閱讀111 返回首頁    go 微軟 go windows

CentOS 7 上的 FirewallD 簡明指南

FirewallD 是 CentOS 7 服務器上默認可用的防火牆管理工具。基本上，它是 iptables 的封裝，有圖形配置工具 firewall-config 和命令行工具 firewall-cmd。使用 iptables 服務，每次改動都要求刷新舊規則，並且從/etc/sysconfig/iptables 讀取新規則，然而 firewalld 隻應用改動了的不同部分。

FirewallD 的區域zone

FirewallD 使用服務service 和區域zone來代替 iptables 的規則rule和鏈chain。

默認情況下，有以下的區域zone可用：

  • drop – 丟棄所有傳入的網絡數據包並且無回應，隻有傳出網絡連接可用。
  • block — 拒絕所有傳入網絡數據包並回應一條主機禁止的 ICMP 消息，隻有傳出網絡連接可用。
  • public — 隻接受被選擇的傳入網絡連接，用於公共區域。
  • external — 用於啟用了地址偽裝的外部網絡，隻接受選定的傳入網絡連接。
  • dmz — DMZ 隔離區，外部受限地訪問內部網絡，隻接受選定的傳入網絡連接。
  •   work — 對於處在你工作區域內的計算機，隻接受被選擇的傳入網絡連接。
  • home — 對於處在你家庭區域內的計算機，隻接受被選擇的傳入網絡連接。
  • internal — 對於處在你內部網絡的計算機，隻接受被選擇的傳入網絡連接。
  • trusted — 所有網絡連接都接受。

要列出所有可用的區域，運行：



    

  1. # firewall-cmd --get-zones
    2. 

  2. work drop internal external trusted home dmz public block
    3. 



列出默認的區域 ：




    

  1. # firewall-cmd --get-default-zone
    2. 

  2. public
    3. 



改變默認的區域 ：




    

  1. # firewall-cmd --set-default-zone=dmz
    2. 

  2. # firewall-cmd --get-default-zone
    3. 

  3. dmz
    4. 




FirewallD 服務


FirewallD 服務使用 XML 配置文件，記錄了 firewalld 服務信息。


列出所有可用的服務：




    

  1. # firewall-cmd --get-services
    2. 

  2. amanda-client amanda-k5-client bacula bacula-client ceph ceph-mon dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mosh mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster radius rpc-bind rsyncd samba samba-client sane smtp smtps snmp snmptrap squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
    3. 



XML 配置文件存儲在 /usr/lib/firewalld/services/ 和 /etc/firewalld/services/ 目錄下。



用 FirewallD 配置你的防火牆


作為一個例子，假設你正在運行一個 web 服務器，SSH 服務端口為 7022 ，以及郵件服務，你可以利用 FirewallD 這樣配置你的服務器:


首先設置默認區為 dmz。




    

  1. # firewall-cmd --set-default-zone=dmz
    2. 

  2. # firewall-cmd --get-default-zone
    3. 

  3. dmz
    4. 



為 dmz 區添加持久性的 HTTP 和 HTTPS 規則：




    

  1. # firewall-cmd --zone=dmz --add-service=http --permanent
    2. 

  2. # firewall-cmd --zone=dmz --add-service=https --permanent
    3. 



開啟端口 25 (SMTP) 和端口 465 (SMTPS) ：




    

  1. firewall-cmd --zone=dmz --add-service=smtp --permanent
    2. 

  2. firewall-cmd --zone=dmz --add-service=smtps --permanent
    3. 



開啟 IMAP、IMAPS、POP3 和 POP3S 端口：




    

  1. firewall-cmd --zone=dmz --add-service=imap --permanent
    2. 

  2. firewall-cmd --zone=dmz --add-service=imaps --permanent
    3. 

  3. firewall-cmd --zone=dmz --add-service=pop3 --permanent
    4. 

  4. firewall-cmd --zone=dmz --add-service=pop3s --permanent
    5. 



因為將 SSH 端口改到了 7022，所以要移除 ssh 服務（端口 22），開啟端口 7022：




    

  1. firewall-cmd --remove-service=ssh --permanent
    2. 

  2. firewall-cmd --add-port=7022/tcp --permanent
    3. 



要應用這些更改，我們需要重新加載防火牆：




  1. firewall-cmd --reload


最後可以列出這些規則：




    

  1. # firewall-cmd –list-all
    2. 

  2. dmz
    3. 

  3. target: default
    4. 

  4. icmp-block-inversion: no
    5. 

  5. interfaces:
    6. 

  6. sources:
    7. 

  7. services: http https imap imaps pop3 pop3s smtp smtps
    8. 

  8. ports: 7022/tcp
    9. 

  9. protocols:
    10. 

  10. masquerade: no
    11. 

  11. forward-ports:
    12. 

  12. sourceports:
    13. 

  13. icmp-blocks:
    14. 

  14. rich rules:
    15. 



原文發布時間為：2017-03-21


本文來自雲棲社區合作夥伴“Linux中國”


最後更新：2017-05-24 15:31:34
  上一篇：go  SpaceVim 使用指南 
  下一篇：go  在 Linux 中修改 MySQL 或 MariaDB 的 Root 密碼