Centos7 firewalld防火墙基本操作
前言
在centos6的版本中,防火墙使用的iptables,iptables是一个静态防火墙,就是说它不能够动态的添加开启端口,必须在配置文件中添加开启端口,然后重启iptables后才能生效。而centos7的防火墙使用的是firewalld,它是动态的,可以通过命令添加开启端口,不用重启服务就可以使改变生效。
防火墙管理
systemctl enable firewalld #设置开机启动
systemctl start firewalld #开启服务
systemctl status firewalld 或者 firewall-cmd --state #查看状态
systemctl disable firewalld #停止
systemctl stop firewalld #禁用
区域管理
通过将网络划分成不同的区域,制定出不同区域之间的访问控制策略来控制不同程序区域间传送的数据流。例如,互联网是不可信任的区域,而内部网络是高度信任的区域。网络安全模型可以在安装,初次启动和首次建立网络连接时选择初始化。该模型描述了主机所连接的整个网络环境的可信级别,并定义了新连接的处理方式。有如下几种不同的初始化区域: 除了trusted区域以外,所有区域默认都是拒绝所有。
- 阻塞区域(block):任何传入的网络数据包都将被阻止。
(默认拒绝所有的连接)
- 工作区域(work):相信网络上的其他计算机,不会损害你的计算机。
- 家庭区域(home):相信网络上的其他计算机,不会损害你的计算机。
- 公共区域(public):不相信网络上的任何计算机,只有选择接受传入的网络连接。(默认区域)
- 隔离区域(DMZ):隔离区域也称为非军事区域,内外网络之间增加的一层网络,起到缓冲作用。对于隔离区域,只有选择接受传入的网络连接。
- 信任区域(trusted):所有的网络连接都可以接受。
(默认接受所有的数据包)
- 丢弃区域(drop):任何传入的网络连接都被拒绝。
(默认丢弃所有收到的数据包)
- 内部区域(internal):信任网络上的其他计算机,不会损害你的计算机。只有选择接受传入的网络连接。
- 外部区域(external):不相信网络上的其他计算机,不会损害你的计算机。只有选择接受传入的网络连接。
常用操作
注:规则后没有加--zone=区域的时候,默认添加到默认区域
注:permanent是永久生效,reload之后规则还存在;如果不加,reload之后规则失效。
1.查看所有区域和规则
[root@lianst ~]# firewall-cmd --list-all-zones
work
target: default
icmp-block-inversion: no
interfaces:
sources:
.....<其他省略>
2.查看所有区域
[root@lianst ~]# firewall-cmd --get-zones
work drop internal external trusted home dmz public block
3.查看所有生效区域
[root@lianst ~]# firewall-cmd --get-active-zones
public
interfaces: venet0
4.从200.1.1.0/24网段收到的数据进入work区域进行检查(permant是永久写入到配置文件中的意思)
[root@lianst ~]# firewall-cmd --permanent --add-source=200.1.1.0/24 --zone=work
5.重新加载firewalld配置文件
[root@lianst ~]# firewall-cmd --reload
success
6.从eth0接收到的数据进入dmz区域接受检查
[root@lianst ~]# firewall-cmd --permanent --add-interface=eth0 --zone=dmz
7.把trusted区域设置为默认区域
[root@lianst ~]# firewall-cmd --set-default-zone=trusted
8.向work区域添加允许对http服务访问
[root@lianst ~]# firewall-cmd --permanent --add-service=http --zone=work
9.向work区域添加允许对tcp 3260端口访问的规则
[root@lianst ~]# firewall-cmd --permanent --add-port=3260/tcp --zone=work
10.向默认区域加入规则,访问8080端口时自动转换为80端口
[root@lianst ~]# firewall-cmd --permant --add-forwardpord=port=8080:proto=tcp:toport=80
11.允许ssh服务通过防火墙
[root@lianst ~]# firewall-cmd --enable service=ssh (--disable:禁止)
12.阻止111.73.157.199访问
[root@niaoyun software]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="111.73.157.199" drop'
直接模式
FirewallD包括一种直接模式,使用它可以完成一些工作,例如打开TCP协议的443端口
[root@lianst ~]# firewall-cmd --direct -add-rule ipv4 filter INPUT 0 -p tcp --dport 443 -j ACCEPT
[root@lianst ~]# firewall-cmd --reload
其他命令
1.查看服务列表
[root@lianst ~]# firewall-cmd --get-services
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client ceph ceph-mon dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mosh mountd ms-wbt mysql nfs ntp openV** pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster radius rpc-bind rsyncd samba samba-client sane smtp smtps snmp snmptrap squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
2.临时允许samba服务通过600秒
[root@lianst ~]# firewall-cmd --enable service=samba --timeout=600
3.从区域中将接口删除
[root@lianst ~]# firewall-cmd trusted --remove-interface=eht0
4.从区域中删除服务
[root@lianst ~]# firewall-cmd --zone=public --remove-service=http
- JavaScript 教程
- JavaScript 编辑工具
- JavaScript 与HTML
- JavaScript 与Java
- JavaScript 数据结构
- JavaScript 基本数据类型
- JavaScript 特殊数据类型
- JavaScript 运算符
- JavaScript typeof 运算符
- JavaScript 表达式
- JavaScript 类型转换
- JavaScript 基本语法
- JavaScript 注释
- Javascript 基本处理流程
- Javascript 选择结构
- Javascript if 语句
- Javascript if 语句的嵌套
- Javascript switch 语句
- Javascript 循环结构
- Javascript 循环结构实例
- Javascript 跳转语句
- Javascript 控制语句总结
- Javascript 函数介绍
- Javascript 函数的定义
- Javascript 函数调用
- Javascript 几种特殊的函数
- JavaScript 内置函数简介
- Javascript eval() 函数
- Javascript isFinite() 函数
- Javascript isNaN() 函数
- parseInt() 与 parseFloat()
- escape() 与 unescape()
- Javascript 字符串介绍
- Javascript length属性
- javascript 字符串函数
- Javascript 日期对象简介
- Javascript 日期对象用途
- Date 对象属性和方法
- Javascript 数组是什么
- Javascript 创建数组
- Javascript 数组赋值与取值
- Javascript 数组属性和方法
- C++核心准则SF.4:在其他声明之前include .h文件
- PHP 之变量
- 在网页中常用到的几种居中方法
- 秋招面经三(作业帮、新浪、阿里云)
- 初识HTML
- iOS 点击按钮复制文本
- AntUI滑块Sliders
- AntUI卡片Cards
- AntUI常规Forms表单
- 二叉树:看看这些树的最大深度
- C++核心准则SF.5: .cpp文件必须包含定义它接口的.h文件
- C++核心准则SF.6:(只)为转换,基础库或在局部作用域内部使用using namspace指令
- C++核心准则SF.7:不要在头文件中的全局作用域中使用using namespace指令
- 二叉树:看看这些树的最小深度
- Hive初体验