《Linux系统管理与配置》课件-项目三-任务5-Linux防火墙

Linux系统配置与管理项目3进程与服务Linux防火墙任务5010203CONTENT目录防火墙的概述重点内容firewalld基本知识重点内容firewall管理工具的使用难点内容防火墙概述众所周知，相较于企业内网，公网环境更加恶劣。在公网与内网之间充当保护屏障的防火墙虽然有软件和硬件之分，但主要功能都是对穿越防火墙流量进行过滤，以保证合法的流量在企业内网和外网之间流动。Linux系统防火墙Linux内核包含一个强大的网络过滤子系统netfilter，这是构建防火墙的基础。为了与netfilter交互来配置和管理防火墙，Linux提供了防火墙管理工具iptables，但其命令不容易掌握，从RHEL7/CentOS7开始，firewalld正式取代了老版本iptables，但该工具底层调用的仍然是iptables命令。firewalld基本知识Centos8中集成了多款防火墙管理工具，firewalld是默认的配置管理工具。管理方法：基于CLI（命令行界面）和基于GUI（图形用户界面）。优势：支持动态更新技术并加入了区域（zone）的概念。区域就是firewalld预先准备了几套防火墙策略模板，用户可以根据不同场景选择合适的策略模板，实现防火墙策略之间的快速切换。firewalld中常用的区域名称及策略规则区域默认规则策略trusted允许所有的数据包home拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、smba-client、dhcpv6-client服务相关，则允许流量internal等同于home区域work拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量public拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量external拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量dmz拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量block拒绝流入的流量，除非与流出的流量相关drop拒绝流入的流量，除非与流出的流量相关命令行界面终端管理工具——firewall-cmd参数作用--get-default-zone查询默认的区域名称--set-default-zone=<区域名称>设置默认的区域，使其永久生效--get-zones显示可用的区域--get-services显示预先定义的服务--get-active-zones显示当前正在使用的区域与网卡名称--add-source=将源自此IP或子网的流量导向指定的区域--remove-source=不再将源自此IP或子网的流量导向某个指定区域--add-interface=<网卡名称>将源自该网卡的所有流量都导向某个指定区域--change-interface=<网卡名称>将某个网卡与区域进行关联--list-all显示当前区域的网卡配置参数、资源、端口以及服务等信息--list-all-zones显示所有区域的网卡配置参数、资源、端口以及服务等信息--add-service=<服务名>设置默认区域允许该服务的流量--add-port=<端口号/协议>设置默认区域允许该端口的流量--remove-service=<服务名>设置默认区域不再允许该服务的流量--remove-port=<端口号/协议>设置默认区域不再允许该端口的流量--reload让“永久生效”的配置规则立即生效，并覆盖当前的配置规则--panic-on开启应急状况模式--panic-off关闭应急状况模式图形化界面终端管理工具——firewall-config注意，配置防火墙的策略有两种模式：firewall-config是firewalld防火墙配置管理工具的图形用户界面版本，几乎可以实现所有以命令行来执