firewalld 配置

Firewalld简介

Firewalld是一个开源的动态主机防火墙管理工具，可以在Linux系统上提供更加灵活的防火墙管理方案。它采用了D-Bus API来与网络管理器、SELinux和其他系统组件进行交互。它基于iptables，使用xml配置文件来管理防火墙规则。

Firewalld安装与配置

Firewalld在大多数Linux发行版上都可以使用包管理器进行安装。在CentOS和Red Hat Enterprise Linux 7上，可以使用以下命令安装：

```

sudo yum install firewalld

安装完成之后，需要启动firewalld服务，并将其添加到系统启动项中：

sudo systemctl start firewalld

sudo systemctl enable firewalld

Firewalld基本概念

在Firewalld中，有以下几个基本概念：

- 区域（zone）：定义了网络接口的安全级别，即哪些网络接口是可信的、哪些网络接口是不可信的。

- 服务（service）：定义了允许进出的端口和协议。

- 源（source）：定义了可以访问该计算机的IP地址或IP地址范围，也可以是一个网络接口的名称。

- 规则（rule）：定义了允许或拒绝哪些数据包通过防火墙。

Firewalld配置示例

以下是一个简单的Firewalld配置示例。

假设我们有两个网卡：一个用于内部网络（eth0），一个用于外部网络（eth1）。我们需要允许内部网络上的所有计算机访问外部网络上的Web服务器（TCP端口80）。我们需要保护Web服务器，只允许指定的IP地址（192.168.1.100）访问。

我们需要将eth0接口设置为内部区域，将eth1接口设置为外部区域：

sudo firewall-cmd --permanent --zone=internal --change-interface=eth0

sudo firewall-cmd --permanent --zone=external --change-interface=eth1

我们需要定义两个服务：HTTP服务和HTTPS服务。我们只需要定义TCP端口80和443，Firewalld会自动识别对应的协议。

sudo firewall-cmd --permanent --zone=external --add-service=http

sudo firewall-cmd --permanent --zone=external --add-service=https

接下来，我们需要允许内部网络中的计算机访问外部网络上的Web服务器。我们可以使用源IP地址来限制访问。

sudo firewall-cmd --permanent --zone=external --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" forward-port port="80" protocol="tcp" to-port="80"'

sudo firewall-cmd --permanent --zone=external --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" forward-port port="443" protocol="tcp" to-port="443"'

我们需要限制外部网络上的Web服务器，只允许指定的IP地址访问。我们也可以在此处限制访问协议和端口。

sudo firewall-cmd --permanent --zone=external --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="80" protocol="tcp" accept'

sudo firewall-cmd --permanent --zone=external --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="443" protocol="tcp" accept'

配置完成之后，我们需要重新加载防火墙规则。

sudo firewall-cmd --reload

Firewalld是一个强大的动态主机防火墙管理工具，可以提供更加灵活的防火墙管理方案。在使用Firewalld时，需要理解基本概念，如区域、服务、源和规则，并根据实际需求进行配置。在配置时，需要注意安全性和效率，并进行适当的测试。Firewalld可以帮助我们保护计算机安全，防止网络攻击和恶意代码的入侵。