Linux防火墙配置说明

1. iptable：在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

在进行路由选择前处理数据包（PREROUTING）；

处理流入的数据包（INPUT）；

处理流出的数据包（OUTPUT）；

处理转发的数据包（FORWARD）；

在进行路由选择后处理数据包（POSTROUTING）。

一般来说，从内网向外网发送的流量一般都是可控且良性的，因此使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网入侵内网的难度。

iptables是一款基于命令行的防火墙策略管理工具，具有大量参数

根据OSI七层模型的定义，iptables属于是数据链路层的服务，所以可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量

参数 作用

-P 设置默认策略

-F 清空规则链

-L 查看规则链

-A 在规则链的末尾加入新规则

-I num 在规则链的头部加入新规则

-D num 删除某一条规则

-s 匹配来源地址IP/MASK，加叹号“!”表示除这个IP外

-d 匹配目标地址

-i 网卡名称 匹配从这块网卡流入的数据

-o 网卡名称 匹配从这块网卡流出的数据

-p 匹配协议，如TCP、UDP、ICMP

--dport num 匹配目标端口号

--sport num 匹配来源端口号

2. Firewalld：firewalld（Dynamic Firewall Manager of Linux systems）服务是默认的防火墙配置管理工具，也叫Linux系统的动态防火墙管理器，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。

firewalld中常用的区域名称及策略规则

区域 默认规则策略

trusted 允许所有的数据包

home 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量

internal 等同于home区域

work 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量

public 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量

external 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量

dmz 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量

block 拒绝流入的流量，除非与流出的流量相关

drop 拒绝流入的流量，除非与流出的流量相关

firewall-cmd是firewalld防火墙配置管理工具的CLI命令行界面版本

firewall-cmd命令中使用的参数以及作用

参数 作用

--get-default-zone 查询默认的区域名称

--set-default-zone=<区域名称> 设置默认的区域，使其永久生效

--get-zones 显示可用的区域

--get-services 显示预先定义的服务

--get-active-zones 显示当前正在使用的区域与网卡名称

--add-source= 将源自此IP或子网的流量导向指定的区域

--remove-source= 不再将源自此IP或子网的流量导向某个指定区域

--add-interface=<网卡名称> 将源自该网卡的所有流量都导向某个指定区域

--change-interface=<网卡名称> 将某个网卡与区域进行关联

--list-all 显示当前区域的网卡配置参数、资源、端口以及服务等

--list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等

--add-service=<服务名> 设置默认区域允许该服务的流量

--add-port=<端口号/协议> 设置默认区域允许该端口的流量

--remove-service=<服务名> 设置默认区域不再允许该服务的流量

--remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量

--reload “永久生效”配置规则立即生效，并覆盖当前的配置规则

--panic-on 开启应急状况模式

--panic-off 关闭应急状况模式

RHEL8安装firewalld图形化界面

yum install firewall-config