环境：CentOS 7.9
什么是防火墙
防火墙：防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。
防火墙又可以分为硬件防火墙与软件防火墙。硬件防火墙是由厂商设计好的主机硬件，这台硬件防火墙的操作系统主要以提供数据包数据的过滤机制为主，并将其他不必要的功能拿掉。软件防火墙就是保护系统网络安全的一套软件（或称为机制），例如Netfilter与TCP Wrappers都可以称为软件防火墙。这儿主要介绍linux系统本身提供的软件防火墙的功能，那就是Netfilter，即数据包过滤机制。
数据包过滤，也就是分析进入主机的网络数据包，将数据包的头部数据提取出来进行分析，以决定该连接为放行或抵挡的机制。由于这种方式可以直接分析数据包头部数据，包括硬件地址，软件地址，TCP、UDP、ICMP等数据包的信息都可以进行过滤分析，因此用途非常广泛（主要分析OSI七层协议的2、3、4层）。由此可知，linux的Netfilter机制可以进行的分析工作有：
1、拒绝让Internet的数据包进入主机的某些端口；
2、拒绝让某些来源ip的数据包进入；
3、拒绝让带有某些特殊标志（flag）的数据包进入，最常拒绝的就是带有SYN的主动连接的标志了；
4、分析硬件地址（MAC）来决定连接与否。
虽然Netfilter防火墙可以做到这么多事情，不过，某些情况下，它并不能保证我们的网络一定就很安全。例如：
1、防火墙并不能有效阻挡病毒或木马程序。（假设主机开放了www服务，防火墙的设置是一定要将www服务的port开放给client端的。假设www服务器软件有漏洞，或者请求www服务的数据包本身就是病毒的一部分时，防火墙是阻止不了的）
2、防火墙对于内部LAN的攻击无能为力（防火墙对于内部的规则设置通常比较少，所以就很容易造成内部员工对于网络无用或滥用的情况）
netfilter这个数据包过滤机制是由linux内核内建的，不同的内核版本使用的设置防火墙策略的软件不一样，在红帽7系统中firewalld服务取代了iptables服务，但其实iptables服务与firewalld服务它们都只是用来定义防火墙策略的“防火墙管理工具”而已，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter。
Iptables
防火墙会从以上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止,ACCEPT,REJECT,DROP）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。
iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：
在进行路由选择前处理数据包，用于目标地址转换（PREROUTING）；
处理流入的数据包（INPUT）；
处理流出的数据包（OUTPUT）；
处理转发的数据包（FORWARD）；
在进行路由选择后处理数据包，用于源地址转换（POSTROUTING）。
在CentOS7中firewalld已经取代了iptables，因此想要使用iptables需要安装对应的包
yum install -y iptables-services关闭firewalld并启用iptables
systemctl stop firewalld
systemctl start iptablesssh
CentOS里iptables默认放行ssh服务，如果不小心清空了防火墙规则可以用如下语句添加该规则
iptables -t filter -I INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT
nfs
portmapper在NFS服务启动的时候给每一个NFS服务分配了一个动态的端口，如这些服务MOUNTD_PORT、 STATD_PORT、 LOCKD_TCPPORT、 LOCKD_UDPPORT。
每次启动nfs服务时都会分配随机的端口号，所以要想让iptables正确放行这些端口，就要给这几个服务指定静态的端口号。
先来查看nfs的配置文件
vim /etc/sysconfig/nfs
可以看到有几个以_PORT结尾的配置项，这些配置项在之前默认的配置文件中是被注释掉的，在nfs启动时随机分配端口号
RQUOTAD_PORT=6001
LOCKD_TCPPORT=6002 // 手动指定这些配置项的端口
LOCKD_UDPPORT=6002
MOUNTD_PORT=6003
STATD_PORT=6004
STATD_OUTGOING_PORT=6005保存并退出后重启nfs服务
systemctl restart nfs-config
systemctl restart nfs在iptables中放行nfs服务启动时用到的端口
#放行portmapper端口
/usr/sbin/iptables -t filter -I INPUT -p tcp -s 192.168.137.0/24 --dport 111 -j ACCEPT
/usr/sbin/iptables -t filter -I INPUT -p udp -s 192.168.137.0/24 --dport 111 -j ACCEPT
#放行nfs服务的端口
/usr/sbin/iptables -t filter -I INPUT -p tcp -s 192.168.137.0/24 --dport 2049 -j ACCEPT
/usr/sbin/iptables -t filter -I INPUT -p udp -s 192.168.137.0/24 --dport 2049 -j ACCEPT
#放行rpc套件的tcp/udp端口
/usr/sbin/iptables -t filter -I INPUT -p tcp -s 192.168.137.0/24 --dport 6001:6005 -j ACCEPT
/usr/sbin/iptables -t filter -I INPUT -p udp -s 192.168.137.0/24 --dport 6001:6005 -j ACCEPT
#放行环回端口，作用是在启动nfs的时候，nfs-server会通过本地回环接口与portmap进行会话，所以需要允许
/usr/sbin/iptables -A INPUT -i lo -j ACCEPT以上配置在server端跟client端通用
iptables规则如下（iptables-check是别名，因为频繁敲iptables -vnL --line-numbers太麻烦，就起了个别名）
httpd
我的httpd服务默认端口是80，没改所以要放行的也是80端口
首先不添加规则去curl一下我的80端口
接下来添加iptables规则
iptables -I INPUT -p tcp --dport 80 -s 192.168.137.0/24 -j ACCEPT
再去curl一下
chrony
chrony服务的默认管理端口是323，ntp默认服务端口是123，二者都是udp协议
所以使用iptables放行这两个端口
iptables -I INPUT -p udp -m multiport --dports 123,323 -j ACCEPT
查看之前chrony服务配置好的信号源
dns
dns服务使用53号端口，通常使用udp传输
如果不配置规则，就无法使用本地的dns服务
用iptables放行53端口
iptables -I INPUT -p tcp --dport 53 -j ACCEPT
iptables -I INPUT -p udp --dport 53 -j ACCEPT用nslookup查询下区域文件里配置的域名
firewalld
iptables service 首先对旧的防火墙规则进行了清空，然后重新完整地加载所有新的防火墙规则，而如果配置了需要 reload 内核模块的话，过程背后还会包含卸载和重新加载内核模块的动作，而不幸的是，这个动作很可能对运行中的系统产生额外的不良影响，特别是在网络非常繁忙的系统中。
如果我们把这种哪怕只修改一条规则也要进行所有规则的重新载入的模式称为静态防火墙的话，那么
相比于传统的防火墙管理工具，firewalld支持动态更新技术并加入了区域的概念。区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以选择不同的集合，从而实现防火墙策略之间的快速切换。
firewalld中常见的区域名称（默认为public）以及相应的策略规则：
区域 | 默认规则策略 |
阻塞区域（block） | 拒绝流入的流量，除非与流出的流量相关 |
工作区域（work） | 拒绝流入的流量，除非与流出的流量相关 |
家庭区域（home） | 拒绝流入的流量，除非与流出的流量相关 |
公共区域（public） | 不相信网络上的任何计算机，只有选择接受传入的网络连接。 |
隔离区域（DMZ） | 隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接。 |
信任区域（trusted） | 允许所有的数据包。 |
丢弃区域（drop） | 拒绝流入的流量，除非与流出的流量相关 |
内部区域（internal） | 等同于home区域 |
外部区域（external） | 拒绝流入的流量，除非与流出的流量有关；而如果流量与ssh服务相关，则允许流量 |
firewalld默认提供的九个zone配置文件都保存在“/usr/lib/firewalld/zones/”目录下，分别为：block.xml drop.xml home.xml public.xml work.xml dmz.xml external.xml internal.xml trusted.xml
在RHEL7中，firewalld服务是默认的防火墙配置管理工具，他拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。firewall-config和firewall-cmd是直接编辑xml文件，其中firewall-config是图形化工具，firewall-cmd是命令行工具。
先查看下当前区域的配置
firewall-cmd --list-all
看到有两个接口属于该区域，分别是ens33，ens37，已开启的服务有dhcpv6-client跟ssh
ssh
ssh在firewalld中也是默认开启的，手动添加的命令如下
firewall-cmd --add-service=ssh这里ssh已经添加过了所以给了个警告
httpd
直接添加服务，跟ssh差不多
firewall-cmd --add-service=httpchronyd
firewall-cmd --add-port=323/udpnfs
firewall-cmd --add-service=nfs
dns
firewall-cmd --add-service=dns
使用--get-services选项查看firewalld支持的服务
firewall-cmd --get-services
firewalld端口转发
实现：访问一台主机的9090端口转到另一台主机的80端口
添加富规则
firewall-cmd --add-rich-rule 'rule family="ipv4" source address="192.168.137.1" forward-port port="9090" protocol="tcp" to-addr="192.168.137.12" to-port="80"'这里192.168.137.1是我用来访问web端口的宿主机，192.168.137.11是本机，192.168.137.12是另一台机器，记得打开9090端口跟另一台机器的80端口。如果需要永久生效，在命令最后加上--permanent选项
