Каталог статей
RHEL7 заменил службу iptables службой firewalld, но в RHEL7 команда iptables по-прежнему может использоваться для управления сетевым фильтром ядра. Фактически, iptalbes и firewalld не являются настоящими межсетевыми экранами, это просто инструменты для определения правил межсетевого экрана. После того, как правила определены, они передаются netfilter для чтения, чтобы реализовать функцию межсетевого экрана.
Брандмауэр - это инструмент управления брандмауэром по умолчанию в RHEL7. Он имеет конфигурацию времени выполнения и постоянный выбор конфигурации, а также может поддерживать динамические обновления и региональные концепции функций. Предоставляет новую команду управления брандмауэром firewall-cmd и графический инструмент firewall-config.
Региональная концепция и функции
Сетевая зона межсетевого экрана определяет уровень надежности сетевого перехвата. Мы можем вызывать разные области firewalld в соответствии с разными сценариями. Проще говоря, мы заранее подготовили несколько наборов комбинаций правил для пользователей. Мы можем выбирать различные комбинации правил в соответствии со сценарием. По умолчанию зона является общедоступной.
Список правил зоны выглядит следующим образом:
Инструмент управления персонажами
Команда firewall-cmd может эффективно настроить брандмауэр. Служба
firewalld имеет два правила и записи конфигурации политик. Действующее в настоящее время Permanent of RunTime действует постоянно. Когда измененная запись действует постоянно, необходимо выполнить команду firewall-cmd -reload вступить в силу. Параметры команды следующие:
Пример работы:
[root@bogon ~]# firewall-cmd --get-default-zone --查看当前默认区域
public
[root@bogon ~]# firewall-cmd --get-zone-of-interface=eno16777728
no zone
[root@bogon ~]# firewall-cmd --get-zone-of-interface=ens33 --查看 网卡ens33区域
dmz
[root@bogon ~]# firewall-cmd --zone=public --query-service=ssh //查看public区域是否支持ssh协议
yes
[root@bogon ~]# firewall-cmd --zone=public --query-service=http//查看public区域是否支持http协议
no
[root@bogon ~]# firewall-cmd --set-default-zone=dmz //设置默认规则为 dmz
success
[root@bogon ~]# firewall-cmd --reload //让规则修改永远生效
success
[root@bogon ~]# firewall-cmd --panic-on
success
[root@bogon ~]#
[root@bogon ~]# firewall-cmd --panic-on 启动应急情况模式,会阻断所有网络连接
success
[root@bogon ~]# firewall-cmd --panic-off --关闭应急情况模式
success
方法1同时设置运行时和永久性允许https
Last login: Fri Nov 20 00:23:50 2020
[root@bogon ~]# firewall-cmd --zone=public --add-service=https
success
[root@bogon ~]# firewall-cmd --permanent --zone=public --add-service=https
success
方法2 同时设置运行时和永久性允许https 先设置永久性 然后 relaod即可
[root@bogon ~]# firewall-cmd --permanent --zone=public --add-service=https
Warning: ALREADY_ENABLED: https
success
[root@bogon ~]# firewall-cmd --reload
success
--不允许http服务通过public区域
[root@bogon ~]# firewall-cmd --permanent --zone=public --remove-service=http
Warning: NOT_ENABLED: http
success
[root@bogon ~]# firewall-cmd --reload
success
--允许8080 8081端口流量经过public区域
[root@bogon ~]# firewall-cmd --permanent --zone=public --add-port=8080-8081/tcp
success
--查看是否生效
[root@bogon ~]# firewall-cmd --zone=public --list-ports
58625/tcp 10020/tcp 59173/tcp 80/tcp 48533/tcp 10020/udp 10030/udp
[root@bogon ~]# firewall-cmd --reload
success
--reload后再次查看是否生效
[root@bogon ~]# firewall-cmd --zone=public --list-ports
58625/tcp 10020/tcp 59173/tcp 80/tcp 48533/tcp 10020/udp 10030/udp 8080-8081/tcp
--将ens33区域修改为external
[root@bogon ~]# firewall-cmd --zone=external --change-interface=ens33
success
[root@bogon ~]# firewall-cmd --get-zone-of-interface=ens33
external
--设置富规则,拒绝192.168.10.0-24网段的ssh服务
--firewalld服务富规则用来设置对服务、端口、协议进行详细的配置,优先级最高
--(该设置目前报错 日后排查)
[root@bogon ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" sourceaddress="192.168.10.0/24" service name ="ssh" reject "
Error: INVALID_RULE: internal error in _lexer(): =ssh
Инструмент графической настройки
Выполните команду firewall-config, чтобы увидеть графический инструмент межсетевого экрана firewalld.
Список управления доступом к сервису
TCP_wrappers - это программа мониторинга трафика списка управления доступом ACL на основе IP. Она формулирует правила на основе адреса посещающего хоста и целевой служебной программы машины. Если разрешенные правила совпадают, трафик освобождается, а если отклоненный трафик сопоставлен, он отклонен. Если нет совпадения со значением по умолчанию, оно будет выпущено.
Список разрешений: /etc/hosts.allow
Список запретов: /etc/hosts.deny
определяет правила клиента следующим образом:
ограничить только узлы в сегменте сети 192.168.10 для доступа к локальной службе httpd:
[root@bogon ~]# vi /etc/hosts.allow
httpd:192.168.10.
[root@bogon ~]# vi /etc/hosts.deny
httpd:*
~