Linux防火墙

CentOS7默认的防火墙不是iptables,而是firewalle.

CentOS 7.0默认使用的是firewall做为防火墙，这里改成iptables防火墙。
firewall：
systemctl start firewalld.service         #启动firewall
systemctl stop firewalld.service         #中止firewall
systemctl disable firewalld.service        #禁止firewall开机启动

systemctl status firewalld                #  查看防火墙状态

---

 

2.防火墙详述



官方文档地址：https://access.redhat.com/docume ... uction_to_firewalld

一、firewalld简介
firewalld是centos7的一大特性，最大的好处有两个：支持动态更新，不用重启服务；第二个就是加入了防火墙的“zone”概念

firewalld有图形界面和工具界面，因为我在服务器上使用，图形界面请参照官方文档，本文以字符界面作介绍

firewalld的字符界面管理工具是 firewall-cmd 

firewalld默认配置文件有两个：/usr/lib/firewalld/ （系统配置，尽可能不要修改）和 /etc/firewalld/ （用户配置地址）

zone概念：
硬件防火墙默认通常有三个区，firewalld引入这一律念系统默认存在如下区域（根据文档本身理解，若是有误请指正）：
drop：默认丢弃全部包
block：拒绝全部外部链接，容许内部发起的链接
public：指定外部链接能够进入
external：这个不太明白，功能上和上面相同，容许指定的外部链接
dmz：和硬件防火墙同样，受限制的公共链接能够进入
work：工做区，概念和workgoup同样，也是指定的外部链接容许
home：相似家庭组
internal：信任全部链接
对防火墙不算太熟悉，还没想明白public、external、dmz、work、home从功能上都须要自定义容许链接，具体使用上的区别还需高人指点

二、安装firewalld
root执行 # yum install firewalld firewall-config

三、运行、中止、禁用firewalld
启动：# systemctl start  firewalld
查看状态：# systemctl status firewalld 或者 firewall-cmd --state
中止：# systemctl disable firewalld
禁用：# systemctl stop firewalld

四、配置firewalld
查看版本：$ firewall-cmd --version
查看帮助：$ firewall-cmd --help
查看设置：
                显示状态：$ firewall-cmd --state
                查看区域信息: $ firewall-cmd --get-active-zones
                查看指定接口所属区域：$ firewall-cmd --get-zone-of-interface=eth0
拒绝全部包：# firewall-cmd --panic-on
取消拒绝状态：# firewall-cmd --panic-off
查看是否拒绝：$ firewall-cmd --query-panic

更新防火墙规则：# firewall-cmd --reload
                            # firewall-cmd --complete-reload
    二者的区别就是第一个无需断开链接，就是firewalld特性之一动态添加规则，第二个须要断开链接，相似重启服务

将接口添加到区域，默认接口都在public
# firewall-cmd --zone=public --add-interface=eth0
永久生效再加上 --permanent 而后reload防火墙

设置默认接口区域
# firewall-cmd --set-default-zone=public
当即生效无需重启

打开端口（貌似这个才最经常使用）
查看全部打开的端口：
# firewall-cmd --zone=dmz --list-ports
加入一个端口到区域：
# firewall-cmd --zone=dmz --add-port=8080/tcp
若要永久生效方法同上

打开一个服务，相似于将端口可视化，服务须要在配置文件中添加，/etc/firewalld 目录下有services文件夹，这个不详细说了，详情参考文档
# firewall-cmd --zone=work --add-service=smtp

移除服务
# firewall-cmd --zone=work --remove-service=smtp

还有端口转发功能、自定义复杂规则功能、lockdown，因为还没用到，之后再学习


#####################################
3.安装iptable iptable-service

 

#先检查是否安装了iptables

service iptables status

#安装iptables

yum install -y iptables

#升级iptables

yum update iptables

#安装iptables-services

yum install iptables-services

 

 

禁用/中止自带的firewalld服务

#中止firewalld服务
systemctl stop firewalld
#禁用firewalld服务
systemctl mask firewalld

 

 

设置现有规则

#查看iptables现有规则
iptables -L -n
#先容许全部,否则有可能会杯具
iptables -P INPUT ACCEPT
#清空全部默认规则
iptables -F
#清空全部自定义规则
iptables -X
#全部计数器归0
iptables -Z
#容许来自于lo接口的数据包(本地访问)
iptables -A INPUT -i lo -j ACCEPT
#开放22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#开放21端口(FTP)
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
#开放80端口(HTTP)
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#开放443端口(HTTPS)
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
#容许ping
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
#容许接受本机请求以后的返回数据 RELATED,是为FTP设置的
iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT
#其余入站一概丢弃
iptables -P INPUT DROP
#全部出站一概绿灯
iptables -P OUTPUT ACCEPT
#全部转发一概丢弃
iptables -P FORWARD DROP

 

其余规则设定

#若是要添加内网ip信任（接受其全部TCP请求）
iptables -A INPUT -p tcp -s 45.96.174.68 -j ACCEPT
#过滤全部非以上规则的请求
iptables -P INPUT DROP
#要封停一个IP，使用下面这条命令：
iptables -I INPUT -s ***.***.***.*** -j DROP
#要解封一个IP，使用下面这条命令:
iptables -D INPUT -s ***.***.***.*** -j DROP

 

保存规则设定

#保存上述规则
service iptables save

 

开启iptables服务 

#注册iptables服务
#至关于之前的chkconfig iptables on
systemctl enable iptables.service
#开启服务
systemctl start iptables.service
#查看状态
systemctl status iptables.service

 

解决vsftpd在iptables开启后,没法使用被动模式的问题

1.首先在/etc/sysconfig/iptables-config中修改或者添加如下内容

#添加如下内容,注意顺序不能调换
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp"

2.从新设置iptables设置

iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT

 

如下为完整设置脚本

#!/bin/sh
iptables -P INPUT ACCEPT
iptables -F
iptables -X
iptables -Z
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
service iptables save
systemctl restart iptables.service

 

 

进一步补充：
redirecting to /bin/systemctl status iptables.service
iptables.service
loaded not found (reason:no such file or directory)

出现这种错误，是由于没有安装iptables。