运维开发网
广告位招商联系QQ:123077622
 
广告位招商联系QQ:123077622

CentOS7上的FirewallD 简明使用说明

运维开发网 https://www.qedev.com 2020-08-12 13:08 出处:51CTO 作者:品鉴初心
说明这里已经对CentOS7和ReadHat7的firewalld配置验证了。FirewallD是iptables的前端控制器,用于实现持久的网络流量规则。它提供命令行和图形界面,在大多数Linux发行版的仓库中都有。与直接控制iptables相比,使用FirewallD有两个主要区别:(1)FirewallD使用区域和服务而不是链式规则;(2)它动态管理规则集,允许更新规则而不破坏现有会话和连接

说明

这里已经对 CentOS7 和 ReadHat7 的firewalld配置验证了。

FirewallDiptables的前端控制器,用于实现持久的网络流量规则。它提供命令行和图形界面,在大多数 Linux 发行版的仓库中都有。与直接控制 iptables 相比,使用 FirewallD 有两个主要区别:

(1)FirewallD 使用区域和服务而不是链式规则;

(2)它动态管理规则集,允许更新规则而不破坏现有会话和连接;

本文重点讲解下firewalld的一些使用场景,更多FirewallD基本介绍,详见传送门

需求说明

推荐系统所在机器资源信息(白名单):

所属平台 机器IP 机器品牌 系统版本
智能推荐平台(REC60) 192.168.246.60 HW2280 ReadHat7.6
智能推荐平台(REC61) 192.168.246.61 HW2280 ReadHat7.6
智能推荐平台(REC62) 192.168.246.62 HW2280 ReadHat7.6
智能推荐平台(REC63) 192.168.246.63 HW2280 ReadHat7.6
智能推荐平台(REC64) 192.168.246.64 HW2280 ReadHat7.6

要求:设置CentOS 7防火墙,以便除我白名单中的原始IP地址外,所有传入请求都将被阻止。对于白名单IP地址,所有端口都应可访问。

firewall 防火墙规则如下:

## public所在区域的IP来源
firewall-cmd --permanent --zone=public --list-sources
## 添加public所在区域的IP来源,这里是 192.168.246.60
firewall-cmd --permanent --zone=public --add-source=192.168.246.60
## 允许192.168.246.60访问所有端口
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.246.60" accept' --permanent
firewall-cmd --permanent --zone=public --add-source=192.168.246.61
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.246.61" accept' --permanent
firewall-cmd --permanent --zone=public --add-source=192.168.246.62
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.246.62" accept' --permanent
firewall-cmd --permanent --zone=public --add-source=192.168.246.63
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.246.63" accept' --permanent
firewall-cmd --permanent --zone=public --add-source=192.168.246.64
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.246.64" accept' --permanent
## 加载firewalld规则
firewall-cmd --reload
## 查看public区域下所有信息
firewall-cmd --zone=public --list-all

安装、启用、关闭firewalld(非必需)

如果系统上已经安装有firewalld,请忽略此步骤:

## 安装firewalld
yum install firewalld firewall-config
## 启动服务
systemctl start  firewalld
## 开机自动启动服务
systemctl enable firewalld
## 查看状态
systemctl status firewalld
firewall-cmd --state
## 关闭服务
systemctl stop firewalld
## 取消开机启动
systemctl disable firewalld

防火墙规则说明

一些常用基本的命令

## 查看状态:
firewall-cmd --state        ## 输出应该是 running 或者 not running
## 重新加载配置:
firewall-cmd --reload
# 防火墙的区域
## 获取所有区域:
firewall-cmd --get-zones    ## 输出 work drop internal external trusted home dmz public block
## 查看默认区域:
firewall-cmd --get-default-zone
## 修改默认区域:
firewall-cmd --set-default-zone=internal
## 查看你网络接口使用的区域:
firewall-cmd --get-active-zones
## 要得到特定区域的所有配置:
firewall-cmd --zone=public --list-all
## 要得到所有区域的配置: 
firewall-cmd --list-all-zones

开启或关闭端口和服务

## 比如:允许或者禁用 12345 端口的 TCP 流量。
firewall-cmd --zone=public --add-port=12345/tcp --permanent
firewall-cmd --zone=public --remove-port=12345/tcp --permanent
## 批量添加或者移除区间端口
firewall-cmd --zone=public --add-port=4400-4600/udp --permanent
firewall-cmd --zone=public --add-port=4400-4600/tcp --permanent
firewall-cmd --zone=public --remove-port=4400-4600/udp --permanent
firewall-cmd --zone=public --remove-port=4400-4600/tcp --permanent
## 查看默认的可用服务:
firewall-cmd --get-services
## 比如,要启用或禁用 HTTP 服务: 
firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --zone=public --remove-service=http --permanent
## 重新加载配置:
firewall-cmd --reload
## 查看端口列表
firewall-cmd --permanent --list-port

说明⚠️:

(1)默认情况下,firewall-cmd 命令适用于运行时配置,但使用 --permanent 标志将保存到持久配置中。

(2)如果要通过上面命令添加任何端口或服务,则所有来源都可以访问它!!!

高级配置

一些使用的例子:

更多实例可以参考传送门

## 允许来自主机 192.168.0.14 的所有 IPv4 流量和所有端口:
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address=192.168.0.14 accept' --permanent
## 移除 192.168.0.14 所有访问所有端口
firewall-cmd --zone=public --remove-rich-rule 'rule family="ipv4" source address=192.168.0.14 accept' --permanent
## 拒绝来自主机 192.168.1.10 到 22 端口的 IPv4 的 TCP 流量:
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject'
## 允许192.168.2.0/24(0-255)网段访问所有端口
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.2.0/24" accept' --permanent

关于 firewall 使用注意点

(1)我们有时候使用firewall来处理docker的流量时,发现并不能起到效果,具体原因可见传送门;

(2)使用firewall防火墙可屏蔽除指定IP外的所有IP,具体可参考传送门

扫码领视频副本.gif

0

精彩评论

暂无评论...
验证码 换一张
取 消

关注公众号