关于RHEL7中的firewalld

墨蓝 2022-06-18 10:00 198阅读 0赞

## netfilter的概念 ##

linux内核中包含一个强大的网络过滤子系统netfilter。netfilter子系统允许内核模块对遍历系统的每个数据包进行检查。这表示在任何传入、传出或转发的网络数据包到达用户空间中的组件之前，都可以通过编程方式检查、修改、丢弃或拒绝这些数据包。这是在RHEL7上构建防火墙的主要构建模块。

## 与netfilter的交互 ##

尽管系统管理员理论上可以编写自己的内核模块与netfilter交互g，但通常不会这样做。取而代之，会使用其他程序来与netfilter交互。最常见最知名的就是iptables。在先前的RHEL系统版本中，iptables是与内核netfilter子系统交互的主要方法。

iptables命令是一个低级工具，使用该工具正确管理防火墙可能具有挑战性。此外，它仅能调整IPv4防火墙规则。为保证更完整的防火墙覆盖率，需要使用其他实用程序，例如用于IPv6的ip6tables和用于软件桥的ebtables。

## firewalld简介 ##

RHEL7引入一种与netfilter交互的新方法：firewalld。firewalld是一个可以配置和监控系统防火墙规则的系统守护进程。应用可以通过DBus消息系统与firewalld通信以请求打开端口。该守护进程不仅涵盖IPv4、IPv6，还可能涵盖ebtables设置。

firewalld将所有网络流量分为多个区域，从而简化防火墙管理。根据数据包源IP地址或传入网络接口等条件，流量将传入相应区域的防火墙规则。每个区域都有自己的要打开和关闭的端口和服务列表。

对于传入系统的每个数据包，将首先检查其源地址。如果该源地址关联到特定区域，则将分析该区域的规则。如果该源地址未关联到某个区域，则将使用传入网络接口的区域。如果出于某种原因，网络接口未与某个区域关联，则将使用默认区域。默认区域本身不是一个单独的区域；它是其他区域中的一个。默认情况下会使用public区域，但是系统管理员可以更改此默认值。

## firewalld区域默认配置 ##

<table> 
 <thead> 
  <tr> 
   <th>区域名称</th> 
   <th>默认配置</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>trusted</td> 
   <td>允许所有传入流量</td> 
  </tr> 
  <tr> 
   <td>home</td> 
   <td>除非与传出流量相关，或与ssh、mdns 、ipp-client、samba-client或dhcpv6-client预定义服务匹配，否则拒绝传入流量</td> 
  </tr> 
  <tr> 
   <td>internal</td> 
   <td>除非与传出流量相关，或与ssh、mdns 、ipp-client、samba-client或dhcpv6-client预定义服务匹配，否则拒绝传入流量（初始与home区域相同）</td> 
  </tr> 
  <tr> 
   <td>work</td> 
   <td>除非与传出流量相关，或与ssh、ipp-client或dhcpv6-client预定义服务匹配，否则拒绝传入流量</td> 
  </tr> 
  <tr> 
   <td>public</td> 
   <td>除非与传出流量相关，或与ssh或dhcpv6-client预定义服务匹配，否则拒绝传入流量。public是新添加的网络接口的默认区域</td> 
  </tr> 
  <tr> 
   <td>external</td> 
   <td>除非与传出流量相关，或与ssh预定义服务匹配，否则拒绝传入流量。通过此区域转发的IPv4传出流量将进行伪装，以使其看起来像是来自传出网络接口的IPv4地址</td> 
  </tr> 
  <tr> 
   <td>dmz</td> 
   <td>除非与传出流量相关，或与ssh预定义服务匹配，否则拒绝传入流量</td> 
  </tr> 
  <tr> 
   <td>block</td> 
   <td>除非与传出流量相关，否则拒绝所有传入流量</td> 
  </tr> 
  <tr> 
   <td>drop</td> 
   <td>除非与传出流量相关，否则丢弃所有传入流量（甚至不产生包含ICMP错误的响应）</td> 
  </tr> 
 </tbody> 
</table>

有关所有可用预定义区域及其预期用途的列表，可参考帮助文档firewalld.zones(5)

man firewalld.zones 5

## 预定义服务 ##

firewalld还随附一些预定义服务。这些服务定义可用于方便地允许特定网络服务的流量通过防火墙。

<table> 
 <thead> 
  <tr> 
   <th>服务名称</th> 
   <th>配置</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>ssh</td> 
   <td>本地ssh服务器。到22/tcp的流量</td> 
  </tr> 
  <tr> 
   <td>dhcpv6-client</td> 
   <td>本地DHCPv6客户端。到fe80::/64 IPv6网络中546/udp的流量</td> 
  </tr> 
  <tr> 
   <td>ipp-client</td> 
   <td>本地IPP打印。到631/udp的流量</td> 
  </tr> 
  <tr> 
   <td>samba-client</td> 
   <td>本地windows文件和打印共享客户端。到137/udp和138/udp的流量</td> 
  </tr> 
  <tr> 
   <td>mdns</td> 
   <td>多播DNS（mDNS）本地链路名称解析。到5353/udp指向224.0.0.251（IPv4）或ff02::fb（IPv6）多播地址的流量</td> 
  </tr> 
 </tbody> 
</table>

还存在很多其他的预定义服务，可以通过firewall-cmd –get-services命令查看。

## 配置防火墙设置 ##

1 直接编辑配置文件/etc/firewalld/  
2 使用firewall-config图形工具  
通过这个图形工具，可以更改和检查firewalld内存中的配置（Runtime），也可以修改磁盘上的持久配置（Permanent）  
3 使用firewall-cmd命令