Linux 防火墙之 firewalld 的基本使用

左手的ㄟ右手 2023-02-16 04:27 11阅读 0赞

> 本文同步发表于我的微信公众号，扫一扫文章底部的二维码或在微信搜索 chaodev 即可关注。

**firewalld**（Dynamic Firewall Manager of Linux System，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。在比较新的系统中，firewalld 防火墙已经取代了 iptables 防火墙。

#### 一、 防火墙启用和关闭 ####

大部分系统已经自带了 firewalld 防火墙，如果未安装，执行如下命令安装

yum install firewalld

查看firewalld 防火墙版本

firewall-cmd --version

启用或关闭防火墙

#启动 firewalld
    systemctl start firewalld
    #关闭 firewalld 
    systemctl stop firewalld
    #查看防火墙状态
    systemctl status firewalld

#设置开机启用防火墙
    systemctl disable firewalld
    #设置开机禁用防火墙
    systemctl enable firewalld

#### 二、 策略规则 ####

firewalld 支持动态更新技术并加入了区域（zone）的概念。也就是 firewalld 预先准备了几套防火墙策略集合（策略模板），我们可以根据场景自行选择，从而实现防火墙策略的快速切换。

firewalld 常见的区域名称（默认为 public）以及相应的策略规则如下：

<table> 
 <thead> 
  <tr> 
   <th>区域</th> 
   <th>默认策略规则</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>trusted</td> 
   <td>允许所有的数据包</td> 
  </tr> 
  <tr> 
   <td>home</td> 
   <td>拒绝流入的流量，除非和流出的流量相关；而如果流量与 ssh、mdns、ipp-client、amba-client 与dhcpv6-client 服务相关，则允许流量。</td> 
  </tr> 
  <tr> 
   <td>internal</td> 
   <td>等同于 home 区域</td> 
  </tr> 
  <tr> 
   <td>work</td> 
   <td>拒绝流入的流量，除非和流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量。</td> 
  </tr> 
  <tr> 
   <td>public</td> 
   <td>拒绝流入的流量，除非和流出的流量相关；而如果流量与ssh与dhcpv6-client服务相关，则允许流量。</td> 
  </tr> 
  <tr> 
   <td>external</td> 
   <td>拒绝流入的流量，除非和流出的流量相关；而如果流量与ssh服务相关，则允许流量。</td> 
  </tr> 
  <tr> 
   <td>dmz</td> 
   <td>拒绝流入的流量，除非和流出的流量相关；而如果流量与ssh服务相关，则允许流量。</td> 
  </tr> 
  <tr> 
   <td>block</td> 
   <td>拒绝流入的流量，除非和流出的流量相关</td> 
  </tr> 
  <tr> 
   <td>drop</td> 
   <td>拒绝流入的流量，除非和流出的流量相关</td> 
  </tr> 
 </tbody> 
</table>

#### 三、 终端管理工具 ####

**firewall-cmd** 是 firewalld 防火墙配置管理工具的 CLI 版本，也就是命令行界面版本。

firewall-cmd 命令中使用的参数以及作用如下表所示。

<table> 
 <thead> 
  <tr> 
   <th>参数</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>–get-default-zone</td> 
   <td>查询默认的区域名称</td> 
  </tr> 
  <tr> 
   <td>–set-default-zone=&lt;区域名称&gt;</td> 
   <td>设置默认的区域，使其永久生效</td> 
  </tr> 
  <tr> 
   <td>–get-zones</td> 
   <td>显示可用的区域</td> 
  </tr> 
  <tr> 
   <td>–get-services</td> 
   <td>显示预先定义的服务</td> 
  </tr> 
  <tr> 
   <td>–get-active-zones</td> 
   <td>显示当前正在使用的区域与网卡名称</td> 
  </tr> 
  <tr> 
   <td>–add-source=</td> 
   <td>将源自此IP或子网的流量导向指定区域</td> 
  </tr> 
  <tr> 
   <td>–remove-source=</td> 
   <td>不再将源自此IP或子网的流量导向某个指定区域</td> 
  </tr> 
  <tr> 
   <td>–add-interface=&lt;网卡名称&gt;</td> 
   <td>将源自此网卡的所有流量都导向某个指定区域</td> 
  </tr> 
  <tr> 
   <td>–change-interface=&lt;网卡名称&gt;</td> 
   <td>将某个网卡与区域进行关联</td> 
  </tr> 
  <tr> 
   <td>–list-all</td> 
   <td>显示当前区域的网卡配置参数、资源、端口以及服务等信息。</td> 
  </tr> 
  <tr> 
   <td>–list-all-zones</td> 
   <td>显示所有区域的网卡配置参数、资源、端口以及服务等信息。</td> 
  </tr> 
  <tr> 
   <td>–add-service=&lt;服务名&gt;</td> 
   <td>设置默认区域允许该服务的流量</td> 
  </tr> 
  <tr> 
   <td>–add-port=&lt;端口号/协议&gt;</td> 
   <td>设置默认区域允许改端口的流量</td> 
  </tr> 
  <tr> 
   <td>–remove-service=&lt;服务名&gt;</td> 
   <td>设置默认区域不再允许该服务的流量</td> 
  </tr> 
  <tr> 
   <td>–remove-port=&lt;端口号/协议&gt;</td> 
   <td>设置默认区域不再允许该端口的流量</td> 
  </tr> 
  <tr> 
   <td>–reload</td> 
   <td>让“永久生效”配置规则立即生效，并覆盖当前的配置规则</td> 
  </tr> 
  <tr> 
   <td>–panic-on</td> 
   <td>开启应急状况模式</td> 
  </tr> 
  <tr> 
   <td>–panic-off</td> 
   <td>关闭应急状况模式</td> 
  </tr> 
 </tbody> 
</table>

更多信息可使用 firewall-cmd --help 查看，如下  
![firewall-cmd--help.png][]

#### 四、 具体示例 ####

**1、查看 firewalld 服务当前所使用的区域**

firewall-cmd --get-default-zone

![get-default-zone.png][]

**2、查看当前正在使用的区域和网卡名称**

[root@localhost ~]# firewall-cmd --get-active-zones
     public
     interfaces: eno16777736

**3、查看可用的区域**

firewall-cmd --get-zones

![get-zones.png][]

**4、查看预先定义的服务**

[root@localhost ~]# firewall-cmd --get-services
    RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp
     high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd
     ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client 
    smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-https

**5、查看当前区域的网卡配置参数、资源、端口以及服务等信息**

[root@localhost ~]# firewall-cmd --list-all
    public (default, active)
     interfaces: eno16777736
     sources:
     services: dhcpv6-client ssh
     ports:
     masquerade: no
     forward-ports:
     icmp-blocks:
     rich rules:

**6、查询 eno16777736 网卡在 firewalld 服务中的区域**

firewall-cmd --get-zone-of-interface=eno16777736

![get-zone-of-itfceno16777736.png][]

**7、把网卡 eno16777736 的默认区域修改为 external，并在系统重启后生效。然后分别查看在当前模式和永久模式下的区域名称。**

[root@localhost ~]# firewall-cmd --permanent --zone=external --change-interface=eno16777736
    success
    [root@localhost ~]# firewall-cmd --get-zone-of-interface=eno16777736
    public
    [root@localhost ~]# firewall-cmd --permanent --get-zone-of-interface=eno16777736
    external

![change-intfc-permanent.png][]

**8、把 firewalld 服务的当前默认区域设置为 public**

[root@localhost ~]# firewall-cmd --set-default-zone=public
    success
    [root@localhost ~]# firewall-cmd --get-default-zone
    public

![set-default-zone.png][]

**9、查询 public 区域是否允许请求 SSH 和 HTTPS 协议的流量**

[root@localhost ~]# firewall-cmd --zone=public --query-service=ssh
    yes
    [root@localhost ~]# firewall-cmd --zone=public --query-service=https
    no

![query-service-sshhttps.png][]

**10、把 firewalld 服务中请求 HTTPS 协议的流量设置为永久允许，并立即生效**

[root@localhost ~]# firewall-cmd --zone=public --add-service=https              
    success
    [root@localhost ~]# firewall-cmd --zone=public --permanent --add-service=https  
    success
    [root@localhost ~]# firewall-cmd --reload
    success

![add-service-https.png][]

**11、把 firewalld 服务中请求 HTTPS 协议的流量设置为永久拒绝，并立即生效**

[root@localhost ~]# firewall-cmd --zone=public --permanent --remove-service=https
    success
    [root@localhost ~]# firewall-cmd --reload
    success
    [root@localhost ~]# firewall-cmd --zone=public --permanent --query-service=https
    no

![remove-service-https.png][]

**12、把在 firewalld 服务中访问 8080 和 8081 端口的流量策略设置为允许，但仅限当前生效。**

[root@localhost ~]# firewall-cmd --zone=public --add-port=8080-8081/tcp
    success
    [root@localhost ~]# firewall-cmd --zone=public --list-ports
    8080-8081/tcp

![addport.png][]

**13、把原本访问本机 888 端口的流量转发到 22 端口，当前和长期均有效。**

流量转发命令的格式为：firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>

[root@localhost ~]# firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.157.133
    success
    [root@localhost ~]# firewall-cmd --reload
    success

然后在客户端使用 ssh 命令访问 192.168.157.133 的 888 端口，如下

![ssh133-888.png][]

**14、启动或关闭 firewalld 防火墙服务的应急状况模式，阻断一切网络连接。**

[root@localhost ~]# firewall-cmd --panic-on
    success
    [root@localhost ~]# firewall-cmd --panic-off
    success

注：远程连接服务器时谨慎使用。

**15、开放 8080 端口，永久生效。**

#永久开放8080端口
    firewall-cmd --add-port=8080/tcp --permanent --zone=public
    #重启防火墙(修改配置后要重启防火墙)
    firewall-cmd --reload

**16、关闭 8080 端口，永久生效。**

#关闭8080端口
    firewall-cmd --remove-port=8080/tcp --permanent --zone=public
    #重启防火墙(修改配置后要重启防火墙)
    firewall-cmd --reload

**17、查看所有已开放的端口。**

[root@localhost oracle]# firewall-cmd --zone=public --list-ports
    1521/tcp 8066/tcp 8080/tcp 8082/tcp

测试端口是否可正常访问，可在windows命令行使用 telnet 命令，格式如下：

telnet ip 端口

注：如果用的是云服务器，比如阿里云，只配置 firewalld 还不行，还需要登录阿里云后台，修改安全组策略。

#### 五、 策略永久生效 ####

使用 firewalld 配置的防火墙策略默认为运行时（Runtime）模式，随着系统的重启会失效。

如果想让配置一直存在，就需要使用永久（Permanent）模式，方法就是在用 firewall-cmd 命令时添加 **–permanent** 参数，设置之后需要执行 firewall-cmd –reload 命令重启，如下

#永久开放6379端口
    firewall-cmd --add-port=6379/tcp --permanent --zone=public
    #重启防火墙(修改配置后要重启防火墙)
    firewall-cmd --reload

#### 六、 防火墙富规则 ####

firewalld 中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置, 优先级在所有的防火墙策略中也是最高的。

常用命令如下：

<table> 
 <thead> 
  <tr> 
   <th>参数</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>–add-rich-rule=‘rule’</td> 
   <td>向指定区域中添加rule</td> 
  </tr> 
  <tr> 
   <td>–remove-rich-rule=‘rule’</td> 
   <td>从指定区域删除rule</td> 
  </tr> 
  <tr> 
   <td>–query-rich-rule=‘rule’</td> 
   <td>查询rule是否添加到指定区域，如果存在则返回0，否则返回1</td> 
  </tr> 
  <tr> 
   <td>–list-rich-rules</td> 
   <td>输出指定区域的所有富规则</td> 
  </tr> 
 </tbody> 
</table>

示例：  
在 firewalld 服务中配置一条富规则，使其拒绝 192.168.157.0/24 网段的所有用户访问本机的 ssh 服务（22端口）。

[root@localhost LJHD]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.157.0/24" service name="ssh" reject"
    success
    [root@localhost LJHD]# firewall-cmd --reload
    success

在客户端使用ssh命令访问192.168.157.133的ssh服务（22端口），如下

[root@localhost ~]# ssh 192.168.157.133
    ssh: connect to host 192.168.157.133 port 22: Connection refused

查看指定区域的所有富规则

[root@localhost LJHD]# firewall-cmd --zone=public --list-rich-rules
    rule family="ipv4" source address="192.168.157.0/24" service name="ssh" reject

删除富规则 firewall-cmd --remove-rich-rule “xxx” --permanent ，xxx 代表已经创建好的完整富规则内容。

[root@localhost ~]# firewall-cmd --list-rich-rules
    rule family="ipv4" source address="192.168.157.0/24" service name="ssh" reject
    [root@localhost ~]# firewall-cmd --remove-rich-rule "rule family="ipv4" source address="192.168.157.0/24" service name="ssh" reject" --permanent
    success
    [root@localhost ~]# firewall-cmd --reload
    success

--------------------

> 微信扫一扫下方二维码即可关注我的公众号  
> ![201911051045512.jpg][]

[firewall-cmd--help.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC1kYWNkYWYzN2QxMDg2ZTljLnBuZw?x-oss-process=image/format,png
[get-default-zone.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC1mNGQwN2NhOGU4MWY4MmJlLnBuZw?x-oss-process=image/format,png
[get-zones.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC0zY2EwM2U0NTNiODkxNDE1LnBuZw?x-oss-process=image/format,png
[get-zone-of-itfceno16777736.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC00ZjNjMjNmZDFjMjJjYzc4LnBuZw?x-oss-process=image/format,png
[change-intfc-permanent.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC0xOTk3ZDAwZjNjNmZmZDM2LnBuZw?x-oss-process=image/format,png
[set-default-zone.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC1jNGQwNGJmMWU1YTY0MzRmLnBuZw?x-oss-process=image/format,png
[query-service-sshhttps.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC1hOTE1YjdkNzczYTY4MWQwLnBuZw?x-oss-process=image/format,png
[add-service-https.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC03YzIzNjJjOWMwM2Q0Y2ZlLnBuZw?x-oss-process=image/format,png
[remove-service-https.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC00MTRhNmJkZjZmYTRjMjhlLnBuZw?x-oss-process=image/format,png
[addport.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC1jNjhkZGIzYzE5MzhiMDZjLnBuZw?x-oss-process=image/format,png
[ssh133-888.png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xMTYxMDE0OC01OGRlNmViOWU3MWM3MDY3LnBuZw?x-oss-process=image/format,png
[201911051045512.jpg]: https://img-blog.csdnimg.cn/201911051045512.jpg