[技术干货] Linux防火墙配置说明

[复制链接]
乐维 发表于 2021-7-8 10:57:27 | 显示全部楼层 |阅读模式 打印 上一主题 下一主题
1. iptable:在早期的Linux系统中,默认使用的是iptables防火墙管理服务来配置防火墙。
iptables服务把用于处理或过滤流量的策略条目称之为规则,多条规则可以组成一个规则链,而规则链则依据数据包处理位置的不同进行分类,具体如下:
在进行路由选择前处理数据包(PREROUTING);
处理流入的数据包(INPUT);
处理流出的数据包(OUTPUT);
处理转发的数据包(FORWARD);
在进行路由选择后处理数据包(POSTROUTING)。
一般来说,从内网向外网发送的流量一般都是可控且良性的,因此使用最多的就是INPUT规则链,该规则链可以增大黑客人员从外网入侵内网的难度。
iptables是一款基于命令行的防火墙策略管理工具,具有大量参数
根据OSI七层模型的定义,iptables属于是数据链路层的服务,所以可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配,一旦匹配成功,iptables就会根据策略规则所预设的动作来处理这些流量
参数                        作用
-P                                设置默认策略
-F                                清空规则链
-L                                查看规则链
-A                                在规则链的末尾加入新规则
-I num                        在规则链的头部加入新规则
-D num                        删除某一条规则
-s                                匹配来源地址IP/MASK,加叹号“!”表示除这个IP外
-d                                匹配目标地址
-i                                 网卡名称        匹配从这块网卡流入的数据
-o                                 网卡名称        匹配从这块网卡流出的数据
-p                                匹配协议,如TCP、UDP、ICMP
--dport num                匹配目标端口号
--sport num                匹配来源端口号
2. Firewalldfirewalld(Dynamic Firewall Manager of Linux systems)服务是默认的防火墙配置管理工具,也叫Linux系统的动态防火墙管理器,它拥有基于CLI(命令行界面)和基于GUI(图形用户界面)的两种管理方式。
相较于传统的防火墙管理配置工具,firewalld支持动态更新技术并加入了区域(zone)的概念。简单来说,区域就是firewalld预先准备了几套防火墙策略集合(策略模板),用户可以根据生产场景的不同而选择合适的策略集合,从而实现防火墙策略之间的快速切换。
firewalld中常用的区域名称及策略规则
区域                                默认规则策略
trusted                                允许所有的数据包
home                                拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关,则允许流量
internal                                等同于home区域
work                                拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、ipp-client与dhcpv6-client服务相关,则允许流量
public                                拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、dhcpv6-client服务相关,则允许流量
external                                拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
dmz                                        拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
block                                拒绝流入的流量,除非与流出的流量相关
drop                                拒绝流入的流量,除非与流出的流量相关
firewall-cmd是firewalld防火墙配置管理工具的CLI命令行界面版本
firewall-cmd命令中使用的参数以及作用
参数                                                        作用
--get-default-zone                                查询默认的区域名称
--set-default-zone=<区域名称>        设置默认的区域,使其永久生效
--get-zones                                                显示可用的区域
--get-services                                        显示预先定义的服务
--get-active-zones                                显示当前正在使用的区域与网卡名称
--add-source=                                        将源自此IP或子网的流量导向指定的区域
--remove-source=                                不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称>                将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称>        将某个网卡与区域进行关联
--list-all                                                        显示当前区域的网卡配置参数、资源、端口以及服务等
--list-all-zones                                        显示所有区域的网卡配置参数、资源、端口以及服务等
--add-service=<服务名>                        设置默认区域允许该服务的流量
--add-port=<端口号/协议>                设置默认区域允许该端口的流量
--remove-service=<服务名>                设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议>                设置默认区域不再允许该端口的流量
--reload                                                        “永久生效”配置规则立即生效,并覆盖当前的配置规则
--panic-on                                                开启应急状况模式
--panic-off                                                关闭应急状况模式
RHEL8安装firewalld图形化界面
yum install firewall-config





上一篇:常用mysql语句整理
下一篇:alisql安装教程
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

关注0

粉丝0

帖子366

发布主题
最新发布

乐维社区

微信公众号

版权所有 © 2016-2021 九一乐维丨粤ICP备17007026号