防火墙
firewalld防火墙
防火墙概述
在centos7版本之前,使用iptables防火墙
防火墙规则
入站规则
出站规则
注意:防火墙默认全部拒绝
防火墙使用的区域管理
区域选项 | 默认规则策略 |
---|---|
trusted | 运行所有的数据包流入流出 |
public | 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、dhcpv6-client服务相关,则允许流 量 |
drop | 拒绝流入的流量,除非与流出的流量相关 |
防火墙基本操作指令
# 区域相关命令
# 获取当前默认区域
[root@m01 nginx]# firewall-cmd --get-default-zone
public
# 设置默认区域
[root@m01 nginx]# firewall-cmd --set-default-zone=drop
success
# 查看所有可用的区域
[root@m01 nginx]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
# 新增区域
[root@m01 nginx]# firewall-cmd --new-zone=zls --permanent
# 切换到新创建的区域
[root@m01 nginx]# firewall-cmd --new-zone=huanglong --permanent
success
[root@m01 nginx]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work zls
[root@m01 nginx]# firewall-cmd --reload
success
[root@m01 nginx]# firewall-cmd --get-zones
block dmz drop external home huanglong internal public trusted work zls
[root@m01 nginx]# firewall-cmd --set-default-zone=huanglong
success
# 服务相关的命令
# 查看支持的服务名
[root@m01 nginx]# firewall-cmd --get-services
# 添加服务入站的规则
# 添加https服务允许入站,是临时生效,重启防火墙后失效
[root@m01 nginx]# firewall-cmd --add-service=https
success
# 添加https服务允许入站,永久生效,但是必须要重启防火墙才可以生效
[root@m01 nginx]# firewall-cmd --add-service=https --permanent
success
# 删除服务入站规则
[root@m01 nginx]# firewall-cmd --remove-service=https
success
[root@m01 nginx]# firewall-cmd --remove-service=https --permanent
success
# 防火墙开启端口的相关命令
# 开启指定端口
[root@m01 ~]# firewall-cmd --add-port=6379/tcp
success
[root@m01 ~]# firewall-cmd --add-port=6379/tcp --permanent
success
# 开启范围端口
[root@m01 ~]# firewall-cmd --add-port=1-6379/tcp --permanent
success
[root@m01 ~]# firewall-cmd --add-port=1-6379/tcp
success
# 防火墙脚本
- hosts: all
tasks:
- name: 开启对应机器防火墙端口
firewalld:
port: "{{ item }}"
permanent: yes
state: enabled
with_items:
- "{{ port }}"
host_vars
web01.yml
port:
- 443/tcp
- 80/tcp
db01.yml
port:
- 3306/tcp
- 10050/tcp
# 防火墙添加网卡命令
# 将eth0加入到drop区域
[root@m01 ~]# firewall-cmd --add-interface=eth0 --zone=drop
# 查看当前默认区域的所有规则
[root@m01 nginx]# firewall-cmd --list-all
# 重新加载防火墙
[root@m01 ~]# firewall-cmd --reload
C:\Users\oldboy>netstat -an|findstr 22
TCP 10.0.0.1: 55902 10.0.0.61: 22 ESTABLISHED
来源IP 来源端口 目标IP 目标端口
public (active) # 当前正在使用的区域
target: default # 当前默认的区域
icmp-block-inversion: no # icmp块:没有开启
interfaces: eth1 eth0 # 当前区域监听的网卡
sources: # 来源IP 10.0.0.1
services: ssh dhcpv6-client https # 允许访问服务
ports: 80/tcp 443/tcp 10050/tcp # 允许访问的端口
protocols: # 允许访问的协议
masquerade: yes # IP伪装(只有内网IP地址的机器通过IP伪装上网)
forward-ports: # 端口转发,端口映射 80 172.16.1.71:8080
source-ports: # 来源端口 55902
icmp-blocks: # icmp块
rich rules: # 富规则,富语言规则
rule family="ipv4" source address="10.0.0.6" accept
rule family="ipv4" source address="10.0.0.5" accept
使用rewalld各个区域规则结合配置,调整默认public区域拒绝所有流量,但如果来源IP是10.0.0.0/24网段则允许
# 移除public区域所有允许放行的规则
[root@m01 ~]# firewall-cmd --remove-service=ssh --remove-service=dhcpv6-client
# 将源IP网段加入到trusted区域中
[root@m01 ~]# firewall-cmd --add-source=10.0.0.0/24 --zone=trusted
# 查看正在使用的区域
[root@m01 ~]# firewall-cmd --get-active-zone
查询public区域是否语序请求SSH HTTPS协议的流量
[root@m01 ~]# firewall-cmd --zone=public --query-service=https
yes
[root@m01 ~]# firewall-cmd --zone=public --query-service=zabbix-server
no
#!/bin/bash
service_name=$1
res=`firewall-cmd --zone=public --query-service=$service_name`
if [ $res == 'no' ];then
firewall-cmd --zone=public --add-service=$service_name
else
echo "$service_name 已经被放行,无需重复执行..."
fi
防火墙放行自定义服务
# 复制ssh.xml
[root@m01 ~]# cp /usr/lib/firewalld/services/{ssh,keep}.xml
# 添加自定义服务的xml文件
[root@m01 ~]# vim /usr/lib/firewalld/services/keep.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
<short>sersync</short>
<description>xxx .... sersync....</description>
<port protocol="tcp" port="874"/>
</service>
# 添加自定义的服务名
[root@m01 services]# firewall-cmd --add-service=sersync
success
firewalld防火墙端口转发策略
# 端口转发公式
firewalld-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
firewall-cmd --permanent --zone=public --add-forwardport=port=8888:proto=tcp:toport=80:toaddr=172.16.1.7
# 开启ip伪装
[root@m01 ~]# firewall-cmd --add-masquerade
firewalld富语言规则
rewalld中的富语言规则表示更细致,更详细的防火墙策略配置,他可以针对系统服务、端口号、原地址和目标地址 等诸多信息进行更有针对性的策略配置,优先级在所有的防火墙策略中也是最高的,下面为rewalld富语言规则帮助 手册
[root@m01 ~]# man firewall-cmd
[root@m01 ~]# man firewalld.richlanguage
rule
[source]
[destination]
service|port|protocol|icmp-block|icmp-type|masquerade|forward-port|sourceport
[log]
[audit]
[accept|reject|drop|mark]
rule [family="ipv4|ipv6"]
source address="address[/mask]" [invert="True"]
service name="service name"
port port="port value" protocol="tcp|udp"
protocol value="protocol value"
forward-port port="port value" protocol="tcp|udp" to-port="port value" toaddr="address"
accept | reject [type="reject type"] | drop
#富语言规则相关命令
--add-rich-rule='<RULE>' #在指定的区域添加一条富语言规则
--remove-rich-rule='<RULE>' #在指定的区删除一条富语言规则
--query-rich-rule='<RULE>' #找到规则返回0,找不到返回1
--list-rich-rules #列出指定区里的所有富语言规则
练习题
# 1.比如允许10.0.0.1主机能够访问http服务,允许172.16.1.0/24能访问10050端口
[root@web01 ~]# firewall-cmd --remove-service=ssh
success
[root@web01 ~]# firewall-cmd --remove-service=dhcpv6-client
success
[root@web01 ~]# firewall-cmd --remove-service=dhcpv6-client --permanent
success
[root@web01 ~]# firewall-cmd --remove-service=ssh --permanent
success
firewall-cmd --add-rich-rule='rule family="ipv4" source address="10.0.0.1" service
name="http" accept'
# 2.默认public区域对外开放所有人能通过ssh服务连接,但拒绝172.16.1.0/24网段通过ssh连接服务器
[root@m01 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 service name=ssh drop'
# 3.使用firewalld,允许所有人能访问http,https服务,但只有10.0.0.1主机可以访问ssh服务
[root@m01 ~]# firewall-cmd --remove-service=ssh
[root@m01 ~]# firewall-cmd --add-service={http,https}
[root@m01 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 service name=ssh accept'
# 4.当用户来源IP地址是10.0.0.1主机,则将用户请求的5555端口转发至后端172.16.1.7的22端口
[root@m01 ~]# firewall-cmd --add-masquerade
[root@m01 ~]# firewall-cmd --add-rich-rule='rule family="ipv4" source address="10.0.0.1" forward-port port="5555" protocol="tcp" to-port="22" to-addr="172.16.1.7"'
# 5.查看设定的规则,如果没有添加--permanent参数则重启firewalld会失效。富规则按先后顺序匹配,按先匹配到的规则生效
[root@m01 ~]# firewall-cmd --list-rich-rules
rule family="ipv4" source address="10.0.0.1" service name="http" accept
rule family="ipv4" source address="172.16.1.0/24" service name="ssh" drop
rule family="ipv4" source address="10.0.0.1" service name="ssh" accept
rule family="ipv4" source address="10.0.0.1" forward-port port="5555" protocol="tcp" to-port="22" to-addr="172.16.1.9"
防火墙开启内部上网
服务端
# 开启的虚拟ip
[root@Firewalld ~]# firewall-cmd --add-masquerade --permanent
[root@Firewalld ~]# firewall-cmd --reload
# 防火墙开启内核转发
#配置内核转发
[root@m01 ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
#在CentOS6中开启之后生效命令
[root@m01 ~]# sysctl -p
#查看内核转发是否开启
[root@m01 ~]# sysctl -a|grep net.ipv4.ip_forward
net.ipv4.ip_forward = 1
# 关闭eth0
[root@m01 ~]# ifdown eth0
# 关闭eth1并开启eth1
[root@m01 ~]# ifdown eth1 && ifup eth1
# 测试后端网段是否正常
[root@web03 ~]# ping baidu.com
PING baidu.com (123.125.115.110) 56(84) bytes of data.
64 bytes from 123.125.115.110 (123.125.115.110): icmp_seq=1 ttl=127 time=9.08 ms
客户端
# 下发客户端配置网关
# roles文件
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
NAME=eth1
DEVICE=eth1
ONBOOT=yes
IPADDR={{ ansible_eth1.ipv4.address }}(变量)
NETMASK=255.255.255.0
GATEWAY=172.16.1.61
DNS1=223.5.5.5
ZOME=public
防火墙iptables如何让没有公网的机器上网
#外网服务器上
#1.启动iptables:
[root@m01 ~]# /etc/init.d/iptables start
#2.开启内核转发
[root@m01 ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
#3.完成后,使其生效
[root@m01 ~]# sysctl -p
#4.开启流量转发
[root@m01 ~]# iptables -t nat -A POSTROUTING -s 172.16.1.0/255.255.255.0 -j SNAT --to 10.0.0.61
#5.开启IP伪装
[root@m01 ~]# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#6.保存防火墙规则
[root@m01 ~]# /etc/init.d/iptables save
###内网客户端服务器上
#1.编辑eth1网卡
[root@web03 ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth1
GATEWAY=172.16.1.61
#2.配置DNS
[root@web03 ~]# cat /etc/resolv.conf
nameserver 223.5.5.5
#3.关闭eth0;重启eth1
[root@web03 ~]# ifdown eth0
[root@web03 ~]# ifdown eth1
[root@web03 ~]# ifup eth1
#4.查看网关
[root@web03 ~]# route -n
172.16.1.61
#5.检测网络
[root@web03 ~]# ping www.baidu.com