为什么选择Firewalld?
Firewalld是centos7的一大特性,最大的好处有两个:支持动态更新,不用重启服务;第二个就是加入了防火墙的“zone”概念 ,实现多个区域的使用不同的规则。firewalld有图形界面和工具界面,由于我在服务器上使用,图形界面请参照官方文档,本文以字符界面做介绍。
以下记录来自Centos7.2系统:
firewalld 防火墙常用命令:
安装方法:
yum install firewalld firewall-config -y
使用tab键补全命令提示:
yum -y install bash-completion
图形界面:firewall-config
启动方法:
systemctl start firewalld
systemctl enable firewalld
查看运行状态:
systemctl status firewalld
Firewalld所有的配置及查看方法都通过命令firewalld-cmd [参数]来完成。
查看规则列表[所有]
firewall-cmd --list-all
只列出通过端口添加的规则
firewall-cmd --list-ports
查看指定区域(public)的以端口方式添加的规则
firewall-cmd --zone=public --list-ports
只列出通过服务名添加的规则[默认当前激活的公共区域]
firewall-cmd --list-services
查看指定区域(public)的以服务名添加的规则
firewall-cmd --zone=public --list-services
查看所有区域的规则情况
firewall-cmd --list-all-zones
查看firewalldl默认支持的所有服务名列表
firewall-cmd --get-services
说明:firewall-cmd --reload
–reload 命令会删除所有运行时配置并应用永久配置。因为 firewalld 动态管理规则集,所以它不会破坏现有的连接和会话。
添加常用服务,会添加到默认的区域
以下四个规则重启服务会消失,只能临时生效,也是立刻生效的,如果要永久保存的规则就要添加参数:
–permanent,添加此参数后不会立刻生效。需要重载或重启服务才生效。
firewall-cmd --add-service=ftp #开放 ftp 服务规则
firewall-cmd --add-service=mysql # 开放mysql端口规则
firewall-cmd --add-service=http # 开放http端口规则
firewall-cmd --add-service=ssh # 开放ssh端口规则
临时添加常用端口,默认会添加到默认的区域
firewall-cmd --add-port=3306/tcp # 开放tcp访问3306规则
firewall-cmd --add-port=22/tcp # 开放tcp访问22规则
firewall-cmd --add-port=80/tcp # 开放tcp访问80规则
firewall-cmd --add-port=443/tcp # 开放tcp访问443规则
firewall-cmd --zone=public --add-port=4990-4999/udp #添加4990-4999 udp端口
永久添加常用端口,默认会添加到默认的区域
firewall-cmd --add-port=3306/tcp --permanent # 开放tcp访问3306规则
firewall-cmd --add-port=22/tcp --permanent# 开放tcp访问22规则
firewall-cmd --add-port=80/tcp --permanent# 开放tcp访问80规则
firewall-cmd --add-port=443/tcp --permanent# 开放tcp访问443规则
firewall-cmd --zone=public --add-port=4990-4999/udp --permanent#添加4990-4999 udp端口
放行GRE Tunnel
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -p gre -j ACCEPT --permanent
移除规则
firewall-cmd --remove-service=http # 移除http端口规则
firewall-cmd --remove-port=80tcp # 移除通过tcp访问3306规则
firewall-cmd --add-port=233/udp # 开放通过udp访问233规则
永久关闭 ftp 服务: 删除、移除
firewall-cmd --remove-service=ftp --permanent
查询服务的启用状态[返回值yes/no]
firewall-cmd --query-service ftp
临时将同一台服务器上80端口的流量转发至8080
firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080
永久将同一台服务器上80端口的流量转发至8080
firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 --permanent
查看效果:
[root@centos-test03-0001 ~]# firewall-cmd --list-all
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources:
services: dhcpv6-client ssh
ports: 8001/tcp
protocols:
masquerade: no
forward-ports: port=80:proto=tcp:toport=8080:toaddr=
sourceports:
icmp-blocks:
rich rules:
如果要将端口转发到另外一台服务器上,在需要的区域中激活 masquerade
firewall-cmd --zone=public --add-masquerade
添加转发规则。
例子中是将本地的80端口的流量转发到IP地址为:10.0.10.15 的远程服务器上的8080端口。
firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=10.0.10.15
伪装IP
防火墙可以实现伪装IP的功能,下面的端口转发就会用到这个功能。
firewall-cmd --query-masquerade # 检查是否允许伪装IP
firewall-cmd --add-masquerade # 允许防火墙伪装IP
firewall-cmd --remove-masquerade # 禁止防火墙伪装IP
防火墙的区域:zone
区域”是针对给定位置或场景(例如家庭、公共、受信任等)可能具有的各种信任级别的预构建规则集。不同的区域允许不同的网络服务和入站流量类型,而拒绝其他任何流量。 首次启用 FirewallD 后,public 将是默认区域。
区域也可以用于不同的网络接口。例如,要分离内部网络和互联网的接口,你可以在 internal 区域上允许 DHCP,但在external 区域仅允许 HTTP 和 SSH。未明确设置为特定区域的任何接口将添加到默认区域。
查看所有区域中的配置:
firewall-cmd --list-all-zones
查看当前系统中默认使用哪个区域:
firewall-cmd --get-default-zone
显示当前系统网络接口使用哪个区域:
firewall-cmd --get-active-zones
修改默认区域:使用tab键会显示有哪些区域
[root@k8s-node1 ~]# firewall-cmd --set-default-zone=internal
block dmz drop external home internal public trusted work
修改后即时生效,而且reload、重启后也是生效的。
获取指定区域的所有配置
firewall-cmd --zone=public --list-all
如果有多个网络接口可以通过此方法配置:
firewall-cmd --zone=home --change-interface=eth0
设置区域为home的接口为eth0
危险命令:[立即生效]
拒绝所有包:firewall-cmd --panic-on
取消拒绝状态: firewall-cmd --panic-off
查看是否拒绝: firewall-cmd --query-panic
如果是远程的机器执行上面的规则会立刻断开网络连接,必须紧记不能随便执行。如果你只是虚拟机或者物理机器登陆就可以执行来调试。
如果防火墙配置了规则很多如果清空规则呢?firewalld默认没有命令来清空规则。但是我们可以通过编辑配置文件来清除规则。
/etc/firewalld/zones/ 此处为配置生效后保存的配置文件,一般建议修改前先备份。
修改完重启服务或者重载服务。
所有的默认规则都可以在此目录找到:
/usr/lib/firewalld/
简单的方法就是复制默认目录下的规则到配置目录下:
cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/
配置文件中包含了服务名,端口,还有就是服务的相关说明,需要注意的时表示服务,表示区域,它们都是按目录进行了区分的。
[root@openresty zones]# cat /usr/lib/firewalld/services/ssh.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
<short>SSH</short>
<description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
<port protocol="tcp" port="22"/>
</service>
上面的方法都是添加允许通过防火墙的规则。那么怎么添加拒绝的呢?
添加禁止响应ping
firewall-cmd --permanent --add-rich-rule='rule protocol value=icmp drop'
如何查看是否有此规则[等号后面跟详细的名称]
firewall-cmd --query-rich-rule='rule protocol value='icmp' drop'
删除方法:
firewall-cmd --remove-rich-rule='rule protocol value=icmp drop'
添加拒绝某个IP访问ssh端口。
firewall-cmd --add-rich-rule "rule family=ipv4 source address=10.0.10.1 service name='ssh' reject"
我更喜欢直接丢弃:
firewall-cmd --add-rich-rule "rule family=ipv4 source address=10.0.10.1 service name='ssh' drop"
说明:
rule :规则
family:ipv4 指定ipv4的地址
source address=10.0.10.1 要拒绝的IP,可以是IP或者是IP段
service name=’ssh’指定的是ssh服务
drop :就是此条规则的执行方法是丢弃
也可以这样写
firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.10.1 port port=22 protocol=tcp reject'
如果要放行直接修改后面的reject为accept即可。
======================================================
表示允许来自此IP允许通过防火墙
firewall-cmd --add-rich-rule='rule family="ipv4" source address="10.0.10.1" accept'
允许一个IP(10.0.10.1)仅能通过指定端口(8080-8090)访问到目标(10.0.10.13):
firewall-cmd --add-rich-rule='rule family="ipv4" source address="10.0.10.1" destination address="10.0.10.13/32" port port="8080-8090" protocol="tcp" accept'
如果要移除规则相对麻烦些,要输入后面详细的记录:
firewall-cmd --remove-rich-rule='rule family="ipv4" source address="10.0.10.1" destination address="10.0.10.13/32" port port="80" protocol="tcp" accept'
不过发现它这个引号和单引号不像shell 那样要求非常严格,只要是对应出现就好了。
最后说明:
如果规则中没有加入参数:—permanent都是即时生效的,而且reload或者重启服务后都不会再有记录。
而加入了参数:—permanent后需要手动reload或者重启服务才生效。 同时可以加入—zone 应用于于哪个区域的参数。