centos7的防火墙:

centos7不再使用iptables,而是使用firewalld

若不想使用firewalld,而继续使用iptables,可以先停掉firewalld,并且安装iptables-services包

查看firewalld状态:systemctl status firewalld

停掉firewalld:systemctl stop firewalld

开机不启动firewalld:systemctl disable firewalld

安装iptables服务:yum install -y iptables-service

开机启动iptables:systemctl enable iptables

启动iptables:systemctl start iptables

firewalld的使用:

centos6上使用的是静态防火墙,规则保存在/etc/sysconfig/iptables,更新规则后需要重新加载或者重启iptables服务,相当于把之前的规则全部清空,再把配置文件中的规则加载一遍。

而centos7使用了动态防火墙,即firewalld,这种防火墙更改了规则不需要重新加载配置。

无论是firewalld还是iptables服务,底层都是使用iptables工具来配置规则的。

firewalld有zone和service的概念,每一个zone的规则不一样,默认有9个zone。centos7默认使用的zone是public。

查看所有的zone:firewall-cmd --get-zones

查看默认的zone:firewall-cmd --get-default-zone

firewalld的9个zone介绍:

drop(丢弃):任何接收的网络数据包都被丢弃,没有任何回复,仅能有发送出去的网络连接。

block(限制):任何接收的网络连接都被IPv4的icmp-host-prohibited信息和IPv6的icmp6-adm-prohibited信息所拒绝。

public(公共):在公共区域内使用,不能相信网络内其他计算机不会对您的计算机造成危害,只能接收经过选择的连接。

external(外部):特别是为路由器启用了伪装功能的外部网,您不能信任来自网络的其他计算机,不能想他他们不会对你的计算机造成危害,只能接收经过选择的连接。

dmz(非军事区):用于您的非军事区内的电脑,此区域内可公开访问,可以有限的进入你的内部网络,仅仅接收经过选择的连接。

work(工作):用于工作区,你可以基本相信网络内的其他电脑不会危害你的电脑,仅仅接收经过选择的连接。

home(家庭):用于家庭网络,你可以基本相信网络内的其他计算机不会危害你的计算机,仅仅接收经过选择的连接。

internal(内部):用于内部网络,你可以基本相信网络内的其他计算机不会危害你的计算机,仅仅接收经过选择的连接。

trusted(信任):可接受所有的网络连接。

指定其中一个zone为默认的zone是可行的。当接口连接加入了NetworkManager,它们就被分配为默认的zone,安装时firewalld默认的zone为public。

firewalld zone相关命令的用法

设置默认的zone:firewalld-cmd --set-default-zone=work

查看指定网卡所在的zone:firewall-cmd --get-zone-of-interface=eno16777736

设置指定网卡所在的zone:firewall-cmd --zone=public --add-interface=lo

更改指定网卡所在的zone:firewall-cmd --zone=dmz --change-interface=lo

删除指定网卡所在的zone:firewall-cmd --zone=dmz --remove-interface=lo

查看所有网卡所在的zone:firewall-cmd --get-active-zones

firewalld service介绍

在/usr/lib/firewalld/services/目录中,还保存了另外一类配置文件,每个文件对应一项具体的网络服务,如ssh服务等。

与之对应的配置文件中记录了各项服务所使用的tcp/udp端口,在最新版的firewalld中默认已经定义了70多种服务供我们使用。

zone就是调用了不同的service而实现了不同的效果。

列出所有的service:firewall-cmd --get-services

列出当前zone下加载的service:firewall-cmd --list-services

查看指定zone下面的service:firewal-cmd --zone=public --list-services

给指定zone添加service:firewall-cmd --zone=public --ad-service=http

这个改动不会保存到配置文件里,要想保存到配置文件里面,需要加上--permanent:

firewall-cmd --zone=public --add-service=http --permanent

既然可以增加,同样也可以删除,下面命令会从配置文件中永久删除public zone中的http服务:firewall-cmd --zone=public --remove-service=http --permanent

firewalld规则

假设自定义的ssh端口号为12222,使用下面的命令来添加新端口的防火墙规则:

firewall-cmd --add-port=12222/tcp --permanent

使用--permanent参数可以将更改保存到配置文件。

防火墙配置文件也可以手动修改,修改后记得重新加载:firewall-cmd --reload

这种情况下重新加载防火墙并不会中断用户连接,也可以彻底加载,这时候会中断用户连接,也会丢弃状态信息:firewall-cmd --complete-reload

还可以添加一个端口范围:firewall-cmd --add-port=2000-4000/tcp

针对指定zone添加端口:firewall-cmd --permanent --zone=home --add-port=443/tcp

启动端口转发,例如把22端口转发到127.0.0.2:firewall-cmd --permanent --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2

firewalld配置文件

两个路径/etc/firewalld/和/usr/lib/firewalld

系统使用的是/etc/firewalld下面的配置文件

在/etc/firewalld/zones下面只有一个public.xml,如果给另外一个zone做一些改动,并永久保存,那么会自动生成对应的配置文件

比如,给work zone增加一个端口:firewall-cmd --permanent --zone=work --add-port=1000/tcp

此时就会生成一个work.xml的配置文件

需求:修改ftp的端口,默认ftp的端口是21,需要改为1121

cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/

vim /etc/firewalld/services/ftp.xml //把21改为1121

vim /etc/firewalld/zones/work.xml //work为默认zone,所以要编辑这个,增加一行<service name="ftp"/>

firewall-cmd --reload //重新加载