firewalld-Linux应该怎么学（中）

当前位置:　首页>> 技术小册>> Linux应该怎么学（中）

RHEL 7系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems, Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。
相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。例如，我们有一台笔记本电脑，每天都要在办公室、咖啡厅和家里使用。按常理来讲，这三者的安全性按照由高到低的顺序来排列，应该是家庭、公司办公室、咖啡厅。当前，我们希望为这台笔记本电脑指定如下防火墙策略规则：在家中允许访问所有服务；在办公室内仅允许访问文件共享服务；在咖啡厅仅允许上网浏览。在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标就可以自动切换了，从而极大地提升了防火墙策略的应用效率。firewalld中常见的区域名称（默认为public）以及相应的策略规则如表8-2所示。![](/uploads/images/20240510/1c1a6e00d62ac615498507b9f10c5161.png)

8.3.1 终端管理工具
第2章在讲解Linux命令时曾经听到，命令行终端是一种极富效率的工作方式，firewalld-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的，大家不要一听到长格式就头大，因为RHEL 7系统支持部分命令的参数补齐，其中就包含这条命令（很酷吧）。也就是说，现在除了能用Tab键自动补齐命令或文件名等内容之外，还可以用Tab键来补齐表8-3中所示的长格式参数了（这太棒了）。
表8-3 firewalld-cmd命令中使用的参数以及作用
![](/uploads/images/20240510/478860eefd4c5334bb045d74b599ce38.png)
与Linux系统中其他的防火墙策略配置工具一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个“不近人情”的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。
接下来的实验都很简单，但是提醒大家一定要仔细查看刘遄老师使用的是Runtime模式还是Permanent模式。如果不关注这个细节，就算是正确配置了防火墙策略，也可能无法达到预期的效果。
查看firewalld服务当前所使用的区域：

[root@linuxprobe ~]# firewall-cmd --get-default-zone
        public
查询eno16777728网卡在firewalld服务中的区域：

[root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
        public
把firewalld服务中eno16777728网卡的默认区域修改为external，并在系统重启后生效。分别查看当前与永久模式下的区域名称：

[root@linuxprobe ~]# firewall-cmd --permanent --zone=external --change-interface=
        eno16777728
        success
        [root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
        public
        [root@linuxprobe ~]# firewall-cmd --permanent --get-zone-of-interface=eno16777728
        external
把firewalld服务的当前默认区域设置为public：

[root@linuxprobe ~]# firewall-cmd --set-default-zone=public
        success
        [root@linuxprobe ~]# firewall-cmd --get-default-zone
        public
启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）：

[root@linuxprobe ~]# firewall-cmd --panic-on
        success
        [root@linuxprobe ~]# firewall-cmd --panic-off
        success
查询public区域是否允许请求SSH和HTTPS协议的流量：

[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=ssh
        yes
        [root@linuxprobe ~]# firewall-cmd --zone=public --query-service=https
        no
把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效：

[root@linuxprobe ~]# firewall-cmd --zone=public --add-service=https
        success
        [root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-service=https
        success
        [root@linuxprobe ~]# firewall-cmd --reload
        success
把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效：

[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --remove-service=http
        success
        [root@linuxprobe ~]# firewall-cmd --reload
        success
把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前在客户端使用ssh命令尝试访问192.168.10.10主机的888端口：

[root@client A ~]# ssh -p 888192.168.10.10
        The authenticity of host '[192.168.10.10]:888 ([192.168.10.10]:888)' can't
        be established.
        ECDSA key fingerprint is b8:25:88:89:5c:05:b6:dd:ef:76:63:ff:1a:54:02:1a.
        Are you sure you want to continue connecting (yes/no)? yes
        Warning: Permanently added '[192.168.10.10]:888' (ECDSA) to the list of known hosts.
        root@192.168.10.10's password：此处输入远程root管理员的密码
        Last login: Sun Jul 19 21:43:482017 from 192.168.10.10
firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有正对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。比如，我们可以在firewalld服务中配置一条富规则，使其拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务（22端口）：

[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-rich-rule="
        rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
        success
        [root@linuxprobe ~]# firewall-cmd --reload
        success
在客户端使用ssh命令尝试访问192.168.10.10主机的ssh服务（22端口）：

[root@client A ~]# ssh 192.168.10.10
        Connecting to 192.168.10.10:22...
        Could not connect to '192.168.10.10' (port 22): Connection failed.
8.3.2 图形管理工具
在各种版本的Linux系统中，几乎没有能让刘遄老师欣慰并推荐的图形化工具，但是firewall-config做到了。它是firewalld防火墙配置管理工具的GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作。毫不夸张的说，即使读者没有扎实的Linux命令基础，也完全可以通过它来妥善配置RHEL 7中的防火墙策略。firewall-config的界面如图8-2所示，其功能具体如下。
![](/uploads/images/20240510/0ed2dbc906dd87d2beda021087f2f8b6.png)

该分类下的相关小册推荐：

bash脚本编程实战

Linux应该怎么学（上）

LInux运维零基础入门到实战

Linux应该怎么学（下）

Shell编程入门与实战

CentOS入门指南

Vim编辑器入门到实战

Vim实用技巧必知必会