Firewalld 是一款提供 D-Bus 接口从而支持动态管理的防火墙守护进程。

官方文档地址:

官方文档地址:

参考
http://www.ibm.com/developerworks/cn/linux/1507\_caojh/

1、firewalld的基本使用
启动: systemctl start firewalld
查看状态: systemctl status firewalld
停止: systemctl disable firewalld
禁用: systemctl stop firewalld

Firewalld 由 Red Hat 的 Thomas Woerner 为 Fedora 开发,在 Fedora 15
中将可以使用但不会成为默认!)测试,目的是取代目前
system-config-firewall 的静态防火墙配置。它的特点是

 

一、firewalld

  • 启动

2.systemctl是CentOS7的服务管理工具中主要的工具,它融合之前service和chkconfig的功能于一体。
启动一个服务:systemctl start firewalld.service
关闭一个服务:systemctl stop firewalld.service
重启一个服务:systemctl restart firewalld.service
显示一个服务的状态:systemctl status firewalld.service
在开机时启用一个服务:systemctl enable firewalld.service
在开机时禁用一个服务:systemctl disable firewalld.service
查看服务是否开机启动:systemctl is-enabled firewalld.service
查看已启动的服务列表:systemctl list-unit-files|grep enabled
查看启动失败的服务列表:systemctl –failed

该守护进程目前具有以下功能:

1、firewalld简介

1、firewalld简介

firewalld是centos7的一大特性,最大的好处有两个:支持动态更新,不用重启服务;第二个就是加入了防火墙的“zone”概念

 

firewalld有图形界面和工具界面,由于我在服务器上使用,图形界面请参照官方文档,本文以字符界面做介绍

 

firewalld的字符界面管理工具是 firewall-cmd 

 

firewalld默认配置文件有两个:/usr/lib/firewalld/
(系统配置,尽量不要修改)和 /etc/firewalld/ (用户配置地址)

 

zone概念:

硬件防火墙默认一般有三个区,firewalld引入这一概念系统默认存在以下区域(根据文档自己理解,如果有误请指正):

drop:默认丢弃所有包

block:拒绝所有外部连接,允许内部发起的连接

public:指定外部连接可以进入

external:这个不太明白,功能上和上面相同,允许指定的外部连接

dmz:和硬件防火墙一样,受限制的公共连接可以进入

work:工作区,概念和workgoup一样,也是指定的外部连接允许

home:类似家庭组

internal:信任所有连接

对防火墙不算太熟悉,还没想明白public、external、dmz、work、home从功能上都需要自定义允许连接,具体使用上的区别还需高人指点

sudo systemctl start firewalld.service

3.配置firewalld-cmd
查看版本: firewall-cmd –version
查看帮助: firewall-cmd –help
显示状态: firewall-cmd –state
查看所有打开的端口: firewall-cmd –zone=public –list-ports
更新防火墙规则: firewall-cmd –reload
查看区域信息: firewall-cmd –get-active-zones
查看指定接口所属区域: firewall-cmd –get-zone-of-interface=eth0
拒绝所有包:firewall-cmd –panic-on
取消拒绝状态: firewall-cmd –panic-off
查看是否拒绝: firewall-cmd –query-panic

  • 支持绝大多数 system-config-firewall 所具有的功能,除去:
  • 实现动态管理,对于规则的更改不再需要重新创建整个防火墙。
  • 一个简单的系统托盘区图标来显示防火墙状态,方便开启和关闭防火墙。
  • 提供 firewall-cmd 命令行界面进行管理及配置工作。
  • 为 libvirt 提供接口及界面,会在必须的 PolicyKit
    相关权限完成的情况下实现。

firewalld是centos7的一大特性,最大的好处有两个:支持动态更新,不用重启服务;第二个就是加入了防火墙的“zone”概念

2、安装firewalld

yum install firewalld firewall-config
  • 添加 http 服务到public区域

4.那怎么开启一个端口呢
添加:
firewall-cmd –zone=public –add-port=80/tcp –permanent
(–permanent永久生效,没有此参数重启后失效)
重新载入:
firewall-cmd –reload
查看:
firewall-cmd –zone=public –query-port=80/tcp
删除:
firewall-cmd –zone= public –remove-port=80/tcp –permanent

下一步将实现以下功能:

 

3、运行、停止、禁用firewalld

# 启动
systemctl start  firewalld
# 查看状态
systemctl status firewalld 或者 firewall-cmd --state
# 停止
systemctl disable firewalld
# 禁用
systemctl stop firewalld

firewall-cmd –permanent –zone=public –add-service=http

  • 实现 firewall-config 图形化配置工具。
  • 实现系统全局及用户进程的防火墙规则配置管理。
  • 区域 Zone 的支持。
  • NetworkManager 防火墙规则助手。

firewalld有图形界面和工具界面,由于我在服务器上使用,图形界面请参照官方文档,本文以字符界面做介绍

4、配置firewalld

# 查看版本
firewall-cmd --version
# 查看帮助
firewall-cmd --help
# 显示状态
firewall-cmd --state
# 查看区域信息
firewall-cmd --get-active-zones
# 查看指定接口所属区域
firewall-cmd --get-zone-of-interface=eth0
# 拒绝所有包
firewall-cmd --panic-on
# 取消拒绝状态
firewall-cmd --panic-off
# 查看是否拒绝
firewall-cmd --query-panic

# 更新防火墙规则
firewall-cmd --reload
firewall-cmd --complete-reload
# 两者的区别就是第一个无需断开连接,就是firewalld特性之一动态添加规则,第二个需要断开连接,类似重启服务

# 将接口添加到区域,默认接口都在public
firewall-cmd --zone=public --add-interface=eth0
永久生效再加上 --permanent 然后reload防火墙

# 设置默认接口区域
firewall-cmd --set-default-zone=public
# 立即生效无需重启

# 打开端口(貌似这个才最常用)
# 查看所有打开的端口:
firewall-cmd --zone=dmz --list-ports
# 加入一个端口到区域:
firewall-cmd --zone=dmz --add-port=8080/tcp
# 若要永久生效方法同上

# 打开一个服务,类似于将端口可视化,服务需要在配置文件中添加,/etc/firewalld 目录下有services文件夹,这个不详细说了,详情参考文档
firewall-cmd --zone=work --add-service=smtp

# 移除服务
firewall-cmd --zone=work --remove-service=smtp

还有端口转发功能、自定义复杂规则功能、lockdown
  • 对于nodejs应用,如果监听端口为3000,可执行命令:

项目主页及详细介绍

 

 二、iptables

# 安装iptables
yum install iptables-services -y

# 关闭并禁用 firewalld
systemctl stop firewalld
systemctl disable firewalld

# 启动并启用 iptables
systemctl start iptables
systemctl enable iptables

# 如果使用了IPv6,还需要开启ip6tables
# 启动并启用ip6tables
systemctl start ip6tables
systemctl enable ip6tables

 

参考链接:

 

firewall-cmd –permanent –zone=public –add-port=3000/tcp

消息来源:邮件列表

firewalld的字符界面管理工具是 firewall-cmd 

  • 重新加载

原文:动态管理防火墙 firewalld

 

firewall-cmd –reload

是一款提供 D-Bus
接口从而支持动态管理的防火墙守护进程。 Firewalld 由 Red Hat 的 Thomas
Woerner 为 Fedora 开发,在 Fedora 15 中将可以使用…

firewalld默认配置文件有两个:/usr/lib/firewalld/
(系统配置,尽量不要修改)和 /etc/firewalld/ (用户配置地址)

  • 检查更改是否生效

 

firewall-cmd –zone=public –query-port=3000/tcp

zone概念:

monggdb安全性思路(待验证):

硬件防火墙默认一般有三个区,firewalld引入这一概念系统默认存在以下区域(根据文档自己理解,如果有误请指正):

  1. 防火墙封了默认的27017端口
  2. 开放另一端口,如28017
  3. 设置转发
  4. monggoDB设置全网侦听
  5. 启用用户权限机制

drop:默认丢弃所有包

或者直接封死外网访问,客户端无法直接访问。

block:拒绝所有外部连接,允许内部发起的连接

public:指定外部连接可以进入

external:这个不太明白,功能上和上面相同,允许指定的外部连接

dmz:和硬件防火墙一样,受限制的公共连接可以进入

work:工作区,概念和workgoup一样,也是指定的外部连接允许

home:类似家庭组

internal:信任所有连接

对防火墙不算太熟悉,还没想明白public、external、dmz、work、home从功能上都需要自定义允许连接,具体使用上的区别还需高人指点

 

2、安装firewalld

root执行 # yum install firewalld
firewall-config

 

3、运行、停止、禁用firewalld

启动:# systemctl start
 firewalld

查看状态:# systemctl status
firewalld 或者 firewall-cmd
–state

停止:# systemctl disable
firewalld

禁用:# systemctl stop
firewalld

 

4、配置firewalld

查看版本:$ firewall-cmd
–version

查看帮助:$ firewall-cmd
–help

查看设置:

                显示状态:$
firewall-cmd –state

                查看区域信息: $
firewall-cmd –get-active-zones

                查看指定接口所属区域:$ firewall-cmd
–get-zone-of-interface=eth0

拒绝所有包:# firewall-cmd
–panic-on

取消拒绝状态:# firewall-cmd
–panic-off

查看是否拒绝:$ firewall-cmd
–query-panic

 

更新防火墙规则:# firewall-cmd
–reload

                            #
firewall-cmd –complete-reload

   
两者的区别就是第一个无需断开连接,就是firewalld特性之一动态添加规则,第二个需要断开连接,类似重启服务

 

将接口添加到区域,默认接口都在public

# firewall-cmd –zone=public
–add-interface=eth0

永久生效再加上 –permanent 然后reload防火墙

 

设置默认接口区域

# firewall-cmd
–set-default-zone=public

立即生效无需重启

 

打开端口(貌似这个才最常用)

查看所有打开的端口:

# firewall-cmd –zone=dmz
–list-ports

加入一个端口到区域:

# firewall-cmd –zone=dmz
–add-port=8080/tcp

若要永久生效方法同上

 

打开一个服务,类似于将端口可视化,服务需要在配置文件中添加,/etc/firewalld
目录下有services文件夹,这个不详细说了,详情参考文档

# firewall-cmd –zone=work
–add-service=smtp

 

移除服务

# firewall-cmd –zone=work
–remove-service=smtp

 

 

 

参考:

   

发表评论

电子邮件地址不会被公开。 必填项已用*标注

网站地图xml地图