd --remove-masquerade 禁止防火墙NAT转发
/ ]6 t$ e. B# s9 ]+ G9 }# J: E4 x.
& S! k5 |9 Y5 D, k% hfirewall-cmd --panic-on 启用应急模式，将阻断所有网络连接，以防出现紧急状况。) r/ i5 l8 b1 H6 d: i
firewall-cmd --panic-off 禁用应急模式
+ r6 ~( L5 q, q: e5 w7 K. }# l! Sfirewall-cmd --query-panic 查应急模式状态5 E" L- k: ?* ~) L' [" @  }
.
8 h) p+ T' b4 \7 [其它相关的配置可在手册页man firewall-cmd中查看。

admin · 发表于 2022-1-17 10:21:23

firewalld默认为我们提供了9个区域，默认就有一些区域是有效的。这些区域按照不信任到信任的顺序排序，如下。
.
起---------------------------------
丢弃区域（Drop Zone）
如果使用丢弃区域，任何进入的数据包都将被丢弃。
这个类似于6.x版本中使用的iptables -j drop。
使用丢弃规则意味着将不存在响应。
.
阻塞区域（Block Zone）
阻塞区域会拒绝进入的网络连接，并返回icmp-host-prohibited。
只有服务器已经建立的连接会被通过，即只允许由该系统初始化的网络连接。
.
公共区域（Public Zone）
只接受被选中的连接，默认只允许ssh和dhcpv6-client。
这个zone是缺省zone，即被默认使用的Zone。
.
外部区域（External Zone）
只有指定的连接会被接受，即ssh，而其它的连接将被丢弃或不被接受。
这个区域类似于路由器的启用伪装(masquerading)选项。
.
隔离区域（DMZ Zone）
该区域只允许被选中的连接通行。
如果只允许部分服务能被外部访问，可以在DMZ区域中定义。
.
工作区域（Work Zone）
在这个区域，我们只能定义内部网络连接。
比如私有网络通信才被允许，只允许ssh， ipp-client和dhcpv6-client。
.
家庭区域（Home Zone）
这个区域专用于家庭环境。
它同样只允许被选中的连接，即ssh，ipp-client，mdns，samba-client和dhcpv6-client。
.
内部区域（Internal Zone）
这个区域和工作区域类似，只有被选中的连接才可通行，和家庭区域一样。
.
信任区域（Trusted Zone）
信任区域允许所有网络连接通行。
切记：trusted区域是最被信任的区域，使用该区域时，在不做任何配置的情况下允许所有连接通行。
--------------------------------------始
.
以上是系统定义的所有的zone，但这些zone并不是都在使用，只有活跃的zone才有实际操作意义。

Firewalld 原则
.
当一个客户端访问服务器时，服务器将根据以下原则决定使用哪个zone的策略去匹配。
.
1
如果这个客户端数据包的源IP地址匹配zone的sources(来源)，那么该zone的规则就适用这个客户端。
注意：一个源只能属于一个zone，不能同时属于多个zone。
.
2
如果这个客户端数据包进入服务器的某一个接口(如eth0)区配zone的interfaces，则么该zone的规则就适用这个客户端。
一个接口只能属于一个zone，不能同时属于多个zone。
.
3
如果上述两个原则都不满足，那么缺省的zone将被应用，即使用public区域。

admin · 发表于 2022-1-17 10:24:43

实现过程

下面的命令将配置192.168.1.0/24整个网段的IP允许访问服务器的22端口

// 先移除默认开启的没有访问限制的ssh服务
# firewall-cmd --permanent --remove-service=ssh
// 添加复杂规则,只允许指定IP段访问22端口
# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
// 使上面配置生效
# firewall-cmd --reload
// 查看当前配置信息
# firewall-cmd --list-all

备注:
source address也可以设置为单个IP地址,例如192.168.1.1
port可以为单个端口或端口范围，例如1-10000

其他常用命令

删除之前的复杂规则,这里的内容需要与之前添加时的rule内容完全一致,可以复制粘贴过来

firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'

手动开放指定端口

firewall-cmd --permanent --add-port=3306/tcp

删除开放的端口

firewall-cmd --permanent --remove-port=3306/tcp

开放指定服务(系统内置的)

firewall-cmd --permanent --add-service=http

删除服务

firewall-cmd --permanent --remove-service=http

添加白名单地址(单IP)

firewall-cmd --permanent --add-source=192.168.1.100

注: 白名单中的IP可以任意访问所有服务器可用的端口这个白名单的作用不是这样的,有待继续研究

添加白名单地址(指定网络段CIDR格式)

firewall-cmd --permanent --add-source=192.168.1.0/24

删除白名单地址

firewall-cmd --permanent --remove-source=192.168.1.100

屏蔽指定IP地址

firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"

屏蔽IP地址段

firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"

手动编辑xml配置文件

除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)

admin · 发表于 2022-1-17 10:26:05

1.firewalld的基本使用

启动：  systemctl start firewalld

查状态：systemctl status firewalld

停止：  systemctl disable firewalld

禁用：  systemctl stop firewalld

在开机时启用一个服务：systemctl enable firewalld.service

在开机时禁用一个服务：systemctl disable firewalld.service

查看服务是否开机启动：systemctl is-enabled firewalld.service

查看已启动的服务列表：systemctl list-unit-files|grep enabled

查看启动失败的服务列表：systemctl --failed

2.配置firewalld-cmd

查看版本： firewall-cmd --version

查看帮助： firewall-cmd --help

显示状态： firewall-cmd --state

查看所有打开的端口： firewall-cmd --zone=public --list-ports

更新防火墙规则： firewall-cmd --reload

查看区域信息:  firewall-cmd --get-active-zones

查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0

拒绝所有包：firewall-cmd --panic-on

取消拒绝状态： firewall-cmd --panic-off

查看是否拒绝： firewall-cmd --query-panic

3.添加/删除  一条规则

添加

firewall-cmd --zone=public(作用域) --add-port=80/tcp(端口和访问类型) --permanent(永久生效)

firewall-cmd --zone=public --add-service=http --permanent

firewall-cmd --reload # 重新载入，更新防火墙规则

firewall-cmd --zone= public --query-port=80/tcp  #查看

删除

firewall-cmd --zone= public --remove-port=80/tcp --permanent  # 删除

firewall-cmd --list-services

firewall-cmd --get-services

firewall-cmd --add-service=<service>

firewall-cmd --delete-service=<service>

在每次修改端口和服务后/etc/firewalld/zones/public.xml文件就会被修改,所以也可以在文件中之间修改,然后重新加载

使用命令实际也是在修改文件，需要重新加载（firewall-cmd --reload）才能生效。

firewall-cmd --zone=public --query-port=80/tcp

firewall-cmd --zone=public --query-port=8080/tcp

firewall-cmd --zone=public --query-port=3306/tcp

firewall-cmd --zone=public --add-port=8080/tcp --permanent

firewall-cmd --zone=public --add-port=3306/tcp --permanent

firewall-cmd --zone=public --query-port=3306/tcp

firewall-cmd --zone=public --query-port=8080/tcp

firewall-cmd --reload  # 重新加载后才能生效

firewall-cmd --zone=public --query-port=3306/tcp

firewall-cmd --zone=public --query-port=8080/tcp

4.参数解释

–add-service #添加的服务

–zone #作用域

–add-port=80/tcp #添加端口，格式为：端口/通讯协议

–permanent #永久生效，没有此参数重启后失效

5.使用举例

firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //设置某个ip访问某个服务

firewall-cmd --permanent --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //删除配置

firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'    //设置某个ip访问某个端口

firewall-cmd --permanent --remove-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'    //删除配置

firewall-cmd --query-masquerade  # 检查是否允许伪装IP

firewall-cmd --add-masquerade # 允许防火墙伪装IP

firewall-cmd --remove-masquerade # 禁止防火墙伪装IP

firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 # 将80端口的流量转发至8080

firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1 # 将80端口的流量转发至192.168.0.1

firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的流量转发至192.168.0.1的8080端口

admin · 发表于 2022-1-17 11:40:00

开放指定服务(系统内置的)
firewall-cmd --permanent --add-service=http
1
删除服务
firewall-cmd --permanent --remove-service=http
1
添加白名单地址(单IP)
firewall-cmd --permanent --add-source=192.168.1.100
1
注: 白名单中的IP可以任意访问所有服务器可用的端口这个白名单的作用不是这样的,有待继续研究

添加白名单地址(指定网络段CIDR格式)
firewall-cmd --permanent --add-source=192.168.1.0/24
1
删除白名单地址
firewall-cmd --permanent --remove-source=192.168.1.100
1
屏蔽指定IP地址
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' reject"
1
屏蔽IP地址段
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"
1
手动编辑xml配置文件
除了上面的命令添加规则外,还可以直接编辑/etc/firewalld/zones/public.xml文件(改完后记得执行firewall-cmd --reload生效)

		自动登录	找回密码
密码			注册

firewall防火墙acl规则，以及介绍

浏览过的版块