linux安全-firewalld防火墙-基础讲解

目录

一、 防火墙技术分类

二、 firewalld

三、 firewalld支持的类型的NAT

四、 富语言

五、 firewalld配置方式

六、 firewall-cmd命令

七、 小实验

这篇文章将对 firewalld 防火墙的基础知识进行介绍

firewalld简介：firewalld的作用是为包过滤机制提供匹配规则（或称为策略），通过各种不同的规则， 告诉netfilter对来自指定源、前往指定目的或具有某些协议特征的数据包采取何种处理方式。 

一、 防火墙技术分类

1. 包过滤：linux防火墙主要工作在网络层

2. 应用代理：squid

3. 状态检测

在centos7中有几种防火墙的存在：firewalld，iptables，ebtables

firewalld和iptables的关系：

firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现。也就是说firewalld和iptables一样，他们的作用都是用于维护规则，而真正使用规 则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样罢了。 系统提供了图形化的配置工具firewall-config、system-config-firewall，提供命令行客户端firewall-cmd，用于配置firewalld永久性或非永久性运行时间的改变：它依次用iptables工具与执行数据包筛选的内核中的Netfilter通信

逻辑关系图：

从图中可以看出，iptables服务和firewalld都是通过iptables命令与内核的netfilter 进行交互的。在centos7中，我们仍然可以使用iptables命令来管理我们的防火墙。唯一不 同的是当我们重启服务器或重启firewalld时，iptables命令管理的规则不会自动加载，反而会被firewalld 的规则代替。

默认使用firewalld来管理netfilter子系统

netfilter：linux内核中实现包过滤防火墙的内部结构-内核态

firewalld：用于管理linux防火墙的命令程序-用户态

二、 firewalld

支持网络区域所定义的网络链接以及接口安全等级的动态防火墙

配置模式

  • 运行时配置
  • 永久配置

规则匹配顺序

首先检查“源地址”

  1. 若源地址关联到特定的区域，则执行该区域所制定的规则
  2. 若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所制定的规则
  3. 若网络接口未关联到特定的区域，则使用默认区域并执行该区域所制定的规则

🚨默认区域是：public

区域划分

  • 信任区域：trusted
  • 公共区域：public
  • 工作区域：work
  • 家庭区域：home
  • 内部区域：internal
  • 外部区域：external
  • 非军事区域：dmz
  • 限制区域：block
  • 丢弃区域：drop

三、 firewalld支持的类型的NAT

  1. IP地址伪装-SNAT
  2. 端口转发-DNAT（目的地址转换/端口映射）

四、 富语言

可用于表达基本的允许/拒绝原则，也可以用于配置记录，以及端口转发、伪装和速率限制

语法

  • source：限制源地址
  • destination：限制目标地址
  • service：服务
  • protocol：协议
  • icmp-block：阻断一个/多个ICMP类型
  • masquerade：IP伪装
  • forward-port：将指定的tcp/udp-本机的其他端口
  • log：日志
    • 等级：emerg、alert、crit、erroor、warning、notice、info
  • audit：审核
  • accept：允许
  • reject：拒绝
  • drop：丢弃

五、 firewalld配置方式

  1. 图形化
  2. firewalld-cmd
  3. 配置文件

六、 firewall-cmd命令

介绍一些基础命令使用以及常用的

1. 显示预定义的区域

firewall-cmd --get-zones

区域管理

  • --get-default-zone：显示网络连接或接口的默认区域
  • --set-default-zone=<zone>：设置网络连接或接口的默认区域
  • --get-active-zones：显示已激活的所有区域
  • --get-zone-of-interface=<interface>：显示 指定接口绑定的区域
  • --zone=<zone> --add-interface=<interface>：为指定的区域更改绑定的网络接口
  • --zone=<zone> --change-interface=<interface>：为指定的区域更改绑定的网络接口
  • --zone=<zone> --remove-interface=<interface>：为指定的区域删除绑定的网络接口
  • --list-all-zones：显示所有区域及其规则
  • [--zone=]--list-all：显示所有指定区域的所有规则，省略--zone=<zone>时表示仅对默认区域操作

具体操作

1. 显示当前系统中的默认区域

firewall-cmd --get-default-zone

2. 显示默认区域的所有规则

firewall-cmd --list-all

3. 显示网络接口ens33对应区域

firewall-cmd --get-zone-of-interface=ens33

4. 将网络接口ens33对应区域更改为internal区域

firewall-cmd --zone=internal --change-interface=ens33

5. 显示所有激活区域

firewall-cmd --get-active-zones

服务管理

  • [--zone=<zone>] --list-services：显示指定区域内允许访问的所有服务
  • [--zone=<zone>] --add-service=<service>：为指定区域设置允许访问的某项服务
  • [--zone=<zone>] --remove-service=<service>：删除指定区域已设置的允许访问的某项服务
  • [--zone=<zone>] --list-ports：显示指定区域内允许访问的所有端口号
  • [--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol>：为指定区域设置允许访问的某个/某段端口号(包括协议名)
  • [--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocol>：删除指定区域已设置的允许访问的端口号(包括协议名)
  • [--zone=<zone>] --list-icmp-blocks：显示指定区域内拒绝访问的所有ICMP类型
  • [--zone=<zone>] --add-icmp-block=<icmptype>：为指定区域设置拒绝访问的某项ICMP类型
  • [--zone=<zone>] --remove-icmp-block=<icmptype>：删除指定区域已设置的拒绝访问的某项ICMP 类型，省略-zone=<zone>时表示对默认区域操作

具体操作

1. 为默认区域设置允许访问的服务

#显示默认区域内允许访问的所有服务
firewall-cmd --list-services

#设置默认区域允许访问http服务
firewall-cmd --add-service=http

2. 为internal区域设置允许访问的服务

#设置internal区域允许访问mysql服务
firewall-cmd --zone=internal --add-service=mysql

#显示internal区域内允许访问的所有服务
firewall-cmd --zone=internal --list-services

端口管理

1. 在internal区域打开443/TCP端口

firewall-cmd --zone=internal --add-port=443/tcp

2. 在internal区域禁止443/TCP端口访问

firewall-cmd --zone=internal --remove-port=443/tcp

七、 小实验

服务端：192.168.180.110

客户端：192.168.180.120

项目需求

  1. 禁止主机ping服务器
  2. 只允许192.168.180.120访问ssh
  3. 允许所有主机访问httpd服务

实验步骤

1. 允许所有主机访问httpd

firewall-cmd --zone=public --add-service=http

#可以设置永久设置
firewall-cmd --zone=public --add-service=http –permanent

客户端测试访问

curl 192.168.180.110

2. 只允许192.168.180.120访问ssh

#先删除在默认区域的ssh
firewall-cmd --zone=public --remove-service=ssh

#在work区域添加ssh
firewall-cmd --zone=work --add-source=192.168.180.120
firewall-cmd --zone=work --add-service=ssh

客户端访问测试

用192.168.180.120测试

用192.168.180.130测试，不行

3. 禁止ping服务器

firewall-cmd --zone=public --add-icmp-block=echo-request

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/928039.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

图的概念即存储结构（C++实现图【1】）

图的概念即存储结构（C++实现图【1】）

目录 1. 图的基本概念 2. 图的存储结构 2.1 邻接矩阵 2.1.1私有成员变量 2.1.2类模板的声明 2.1.3构造函数 2.1.4获取顶点下标 2.1.5添加边的信息 2.1.6打印图 2.1.7测试用例 2.2邻接表 2.2.1私有成员变量 2.2.2Edge类 2.2.3类模板的声明 2.2.4构造函数 2.2.5获取顶点下标 2.2.…
阅读更多...
使用Tauri创建桌面应用

使用Tauri创建桌面应用

当前是在 Windows 环境下 1.准备 系统依赖项 Microsoft C 构建工具WebView2 (Windows10 v1803 以上版本不用下载&#xff0c;已经默认安装了) 下载安装 Rust下载安装 Rust 需要重启终端或者系统 重新打开cmd&#xff0c;键入rustc --version&#xff0c;出现 rust 版本号&…
阅读更多...
实验13 使用预训练resnet18实现CIFAR-10分类

实验13 使用预训练resnet18实现CIFAR-10分类

1.数据预处理 首先利用函数transforms.Compose定义了一个预处理函数transform&#xff0c;里面定义了两种操作&#xff0c;一个是将图像转换为Tensor&#xff0c;一个是对图像进行标准化。然后利用函数torchvision.datasets.CIFAR10下载数据集&#xff0c;这个函数有四个常见的…
阅读更多...
Wwise SoundBanks内存优化

Wwise SoundBanks内存优化

1.更换音频格式为Vorbis 2.停用多余的音频&#xff0c;如Random Container的随机脚步声数量降为2个 3.背景音乐勾选“Stream”。这样就让音频从硬盘流送到Wwise&#xff0c;而不是保存在内存当中&#xff0c;也就节省了内存 4.设置最大发声数Max Voice Instances 5.设置音频…
阅读更多...
【测试工具JMeter篇】JMeter性能测试入门级教程（六）：JMeter中实现参数化的几种方式

【测试工具JMeter篇】JMeter性能测试入门级教程（六）：JMeter中实现参数化的几种方式

一、参数化的定义 什么是参数化&#xff1f;从字面上去理解的话&#xff0c;就是事先准备好数据&#xff08;广义上来说&#xff0c;可以是具体的数据值&#xff0c;也可以是数据生成规则&#xff09;&#xff0c;而非在脚本中固化&#xff0c;脚本执行时从准备好的数据中取值。…
阅读更多...
2024年11月份实时获取地图边界数据方法，省市区县街道多级联动【附实时geoJson数据下载】

2024年11月份实时获取地图边界数据方法，省市区县街道多级联动【附实时geoJson数据下载】

首先&#xff0c;来看下效果图 在线体验地址&#xff1a;https://geojson.hxkj.vip&#xff0c;并提供实时geoJson数据文件下载 可下载的数据包含省级geojson行政边界数据、市级geojson行政边界数据、区/县级geojson行政边界数据、省市区县街道行政编码四级联动数据&#xff0…
阅读更多...
【力扣】—— 二叉树的前序遍历、字典序最小回文串

【力扣】—— 二叉树的前序遍历、字典序最小回文串

Hi~&#xff01;这里是奋斗的明志&#xff0c;很荣幸您能阅读我的文章&#xff0c;诚请评论指点&#xff0c;欢迎欢迎 ~~ &#x1f331;&#x1f331;个人主页&#xff1a;奋斗的明志 &#x1f331;&#x1f331;所属专栏&#xff1a;数据结构 &#x1f4da;本系列文章为个人学…
阅读更多...
电脑显示没信号显示屏不亮怎么办?电脑没信号解决方法

电脑显示没信号显示屏不亮怎么办?电脑没信号解决方法

电脑没信号显示屏不亮这种故障的原因可能有多种&#xff0c;例如显示器的供电、连接、设置等问题&#xff0c;或者电脑的显卡、内存、硬盘、主板等硬件问题。所以我们想要解决这个问题&#xff0c;也是需要多方面排除找到具体原因然后进行修复。下面将为大家介绍一些常见的电脑…
阅读更多...
【docker】Windows11创建Ubuntu-desktop并使用VNC完成远程访问

【docker】Windows11创建Ubuntu-desktop并使用VNC完成远程访问

【docker】Windows11创建Ubuntu-desktop并使用VNC完成远程访问 文章目录 【docker】Windows11创建Ubuntu-desktop并使用VNC完成远程访问前言创建Ubuntu容器下载镜像运行容器连接容器 搭建容器XFCE桌面环境安装ubuntu桌面 总结 前言 docker ubuntu容器在深度学习领域的使用过程…
阅读更多...
歇一歇，写写段子

歇一歇，写写段子

无聊的日子都在写段子1.0 中学的时候喜欢看意林之类的杂志&#xff0c; 里面的作者用乱七八糟的理由跑去旅游&#xff0c;然后说“阻碍你脚步的永远只有逃离的勇气和对生活的热爱”&#xff0c; 我觉得太对了&#xff0c;可惜 12306 付款方式里没有勇气和热爱&#xff0c;不…
阅读更多...
1203论文速读

1203论文速读

1、Hierarchical Stochastic Block Model for Community Detection in Multiplex Networks∗ &#xff08;多层网络社区检测的层次随机块模型 &#xff09; 全文总结&#xff1a;本文提出了一种新颖的贝叶斯模型&#xff0c;称为分层随机块模型&#xff08;HSBM&#xff09;&a…
阅读更多...
双向长短期记忆(Bi-LSTM)神经网络介绍

双向长短期记忆(Bi-LSTM)神经网络介绍

长短期记忆(Long Short-Term Memory, LSTM)神经网络&#xff1a; 1.是Hochreiter和Schmidhuber设计的循环神经网络(Recurrent Neural Network, RNN)的改进版本。LSTM模型借鉴了人类大脑的选择性输入和选择性遗忘机制&#xff0c;获取序列中的关键信息&#xff0c;遗忘和当前预测…
阅读更多...
.NET 9 中 LINQ 新增功能实现过程

.NET 9 中 LINQ 新增功能实现过程

本文介绍了.NET 9中LINQ新增功能&#xff0c;包括CountBy、AggregateBy和Index方法,并提供了相关代码示例和输出结果&#xff0c;感兴趣的朋友跟随我一起看看吧 LINQ 介绍 语言集成查询 (LINQ) 是一系列直接将查询功能集成到 C# 语言的技术统称。 数据查询历来都表示为简单的…
阅读更多...
解决PowerPoint的流程图图标中输入文字位置偏下的问题

解决PowerPoint的流程图图标中输入文字位置偏下的问题

解决PowerPoint的流程图图标中输入文字位置偏下的问题 背景 在PowerPoint中&#xff0c;插入流程图形状&#xff0c;并在其内部输入中文字符&#xff0c;是很常规的操作。然而&#xff0c;有时输入文本发现文本整体偏下&#xff0c;靠近流程图下侧。 症状 文字位置偏下的效…
阅读更多...
C++基础:list的基本使用

C++基础:list的基本使用

文章目录 1.基本构造和插入删除基本构造和尾插数据迭代器的分类内置排序sort任意位置插入删除 2.链表的合并,去重和剪切链表的合并链表去重链表的剪切 list的本质就是带头双向循环列表 1.基本构造和插入删除 基本构造和尾插数据 与之前vector的方法相同直接调用即可 迭代器的分…
阅读更多...
SpringBoot中实现EasyExcel实现动态表头导入（完整版）

SpringBoot中实现EasyExcel实现动态表头导入（完整版）

前言 最近在写项目的时候有一个需求&#xff0c;就是实现动态表头的导入&#xff0c;那时候我自己也不知道动态表头导入是什么&#xff0c;查询了大量的网站和资料&#xff0c;终于了解了动态表头导入是什么。 一、准备工作 确保项目中引入了处理 Excel 文件的相关库&#xff…
阅读更多...
亚马逊云（AWS）使用root用户登录

亚马逊云（AWS）使用root用户登录

最近在AWS新开了服务器&#xff08;EC2&#xff09;&#xff0c;用于学习&#xff0c;遇到一个问题就是默认是用ec2-user用户登录&#xff0c;也需要密钥对。 既然是学习用的服务器&#xff0c;还是想直接用root登录&#xff0c;下面开始修改&#xff1a; 操作系统是&#xff1…
阅读更多...
基于Java Springboot武汉市公交路线查询APP且微信小程序

基于Java Springboot武汉市公交路线查询APP且微信小程序

一、作品包含 源码数据库设计文档万字PPT全套环境和工具资源部署教程 二、项目技术 前端技术&#xff1a;Html、Css、Js、Vue、Element-ui 数据库&#xff1a;MySQL 后端技术&#xff1a;Java、Spring Boot、MyBatis 三、运行环境 开发工具&#xff1a;IDEA/eclipse 微信…
阅读更多...
【C++】数组

【C++】数组

1.概述 所谓数组&#xff0c;就是一个集合&#xff0c;该集合里面存放了相同类型的数据元素。 数组特点&#xff1a; &#xff08;1&#xff09;数组中的每个数据元素都是相同的数据类型。 &#xff08;2&#xff09;数组是有连续的内存空间组成的。 2、一维数组 2.1维数组定…
阅读更多...
WPF中的VisualState(视觉状态)

WPF中的VisualState(视觉状态)

以前在设置控件样式或自定义控件时&#xff0c;都是使用触发器来进行样式更改。触发器可以在属性值发生更改时启动操作。 像这样&#xff1a; <Style TargetType"ListBoxItem"><Setter Property"Opacity" Value"0.5" /><Setter …
阅读更多...
最新文章

Copyright @ 2022~2023