linux 防火墙（firewall） 一 ： 介绍 1.1 防⽕墙是保护机器不受来⾃外部的、不需要的⽹络数据的⼀种⽅式。它允许⽤⼾通过定义⼀组防 ⽕墙规则来控制主机上的⼊站⽹络流量。这些规则⽤于对进⼊的流量进⾏排序，并可以阻断或允 许流量。 1.2 firewalld 是⼀个防⽕墙服务守护进程，其提供⼀个带有 D-Bus 接⼝的、动态可定制的、 基于主机的防⽕墙。如果是动态的，它可在每次修改规则时启⽤、修改和删除规则，⽽不需要在 每次修改规则时重启防⽕墙守护进程。 1.3（区别） 1.3.1 firewalld :使⽤ firewalld 实⽤程序进⾏简单防⽕墙⽤例。此⼯具易于使⽤，并 涵盖了这些场景的典型⽤例 1.3.2 nftables :使⽤ nftables 实⽤程序设置复杂和⾼性能的防⽕墙，如为整个⽹络设 置。 1.3.3 iptables :Red Hat Enterprise Linux 上的 iptables ⼯具使⽤ nf_tables 内 核 API ⽽不是 legacy 后端。 nf_tables API 提供了向后兼容性，以便使⽤ iptables 命令的脚本仍可在 Red Hat Enterprise Linux 上⼯作。对于新的防⽕墙脚 本，红帽建议使⽤ nftables 1.4（联系） RHEL 7 中使⽤ firewalld 服务作为⽤⼾配置防⽕墙规则的⼯具，iptables 作为实现防⽕墙规则的⽤⼾空间实现，因此通过 firewall-cmd 与 iptables 命令⾏均可实现防⽕墙的配置。RHEL 8 中也使⽤ firewalld 服务，但其后端默认通过 nftables 实现防⽕墙规则，iptables也可作为其后端，但为⾮默认配置可通过⼿动⽣效 1.5（Zones 分区） 可以根据⽤⼾对该⽹络中的接⼝和流量设置的信任程度，使⽤ fi rewalld 来将⽹络划分为不同的区。⼀个连接只能是⼀个区的⼀部分，但⼀个区可以被⽤来进⾏很多⽹络连接。 1.5.1（分区工具） NetworkManager 通知接⼝区的 firewalld 。您可以为接⼝分配区： fi rewall- confi g 图形化⼯具 fi rewall- cmd 命令⾏⼯具 后 三 个 只 能 编 辑 适 当 的 NetworkManager 配 置 ⽂ 件 。 如 果 您 使 ⽤ web 控 制 台 fi rewall- cmd 或 fi rewall- confi g 来 更 改 接 ⼝ 的 区 ， 则 请 求 将 被 转 发 到 NetworkManager ，且不是由 fi rewalld 来处理。 预定义的区存储在 /usr/lib/fi rewalld/zones/ ⽬录中，并可⽴即应⽤到任何可⽤的⽹ 络接⼝。只有在修改后，这些⽂件才会被拷⻉到 /etc/fi rewalld/zones/ ⽬录中 预定区默认配置有： block ：任 何 传 ⼊ 的 ⽹ 络 连 接 都 会 被 拒 绝 ， 并 报 IPv4 的 icmp-host-prohibited 消息和 IPv6 的 icmp6-adm-prohibited 消息 。只有从系统启动的⽹络连接才能进⾏。 dmz ：对于您的⾮企业化区⾥的计算机来说，这些计算机可以被公开访问，且有限访问您的内部 ⽹络。只接受所选的⼊站连接。 drop ：所有传⼊的⽹络数据包都会丢失，没有任何通知。只有外发⽹络连接也是可⾏的。 external ：适⽤于启⽤了伪装的外部⽹络，特别是路由器。您不信任⽹络中的其他计算机不会损害您 的计算机。只接受所选的⼊站连接。 home ：⽤于家⽤，因为您可以信任其他计算机。只接受所选的⼊站连接。 internal ：当您主要信任⽹络中的其他计算机时，供内部⽹络使⽤。只接受所选的⼊站连接。 public ：可⽤于您不信任⽹络中其他计算机的公共区域。只接受所选的⼊站连接。 trusted ：所有⽹络连接都被接受。 work ：可⽤于您主要信任⽹络中其他计算机的⼯作。只接受所选的⼊站连接。 二：防火墙的使用 2.1防火墙的启用 [root@kittod ~ # systemctl unmask firewalld [root@kittod ~ # systemctl start firewalld [root@kittod ~ # systemctl enable firewalld （系统启动时自动启用） 2.2防火墙的停止 [root@kittod ~ # systemctl stop firewalld [root@kittod ~ # systemctl disable firewalld （防止系统启动时自动启动） 2.3 查看防火墙的状态 [root@kittod ~ # firewall- cmd --state [root@kittod ~ # systemctl status firewalld 2.4查看区的状态： [root@kittod ~ # firewall- cmd --list- all（列出默认区的相关信息） [root@kittod ~ # firewall- cmd --list-all-zone=home（列出指定区home的状态） 2.5查看当前区允许哪些服务 [root@kittod ~ # firewall- cmd --list- services 2.6当要禁止网络服务时可以使用以下命令（谨慎使用）： [root@kittod ~ # firewall- cmd --panic-on（启用） [root@kittod ~ # firewall- cmd --query- panic（是否关闭） 启⽤ panic 模式可停⽌所有⽹络流量。因此，只有当您具有对机器的物理访问权限或使⽤ 串⾏控制台登录时，才应使⽤它。 2.7列出所有预定的服务 [root@kittod ~ # firewall- cmd --get-services 2.8检查被允许的服务 [root@kittod ~ # firewall- cmd --get-services 2.9添加允许服务 [root@kittod ~ # firewall- cmd --add-service=http 2.10添加永久服务 [root@kittod ~ # firewall- cmd --runtime- to- permanent 2.11 端口的设置： 2.11.1 列出所有允许端口 [root@kittod ~ # firewall- cmd --list- ports 2.11.2 在允许端口中添加端口 [root@kittod ~ # firewall- cmd --add- port=port- number/port- type 2.11.3删除端口 [root@kittod ~ # firewall- cmd --remove- port=port- number/port- type 2.12 区域 2.12.1 列出可用区域 [root@kittod ~ # firewall- cmd - get- zone 2.12.2 查看所有区的详细信息 [root@kittod ~ # firewall- cmd - list- all- zones 2.12.3 查看特定区的信息 [root@kittod ~ # firewall- cmd - zone=zone- name - list- all 2.12.4 更改特定区的设置 [root@kittod ~ # firewall- cmd --add- service=ssh - zone=public 2.12.5 更改默认区 [root@kittod ~ # firewall- cmd --get- default- zone 2.12.6 设置新的默认区 [root@kittod ~ # firewall- cmd --set- default- zone zone- name 2.13 网络接口分配给区 2.13.1 列出启用区域以及接口 [root@kittod ~]# fi rewall- cmd --get- active- zones 2.13.2 为不同的区分配接口 [root@kittod ~]# firewall- cmd --zone=internal -- change- interface=ens224 [root@kittod ~]# firewall- cmd --get- active- zones（查看） 2.14 使用nmcli为连接分配区域 [root@kittod ~]# nmcli connection modify ens256 connection.zone public [root@kittod ~]# firewall- cmd - get- active- zones 2.15 创建一个区 [root@kittod ~]# firewall- cmd --new- zone=testzone --permanent [root@kittod ~]# firewall- cmd --get- zones [root@kittod ~]# firewall- cmd --reload [root@kittod ~]# firewall- cmd --get- zones 2.16 配置区文件 区配置⽂件包含区的信息。这些区描述、服务、端⼝、协议、icmp-blocks、 masquerade、forward-ports 和丰富的语⾔规则采⽤ XML ⽂件格式。⽂件名必须是 * zone- name* .xml ， 其 中 zone-name 的 ⻓ 度 限 制 为 17 个 字 符 。 区 配 置 ⽂ 件 位 于/usr/lib/fi rewalld/zones/ 和 /etc/fi rewalld/zones/ ⽬录中 [root@kittod ~]# cd /etc/fi rewalld/zones/ [root@kittod zones]# cp public.xml testzone02.xml [root@kittod zones]# fi rewall- cmd - get- zones block dmz drop external home internal nm- shared public testzone trusted work [root@kittod zones]# fi rewall- cmd --reload success [root@kittod zones]# fi rewall- cmd --get- zones block dmz drop external home internal nm- shared public testzone testzone02 trusted work 2.17设定传入区流量的默认行为 ACCEPT :接受除特定规则不允许的所有传⼊的数据包。 REJECT :拒绝所有传⼊的数据包，但特定规则允许的数据包除外。当 fi rewalld 拒绝数据包时，源机器会发出有关拒绝的信息。 DROP :除⾮由特定规则允许，丢弃所有传⼊数据包。当 fi rewalld 丢弃数据包时， 源机器不知道数据包丢弃的信息。 2.17.1 列出特定区的默认目标 [root@kittod ~ # fi rewall- cmd --zone=zone- name --list- all 2.17.2 设置区中的新目标 [root@kittod ~ # fi rewall- cmd --permanent - zone=zone- name --set target= 三：题目 定义两个虚拟主机 node1, node2 1、在 node1 主机上配置 chrony 时间服务器，将该主机作为时间服务器。 2、在 node1 主机上创建防火墙区域 testzone, 将 node1 主机网络接口接入该区域，创建新防火墙服务为 timeservice 3、在 node1 将该防火墙服务 timeservice 定义为允许 chrony 服务通过。 4、在 node2 主机上配置 chrony 时间客户端，该主机将 node1 主机作为时间源服务器 5、配置完防火墙服务之后，node1 和 node2 主机的时间服务器可以正常工作。 创建一个新区： [root@localhost ~]# firewall-cmd --new-zone=testzone --permanent success [root@localhost ~]# firewall-cmd --get-zones block dmz docker drop external home internal nm-shared public trusted work [root@localhost ~]# firewall-cmd --reload success [root@localhost ~]# firewall-cmd --get-zones block dmz docker drop external home internal nm-shared public testzone trusted wor 将网络接口划入分区 [root@localhost ~]# nmcli connection modify ens160 connection.zone testzone [root@localhost ~]# firewall-cmd --get-active-zones testzone interfaces: ens160 创建新的防火墙服务 [root@localhost ~]# firewall-cmd --new-service=timeservice --permanent success [root@localhost ~]# ll /etc/firewalld/services/ total 4 -rw-r--r--. 1 root root 60 Mar 16 00:02 timeservice.xml vim编辑/etc/firewalld/services/： 查看服务端口的命令： [root@localhost services]# netstat -nultp 将服务timeservice放入public zones 永久放行 public target: default icmp-block-inversion: no interfaces: sources: services: cockpit dhcpv6-client ssh timeservice ports: protocols: forward: yes masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 时间配置 vim/etc/chrony.conf： node1 server ntp1.aliyun.com iburst allow 192.168.203.132 node2 server 192.168.203.133 iburst (node1的ip) node2 node1