3.6.1 火墙介绍和火墙管理工具切换
1.netfilter
2.1iptables
2.2firewalld
2.1和2.2 都是为1服务 两者不可共存，有功能上的优劣
firewalld—–>iptables
dnf install ipables-services -y
systemctl stop firewalld
systemctl disable firewalld
systemctl mask firewalld ##锁住firewalld服务
systemctl enable --now iptables
iptables—–>firewalld
systemctl stop iptables
systemctl disable iptables
systemctl mask iptables
systemctl unmask firewalld ##解锁firewalld服务
systemctl enable --now firewalld
默认策略中的5条链
input ##输入
output ##输出
forward ##转发
postrouting ##路由之后
prerouting ##路由之前
默认的3张表
filter ##经过本机内核的数据（input output forward）
nat ##不经过内核的数据（postrouting，prerouting,input,output）
mangle ##当filter和nat表不够用时使用（input output forward postrouting，prerouting,）
3.6.2 firewalld用法
1.firewalld的开启
dnf install firewall-config-0.8.0-4.e18.noarch -y ##火墙图形模式
firewall-config ##开启图形
2.关于firewalld的域
trusted ##接受所有的网络连接
home ##用于家庭网络，允许接受ssh mdns ipp-client samba-client dhcp-client
work ##工作网络 ssh ipp-client dhcp-client
public ##公共网络 ssh dhcp-client
dmz ##军级网络 ssh
block ##拒绝所有
drop ##丢弃 所有数据全部丢弃无任何回复
internal ##内部网络 ssh mdns ipp-client samba-client dhcp-client
external ##ipv4网络地址伪装转发 sshd
3.关于firewalld的设定原理及数据存储
/etc/firewalld ##火墙配置目录
/lib/firewalld ##火墙模块目录
4. firewalld的管理命令
firewall-cmd –state ##查看火墙状态
firewall-cmd –get-active-zones ##查看当前火墙中生效的域
firewall-cmd –get-default-zone ##查看默认域
firewall-cmd –list-all ##查看默认域中的火墙策略
firewall-cmd –list-all –zone=work ##查看指定域的火墙策略
firewall-cmd –set-default-zone=trusted ##设定默认域
firewall-cmd –get-services ##查看所有可以设定的服务
firewall-cmd –permanent –remove-service=cockpit ##移除服务
firewall-cmd –reload ##刷新
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block ##指定数据来源访问指定域 firewall-cmd --reload firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block ##删除自定域中的数据来源 firewall-cmd --permanent --remove-interface=ens224 --zone=public ##删除指定域的网络接口 firewall-cmd --permanent --add-interface=ens224 --zone=block ##添加指定域的网络接口 firewall-cmd --permanent --change-interface=ens224 --zone=public ##更改网络接口到指定域
5. firewalld的高级规则
firewall-cmd --direct --get-all-rules ##查看规则
firewall-cmd --direct --add-rule ipv4 filter INPUT 1 ! -s 172.25.254.22 -p tcp --dport 80 -j REJECT ##除了22其他不可访问http
添加规则 表 限制输入 除了 指定ip tcp协议 指定端口 拒绝
firewall-cmd --direct --remove-rule ipv4 filter INPUT 1 '!' -s 172.25.254.22 -p tcp --dport 80 -j REJECT ##删除规则
6. firewalld中的NAT
SNAT （当用单网卡1.1.1.0网段连接双网卡，需给单网卡设置网关并在双网卡开启地址伪装）
单网卡：
vim/etc/sysconfig/network
GATEWAY=1.1.1.122
双网卡：
firewall-cmd –permanent –add-masquerade
firewall-cmd –reload
DNAT (主机a双网卡， 主机b 单网卡， 当有其他主机连接双网卡，会转接至222主机 ifconfig看到1.1.1.222)
firewall-cmd –permanent –add-forward-port=port=22:proto=tcp:toport=22:toaddr=1.1.1.222
firewall-cmd –reload
3.6.3 iptables 的使用
1.iptables命令
iptables
-t ##指定表名称
-n ##不做解析
-L ##查看
-A ##添加策略
-p ##协议
--dport ##目的地端口
-s ##来源
-j ##动作
ACCEPT ##允许
DROP ##丢弃
REJECT ##拒绝
SNAT ##源地址转换
DNAT ##目的地地址转换
-N ##新建链
-E ##更改链名称
-X ##删除链
-D ##删除规则
-I ##插入规则
-R ##更改规则
-P ##更改默认规则 （三张表的policy后的值 ACCEPT REJECT DROP）
-F ##删除所有策略非永久策略优化：
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT ##所有建立过连接的或者正在连接的数据包都被接受
iptables -A INPUT -m state --state NEW -i lo -j ACCEPT ##属于自身回环接口的新数据包都被接受
ptables -A INPUT -m state --state NEW -j REJECT ##其他所有新的数据包会被拒绝
iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT ##tcp网络协议 80端口数据包都被接受
iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT
service iptables save ##永久保存数据策略
2.nat表中的dnat snat
snat 输出
iptable -t nat -A POSTROUTING -o ens3 -j SNAT –to-source 172.25.254.122
sysctl -a | grep ip_forward
vim /etc/sysctl.conf ##刷新配置策略
sysctl -pless /etc/sevices ##查看端口号
cat /etc/services
dnat 主机a双网卡1， 主机b 单网卡， 当有其他主机连接双网卡，会转接至222主机 ifconfig看到1.1.1.222
iptables -t nat -A PREROUTING -i ens3 -j DNAT –to-dest 1.1.1.222
