防火墻是具有很好的保護(hù)作用。***者必須首先穿越防火墻的安全防線，才能接觸目標(biāo)計(jì)算機(jī)。在公司里數(shù)據(jù)安全是最重要的，要求安全部門進(jìn)行全公司進(jìn)行服務(wù)器防火墻安全搭建，在原有的基礎(chǔ)上進(jìn)行安全的防火墻設(shè)置，有效避免安全隱患等問題,建議大家還是花個(gè)十多分鐘好好看一下防火墻的理論，這樣便于后期問題排查，最后一小節(jié)有常用命令操作。
防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它能增強(qiáng)機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)的安全性。它通過訪問控制機(jī)制，確定哪些內(nèi)部服務(wù)允許外部訪問，以及允許哪些外部請(qǐng)求可以訪問內(nèi)部服務(wù)。它可以根據(jù)網(wǎng)絡(luò)傳輸?shù)念愋蜎Q定IP包是否可以傳進(jìn)或傳出內(nèi)部網(wǎng)。
防火墻通過審查經(jīng)過的每一個(gè)數(shù)據(jù)包，判斷它是否有相匹配的過濾規(guī)則，根據(jù)規(guī)則的先后順序進(jìn)行一一比較，直到滿足其中的一條規(guī)則為止，然后依據(jù)控制機(jī)制做出相應(yīng)的動(dòng)作。如果都不滿足，則將數(shù)據(jù)包丟棄，從而保護(hù)網(wǎng)絡(luò)的安全。
Linux系統(tǒng)的防火墻功能是由內(nèi)核實(shí)現(xiàn)的。在2.4 版及以后的內(nèi)核中，包過濾機(jī)制是netfilter.CentOS 6管理工具是iptables，CentOS 7管理工具是firewalld ，firewalld 是Linux新一代的防火墻工具，它提供了支持網(wǎng)絡(luò)/防火墻區(qū)域 （zone） 定義網(wǎng)絡(luò)鏈接以及接口安全等級(jí)的動(dòng)態(tài)防火墻管理。
Netfilter，位于Linux內(nèi)核中的包過濾防火墻功能體系，稱為L(zhǎng)inux防火墻“內(nèi)核態(tài)”。firewall-cmd，位于/bin/firewall-cmd，是用來管理防火墻的命令工具，為防火墻體系提供過濾規(guī)則/策略，決定如何過濾或處理到達(dá)防火墻主機(jī)的數(shù)據(jù)包，稱為L(zhǎng)inux防火墻的“用戶態(tài)”。習(xí)慣上，上述2種稱呼都可以代表Linux防火墻。
（1） netfilter框架
Linux內(nèi)核包含了一個(gè)強(qiáng)大的網(wǎng)絡(luò)子系統(tǒng)，名為netfilter，它可以為iptables內(nèi)核防火墻模塊提供有狀態(tài)或無狀態(tài)的包過濾服務(wù)，如NAT、IP偽裝等，也可以因高級(jí)路由或連接狀態(tài)管理的需要而修改IP頭信息。而firewalld可以動(dòng)態(tài)管理防火墻，將netfilter的過濾功能集于一身，它也支持允許服務(wù)或者應(yīng)用程序直接添加防火墻規(guī)則的接口，netfilter所處的位置如圖1所示：
雖然防火墻模塊構(gòu)建在Linux內(nèi)核，并且要對(duì)流經(jīng)IP層的數(shù)據(jù)包進(jìn)行處理，但它并沒有改變IP協(xié)議棧的代碼，而是通過netfilter模塊將防火墻的功能引入IP層，從而實(shí)現(xiàn)防火墻代碼和IP協(xié)議棧代碼的完全分離。netfilter模塊的結(jié)構(gòu)。如圖2所示：
數(shù)據(jù)包從左邊進(jìn)入IP協(xié)議棧，進(jìn)行IP校驗(yàn)以后，數(shù)據(jù)包被PREROUTING處理，然后就進(jìn)入路由模塊，由其決定該數(shù)據(jù)包是轉(zhuǎn)發(fā)出去還是送給本機(jī)。若該數(shù)據(jù)包是送給本機(jī)的，則通過INPUT處理后傳遞給本機(jī)的上層協(xié)議；若該數(shù)據(jù)包應(yīng)該被轉(zhuǎn)發(fā)，則它將FORWARD處理，然后還要經(jīng)POSTROUTING處理后才能傳輸?shù)骄W(wǎng)絡(luò)。本機(jī)進(jìn)程產(chǎn)生的數(shù)據(jù)包要先經(jīng)過OUTPUT處理后，再進(jìn)行路由選擇處理，然后經(jīng)過POSTROUTING處理后再發(fā)送到網(wǎng)絡(luò)。
iptables服務(wù)在/etc/sysconfig/iptables中儲(chǔ)存配置，而firewalld將配置儲(chǔ)存在 /usr/lib/firewalld/和/etc/firewalld/中的各種XML文件里，使用iptables的時(shí)候每一個(gè)單獨(dú)更改意味著清除所有舊有的規(guī)則和從/etc/sysconfig/iptables里讀取所有新的規(guī)則，使用firewalld 卻不會(huì)再創(chuàng)建任何新的規(guī)則，僅僅運(yùn)行規(guī)則中的不同。因此firewalld可以在運(yùn)行時(shí)改變?cè)O(shè)置而不丟失現(xiàn)行配置。
Firewalld動(dòng)態(tài)管理防火墻，不需要重啟整個(gè)防火墻便可應(yīng)用更改。因而也就沒有必要重載所有內(nèi)核防火墻模塊。不過，要使用firewalld就要求防火墻的所有變更都要通過firewalld守護(hù)進(jìn)程來實(shí)現(xiàn)，以確保守護(hù)進(jìn)程中的狀態(tài)和內(nèi)核里的防火墻是一致的。另外，firewalld無法解析由iptables和iptables命令行工具添加的防火墻規(guī)則。 Firewalld防火墻堆棧示意圖，如圖3所示。
FirewallD 提供了支持網(wǎng)絡(luò)/防火墻區(qū)域（zone）定義網(wǎng)絡(luò)鏈接以及接口安全等級(jí)的動(dòng)態(tài)防火墻管理工具。firewalld通過將網(wǎng)絡(luò)劃分成不同的區(qū)域（通常情況下稱為 zones），制定出不同區(qū)域之間的訪問控制策略來控制不同區(qū)域間傳送的數(shù)據(jù)流。它支持 IPv4, IPv6 防火墻設(shè)置以及以太網(wǎng)橋接，并且擁有運(yùn)行時(shí)配置和永久配置選項(xiàng)。它也支持允許服務(wù)或者應(yīng)用程序直接添加防火墻規(guī)則的接口。 以前的 system-config-firewall/lokkit 防火墻模型是靜態(tài)的，每次修改都要求防火墻完全重啟。這個(gè)過程包括內(nèi)核 netfilter 防火墻模塊的卸載和新配置所需模塊的裝載等。而模塊的卸載將會(huì)破壞狀態(tài)防火墻和確立的連接。
相反，firewall daemon 動(dòng)態(tài)管理防火墻，不需要重啟防火墻便可應(yīng)用更改。因而也就沒有必要重載所有內(nèi)核防火墻模塊了。不過，要使用 firewall daemon 就要求防火墻的所有變更都要通過該守護(hù)進(jìn)程來實(shí)現(xiàn)，以確保守護(hù)進(jìn)程中的狀態(tài)和內(nèi)核里的防火墻是一致的。另外，firewall daemon 無法解析由 ip*tables 和 ebtables 命令行工具添加的防火墻規(guī)則。守護(hù)進(jìn)程通過 D-BUS 提供當(dāng)前激活的防火墻設(shè)置信息，也通過 D-BUS 接受使用 PolicyKit 認(rèn)證方式做的更改。應(yīng)用程序、守護(hù)進(jìn)程和用戶可以通過D-BUS請(qǐng)求啟用一個(gè)防火墻特性。特性可以是預(yù)定義的防火墻功能，如：服務(wù)、端口和協(xié)議的組合、端口/數(shù)據(jù)報(bào)轉(zhuǎn)發(fā)、偽裝、ICMP 攔截或自定義規(guī)則等。該功能可以啟用確定的一段時(shí)間也可以再次停用。
網(wǎng)絡(luò)區(qū)域定義了網(wǎng)絡(luò)連接的可信等級(jí)。這是一個(gè)一對(duì)多的關(guān)系，這意味著一次連接可以僅僅是一個(gè)區(qū)域的一部分，而一個(gè)區(qū)域可以用于很多連接。一個(gè)IP可以看作是一個(gè)區(qū)域、一個(gè)網(wǎng)段可以看作是一個(gè)區(qū)域，局域網(wǎng)、互聯(lián)網(wǎng)都可以看作是一個(gè)區(qū)域。例如：
配置或者增加區(qū)域：可以使用任何一種 firewalld 配置工具來配置或者增加區(qū)域，以及修改配置。工具有例如 firewall-config 這樣的圖形界面工具， firewall-cmd 這樣的命令行工具，以及D-BUS接口。或者也可以在配置文件目錄中創(chuàng)建或者拷貝區(qū)域文件。 @PREFIX@/lib/firewalld/zones 被用于默認(rèn)和備用配置，/etc/firewalld/zones 被用于用戶創(chuàng)建和自定義配置文件。
修改區(qū)域：區(qū)域設(shè)置以 ZONE= 選項(xiàng) 存儲(chǔ)在網(wǎng)絡(luò)連接的ifcfg文件中。如果這個(gè)選項(xiàng)缺失或者為空，firewalld 將使用配置的默認(rèn)區(qū)域。如果這個(gè)連接受到 NetworkManager 控制，也可以使用 nm-connection-editor 來修改區(qū)域。
由NetworkManager控制的網(wǎng)絡(luò)連接：防火墻不能夠通過 NetworkManager 顯示的名稱來配置網(wǎng)絡(luò)連接，只能配置網(wǎng)絡(luò)接口。因此在網(wǎng)絡(luò)連接之前 NetworkManager 將配置文件所述連接對(duì)應(yīng)的網(wǎng)絡(luò)接口告訴 firewalld 。如果在配置文件中沒有配置區(qū)域，接口將配置到 firewalld 的默認(rèn)區(qū)域。如果網(wǎng)絡(luò)連接使用了不止一個(gè)接口，所有的接口都會(huì)應(yīng)用到 fiwewalld。接口名稱的改變也將由 NetworkManager 控制并應(yīng)用到firewalld。為了簡(jiǎn)化，網(wǎng)絡(luò)連接將被用作與區(qū)域的關(guān)系。如果一個(gè)接口斷開了，NetworkManager也將告訴firewalld從區(qū)域中刪除該接口。當(dāng)firewalld由systemd或者init腳本啟動(dòng)或者重啟后，firewalld將通知NetworkManager把網(wǎng)絡(luò)連接增加到區(qū)域。
CentOS 7中使用firewall-config圖形界面管理的防火墻策略。也可以使用firewall-cmd命令行工具進(jìn)行管理， firewall-cmd 支持全部防火墻特性，對(duì)于狀態(tài)和查詢模式，命令只返回狀態(tài)，沒有其它輸出。另外還可以直接編輯/etc/firewalld/中的配置文件用來管理firewalld的策略。
firewall-cmd支持防火墻的所有特性，管理員可以用它來改變系統(tǒng)或用戶策略，通過 firewall-cmd用戶可以配置防火墻允許通過的服務(wù)、端口、偽裝、端口轉(zhuǎn)發(fā)、和ICMP過濾器和調(diào)整 zone（區(qū)域）設(shè)置等功能。
firewall-cmd工具支持兩種策略管理方式，運(yùn)行時(shí)和永久設(shè)置，需要分別設(shè)置兩者：
防火墻管理命令格式：
firewall-cmd [Options…]
firewall-cmd支持上百參數(shù)，下表為常用Options說明，如表所示：
| firewall-cmd命令 | 說明 |
|---|---|
| --get-default-zone | 查詢當(dāng)前默認(rèn)區(qū)域 |
| --set-default-zone= | 設(shè)置默認(rèn)區(qū)域，會(huì)更改運(yùn)行時(shí)和永久配置 |
| --get-zones | 列出所有可用區(qū)域 |
| --get-active-zones | 列出正在使用的所有區(qū)域（具有關(guān)聯(lián)的接口或源）機(jī)器接口和源信息 |
| --add-source= | 將來自IP地址或網(wǎng)絡(luò)/子網(wǎng)掩碼 |
| --remove-source= | 從指定區(qū)域中刪除用于路由來自IP地址或網(wǎng)絡(luò)/子網(wǎng)掩碼 |
| --add-interface= | 將來自 |
| --change-interface= | 將接口與 |
| --list-all [--zone= | 列出 |
| --list-all-zones | 檢索所有區(qū)域的所有信息（接口、源、端口、服務(wù)等） |
| --add-service= | 允許到 |
| --add-port= | 允許到 |
| --remove-service= | 從區(qū)域允許列表中刪除 |
| --remove-port= | 從區(qū)域允許列表中刪除 |
| --reload | 丟棄運(yùn)行時(shí)配置，并應(yīng)用持久配置 |
firewall-config支持防火墻的所有特性，管理員可以用它來改變系統(tǒng)或用戶策略，通過 firewall-config 用戶可以配置防火墻允許通過的服務(wù)、端口、偽裝、端口轉(zhuǎn)發(fā)、和ICMP過濾器和調(diào)整 zone（區(qū)域）設(shè)置等功能以使防火墻設(shè)置更加的自由、安全和強(qiáng)健。
firewall-config工作界面。如圖4所示。
firewall-config工作界面分成三個(gè)部分：上面是主菜單，中間是配置選項(xiàng)卡，包括區(qū)域、服務(wù)設(shè)置選項(xiàng)卡，底部是狀態(tài)欄，狀態(tài)欄從左到右以此是連接狀態(tài)、默認(rèn)區(qū)域、鎖定狀態(tài)、應(yīng)急模式。
在左下方角落尋找“已連接”字符，這標(biāo)志著 firewall-config工具已經(jīng)連接到用戶區(qū)后臺(tái)程序 firewalld。
firewall-config 主菜單包括四個(gè)選項(xiàng)：文件，選項(xiàng)，查看，幫助。其中選項(xiàng)子菜單是最主要的，它包括幾個(gè)部分：
firewall-config 配置選項(xiàng)卡包括：運(yùn)行時(shí)和永久。
區(qū)域選項(xiàng)卡是一個(gè)主要設(shè)置界面，firewalld 提供了10種預(yù)定義的區(qū)域，區(qū)域配置選項(xiàng)和通用配置信息可以在 firewall.zone（5） 的手冊(cè)里查到，
區(qū)域選項(xiàng)卡有八個(gè)子選項(xiàng)卡，分別是服務(wù)、端口、偽裝、端口轉(zhuǎn)發(fā)、ICMP過濾器、富規(guī)則、接口、來源，如圖3-1-5所示。
（4）firewall-config 服務(wù)選項(xiàng)卡
預(yù)定義了幾十種重要服務(wù)，可通過命令firewall-cmd --get-services查詢，服務(wù)是端口、協(xié)議、模塊和目標(biāo)地址的集合，該選項(xiàng)卡配置只能在永久配置視圖中修改服務(wù)，不能在運(yùn)行時(shí)配置中修改。
服務(wù)選項(xiàng)卡底下包含端口和協(xié)議、模塊、目標(biāo)地址三種子選項(xiàng)卡，如圖所示。。
管理員可以規(guī)定哪些用戶可以使用用戶交互模式和限制防火墻可用特性。
端口元數(shù)據(jù)信息（由 Lennart Poettering 提議），擁有一個(gè)端口獨(dú)立的元數(shù)據(jù)信息是很好的。應(yīng)用程序或服務(wù)的端口是動(dòng)態(tài)的，因而端口本身并不能描述使用情況，所以對(duì) /etc/services 的端口和協(xié)議靜態(tài)分配模型不是個(gè)好的解決方案，也沒有反映當(dāng)前使用情況。。
元數(shù)據(jù)信息可以用來為防火墻制定簡(jiǎn)單的規(guī)則。下面是一些例子：
這里的元數(shù)據(jù)信息不只有特定應(yīng)用程序，還可以是一組使用情況。例如：組“全部共享”或者組“文件共享”可以對(duì)應(yīng)于全部共享或文件共享程序（如：torrent 文件共享）。這些只是例子，因而，可能并沒有實(shí)際用處。
這里是在防火墻中獲取元數(shù)據(jù)信息的兩種可能途徑：
第二種解決方案的好處是不需要為有新的元數(shù)據(jù)組和納入改變（可信級(jí).用戶偏好或管理員規(guī)則等等）重新編譯內(nèi)核。這些抽象規(guī)則的添加使得 firewall daemon 更加自由。即使是新的安全級(jí)也不需要更新內(nèi)核即可輕松添加。
實(shí)際應(yīng)用中對(duì)sysctl 設(shè)置經(jīng)常出現(xiàn)錯(cuò)誤。
一個(gè)例子是，在 rc.sysinit 正運(yùn)行時(shí)，而提供設(shè)置的模塊在啟動(dòng)時(shí)沒有裝載或者重新裝載該模塊時(shí)會(huì)發(fā)生問題。
另一個(gè)例子是 net.ipv4.ip_forward ，防火墻設(shè)置.libvirt 和用戶/管理員更改都需要它。如果有兩個(gè)應(yīng)用程序或守護(hù)進(jìn)程只在需要時(shí)開啟 ip_forwarding ，之后可能其中一個(gè)在不知道的情況下關(guān)掉服務(wù)，而另一個(gè)正需要它，此時(shí)就不得不重啟它。
sysctl daemon 可以通過對(duì)設(shè)置使用內(nèi)部計(jì)數(shù)來解決上面的問題。此時(shí)，當(dāng)請(qǐng)求者不再需要時(shí)，它就會(huì)再次回到之前的設(shè)置狀態(tài)或者是直接關(guān)閉它。
firewalld 和 iptables service 之間最本質(zhì)區(qū)別是：
啟動(dòng)： systemctl start firewalld
關(guān)閉： systemctl stop firewalld
查看狀態(tài)： systemctl status firewalld
開機(jī)禁用 ： systemctl disable firewalld
開機(jī)啟用 ： systemctl enable firewalld
(2) systemctl是CentOS7的服務(wù)管理工具中主要的工具，它融合之前service和chkconfig的功能于一體。
啟動(dòng)一個(gè)服務(wù)：systemctl start firewalld.service
關(guān)閉一個(gè)服務(wù)：systemctl stop firewalld.service
重啟一個(gè)服務(wù)：systemctl restart firewalld.service
顯示一個(gè)服務(wù)的狀態(tài)：systemctl status firewalld.service
在開機(jī)時(shí)啟用一個(gè)服務(wù)：systemctl enable firewalld.service
在開機(jī)時(shí)禁用一個(gè)服務(wù)：systemctl disable firewalld.service
查看服務(wù)是否開機(jī)啟動(dòng)：systemctl is-enabled firewalld.service
查看已啟動(dòng)的服務(wù)列表：systemctl list-unit-files|grep enabled
查看啟動(dòng)失敗的服務(wù)列表：systemctl --failed
(3) 配置firewalld-cmd
重慶分公司
重慶分公司
#《實(shí)例一》防火墻查詢
firewall-cmd --version //查看版本
firewall-cmd --help // 查看幫助
firewall-cmd --state // 顯示狀態(tài)
firewall-cmd --get-services //獲取支持服務(wù)列表（firewalld內(nèi)置服務(wù)支持）
firewall-cmd --zone=public --list-ports //查看所有打開的端口
firewall-cmd --list-forward-ports //查看轉(zhuǎn)發(fā)的端口
fierewall-cmd –reload //重新加載防火墻策略
firewall-cmd --get-active-zones //查看區(qū)域信息
firewall-cmd --list-all-zones //列出全部啟用的區(qū)域的特性
firewall-cmd --list-services //顯示防火墻當(dāng)前服務(wù)
firewall-cmd --get-zone-of-interface=eth0 //查看指定接口所屬區(qū)域
firewall-cmd --panic-on //拒絕所有包
firewall-cmd --panic-offfir //取消拒絕狀態(tài)
firewall-cmd --query-panic //查看是否拒絕
*# 《實(shí)例二》 運(yùn)行時(shí)區(qū)域策略設(shè)置示例（注：以下示例不加zone的為默認(rèn)區(qū)域public）
firewall-cmd --add-service=ssh //允許 ssh 服務(wù)通過
firewall-cmd --remove-service=ssh //禁止 ssh 服務(wù)通過
firewall-cmd --add-service=samba --timeout=600 //臨時(shí)允許 samba 服務(wù)通過 600 秒
firewall-cmd --add-service=http --zone=work //允許http服務(wù)通過work區(qū)域
firewall-cmd --zone=work --add-service=http //從work區(qū)域打開http服務(wù)
firewall-cmd --zone=internal --add-port=443/tcp //打開 443/tcp 端口在內(nèi)部區(qū)域（internal）
firewall-cmd --zone=internal --remove-port=443/tcp //關(guān)閉443/tcp 端口在內(nèi)部區(qū)域（internal）
firewall-cmd --add-interface=eth0 //打開網(wǎng)卡eth0
firewall-cmd --remove-interface=eth0 //關(guān)閉網(wǎng)卡eth0
#《 實(shí)例三》 永久區(qū)域策略設(shè)置示例（注：以下示例不加zone的為默認(rèn)區(qū)域public；永久設(shè)置均需重新加載防火墻策略或重啟系統(tǒng)）
firewall-cmd --permanent --add-service=ftp //永久允許 ftp 服務(wù)通過
firewall-cmd --permanent --remove-service=ftp //永久禁止 ftp 服務(wù)通過
firewall-cmd --permanent --add-service=http --zone=external //永久允許http服務(wù)通過external區(qū)域
firewall-cmd --permanent --add-service=http --zone=external //永久允許http服務(wù)通過external區(qū)域
firewall-cmd --permanent --zone=internal --add-port=111/tcp //打開 111/tcp 端口在內(nèi)部區(qū)域（internal）
firewall-cmd --permanent --zone=internal --remove-port=111/tcp //關(guān)閉 111/tcp 端口在內(nèi)部區(qū)域（internal）
firewall-cmd --permanent --add-interface=eth0 //永久打開網(wǎng)卡eth0
firewall-cmd --permanent --remove-interface=eth0 //永久關(guān)閉網(wǎng)卡eth0
firewall-cmd --permanent --zone=public --add-port=8080-8083/tcp //添加多個(gè)端口
firewall-cmd --permanent --zone=public --remove-port=81/tcp //刪除某個(gè)端口
firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="192.168.1.51" accept" //刪除某個(gè)IP
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.0/16" accept" //
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="9200" accept" //針對(duì)某個(gè)ip段訪問
firewall-cmd --reload //添加操作后別忘了執(zhí)行重載才會(huì)生效歡迎各位關(guān)注個(gè)人公號(hào)“沒有故事的陳師傅”
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì)，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。
