firewalld-cmd入門(mén)firewalldfirewall-cmd寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)firewalld-cmd入門(mén)firewalld替代firewalldfirewall-cmd用戶Zone1規(guī)則集根據(jù)服務(wù)過(guò)濾根據(jù)端口過(guò)濾根據(jù)源地址過(guò)濾…區(qū)域(zone)firewalldZoneblockdmzdropexternalhomeinternalpublictrustedwork丟棄所有入站數(shù)據(jù)包，不給予任何回應(yīng)拒絕所有入站連接，并回應(yīng)拒收消息用于公共區(qū)域，只接受特定入站連接，默認(rèn)是ssh和dhcpv6-client用于外部網(wǎng)絡(luò)，會(huì)進(jìn)行地址偽裝，只接受特定入站連接，默認(rèn)是ssh用于內(nèi)部和外部網(wǎng)絡(luò)間的dmz區(qū)域，只接受特定入站連接，默認(rèn)是ssh適用于家庭網(wǎng)絡(luò)，只接受特定入站連接，默認(rèn)是dhcpv6-client、mdns、samba-client和ssh適用于內(nèi)部網(wǎng)絡(luò)，只接受特定入站連接，默認(rèn)是dhcpv6-client、mdns、samba-client和ssh允許所有入站連接適用于工作環(huán)境，只接受特定入站連接，默認(rèn)是ssh與dhcpv6-client列出區(qū)域樣例查看區(qū)域配置用單個(gè)區(qū)域過(guò)濾流量樣例樣例讓主機(jī)丟棄除了http、https和ssh服務(wù)外的入站流量樣例讓主機(jī)拒絕接口ens224所連接的網(wǎng)絡(luò)上除了8080端外其它所有端口的入站流量樣例對(duì)于來(lái)自/24網(wǎng)段請(qǐng)求，允許所有流量通過(guò)；對(duì)于來(lái)自其他地址的請(qǐng)求，僅僅允許http、https、mysql服務(wù)和ping命令的流量通過(guò)，其它均丟棄；特別地，丟棄來(lái)自/24網(wǎng)段、和05地址的所有請(qǐng)求。樣例允許7ssh連接，拒絕其他主機(jī)的ssh連接多區(qū)域協(xié)作過(guò)濾流量樣例ZoneZone接口或者源地址Zone接口或者源地址firewalldZone1接口或者源地址Zone2接口或者源地址Zonen接口或者源地址…firewalldfirewalldipsetipset一種用于存儲(chǔ)和管理多個(gè)IP地址或端口的工具，當(dāng)使用防火墻需要配置的黑/白名單較為龐大或者復(fù)雜,可以使用ipset來(lái)統(tǒng)一進(jìn)行配置ipset一種用于存儲(chǔ)和管理多個(gè)IP地址或端口的工具，當(dāng)使用防火墻需要配置的黑/白名單較為龐大或者復(fù)雜,可以使用ipset來(lái)統(tǒng)一進(jìn)行配置一次性存儲(chǔ)大量的IP或者端口，這樣可以避免為每個(gè)IP或端口單獨(dú)創(chuàng)建規(guī)則，節(jié)省資源和時(shí)間ipset一種用于存儲(chǔ)和管理多個(gè)IP地址或端口的工具，當(dāng)使用防火墻需要配置的黑/白名單較為龐大或者復(fù)雜,可以使用ipset來(lái)統(tǒng)一進(jìn)行配置一次性存儲(chǔ)大量的IP或者端口，這樣可以避免為每個(gè)IP或端口單獨(dú)創(chuàng)建規(guī)則，節(jié)省資源和時(shí)間在不影響性能的前提下，可以隨時(shí)向ipset中添加、刪除IP或端口，而無(wú)需重新加載firewalld，提高靈活性和安全性。ipset一種用于存儲(chǔ)和管理多個(gè)IP地址或端口的工具，當(dāng)使用防火墻需要配置的黑/白名單較為龐大或者復(fù)雜,可以使用ipset來(lái)統(tǒng)一進(jìn)行配置一次性存儲(chǔ)大量的IP或者端口，這樣可以避免為每個(gè)IP或端口單獨(dú)創(chuàng)建規(guī)則，節(jié)省資源和時(shí)間在不影響性能的前提下，可以隨時(shí)向ipset中添加、刪除IP或端口，而無(wú)需重新加載firewalld，提高靈活性和安全性。表達(dá)復(fù)雜的IP/端口規(guī)則，ipset使用不同的類型來(lái)定義ipset，例如，如要對(duì)一組IP地址應(yīng)用相同的規(guī)則，可使用“hash:ip”類型的ipset，如要對(duì)一組IP地址和端口號(hào)的組合應(yīng)用相同的規(guī)則，可使用“hash:ip,port”類型的ipset富規(guī)則

(richlanguage)firewalld提供的一種表達(dá)性語(yǔ)言，可以用來(lái)定義更復(fù)雜精細(xì)的防火墻規(guī)則，實(shí)現(xiàn)記錄、端口轉(zhuǎn)發(fā)、偽裝、速率限制等功能。富規(guī)則

(richlanguage)firewalld提供的一種表達(dá)性語(yǔ)言，可以用來(lái)定義更復(fù)雜精細(xì)的防火墻規(guī)則，實(shí)現(xiàn)記錄、端口轉(zhuǎn)發(fā)、偽裝、速率限制等功能。用基本規(guī)則實(shí)現(xiàn)的功能都可以用富規(guī)則來(lái)實(shí)現(xiàn)，但反之就未必。富規(guī)則

(richlanguage)firewalld提供的一種表達(dá)性語(yǔ)言，可以用來(lái)定義更復(fù)雜精細(xì)的防火墻規(guī)則，實(shí)現(xiàn)記錄、端口轉(zhuǎn)發(fā)、偽裝、速率限制等功能。用基本規(guī)則實(shí)現(xiàn)的功能都可以用富規(guī)則來(lái)實(shí)現(xiàn)，但反之就未必?；疽?guī)則的優(yōu)點(diǎn)是簡(jiǎn)單和直觀，只需要指定區(qū)域和服務(wù)的名稱，就可以控制流量的允許或拒絕，缺點(diǎn)是比較粗粒度，不能對(duì)源地址、目的地址、日志、轉(zhuǎn)發(fā)等進(jìn)行精細(xì)控制富規(guī)則

(richlanguage)富規(guī)則(richlanguage)動(dòng)作優(yōu)先級(jí)（priority）日志記錄（log）拒絕/丟棄（reject/drop）允許（accept）firewalldnmcli入門(mén)寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)nmcli命令為有源頭活水來(lái)網(wǎng)絡(luò)接口配置文件nmcli入門(mén)寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)NM用戶界面工具描述nmtuiNM使用光標(biāo)的簡(jiǎn)單文本用戶界面（TUI）nmcliNM命令行界面（CLI）control-centerGNOME下的的NM圖形用戶界面1type用于指定添加的連接類型，依據(jù)具體的接口設(shè)備，常見(jiàn)類型值可以是ethernet、wifi、pppoe、bluetooth、vpn、bond、team、bridge等其中的一種類型，該參數(shù)必須指定nmcliconnectionaddcon-name用于指定連接名，有意義的名稱可以更容易識(shí)別連接的用途，如果不指定，系統(tǒng)會(huì)自動(dòng)生成一個(gè)默認(rèn)的名稱ifname用于指定連接綁定的接口設(shè)備名，綁定接口可以防止連接被誤用，如果不綁定，連接就可以被啟用到任意接口上save表示創(chuàng)建的連接是否以文件形式保存，值可以是yes或者no，默認(rèn)是yesautoconnect表示該連接是否開(kāi)機(jī)自動(dòng)激活，其值可以是yes或者no，默認(rèn)是yes創(chuàng)建連接nmcliconnectionmodify非交互式修改連接nmcliconnectionedit交互式修改連接connectionconnection接口配置文件keyfilenmcli命令為有源頭活水來(lái)網(wǎng)絡(luò)接口配置文件配置主機(jī)防火墻寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)配置主機(jī)網(wǎng)絡(luò)接口寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)firewalld配置主機(jī)防火墻寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)/24主機(jī)sshhttphttpsmysqlping其它流量/24其余主機(jī)主機(jī)sshhttphttpsmysqlhttphttpsping其它流量其它流量/24其余主機(jī)主機(jī)sshhttphttpsmysqlhttphttpsping其它流量其它流量/24其余主機(jī)主機(jī)sshhttphttpsmysqlhttphttpsping其它流量其它流量firewalld/24其余主機(jī)主機(jī)sshhttphttpsmysqlhttphttpsping其它流量其它流量firewalldfirewalld用戶界面工具描述firewalld用戶界面工具firewall-cmdfirewalld命令行（CLI）界面firewall-cmdfirewall-configfirewalld圖形（GUI）界面firewall-config主機(jī)ZONE區(qū)域（zone）是firewalld中特有的概念，簡(jiǎn)單來(lái)說(shuō)就是一些預(yù)定義的策略模板。firewalld主機(jī)ZONE:public通常應(yīng)用于不受信任的公共網(wǎng)絡(luò)，其中的策略通常比較嚴(yán)格，默認(rèn)情況下只允許最基本的如ssh、dhcpv6-client這樣網(wǎng)絡(luò)連接?！皃ublic”是firewalld默認(rèn)使用的區(qū)域。firewalld主機(jī)firewalldZONE:publictarget:default對(duì)于進(jìn)入?yún)^(qū)域的數(shù)據(jù)包采取的默認(rèn)處理方法，也即沒(méi)有任何其他規(guī)則匹配進(jìn)入的數(shù)據(jù)包時(shí)的處理方法，default表示除了ICMP數(shù)據(jù)包和轉(zhuǎn)發(fā)數(shù)據(jù)包外，未被明確允許的數(shù)據(jù)包將被拒絕（reject）。interfaces:ens160表示“public”區(qū)域被應(yīng)用到了ens160網(wǎng)絡(luò)接口，也即通過(guò)ens160接口的所有數(shù)據(jù)包都必須符合“public”區(qū)域的規(guī)則才會(huì)被放行。services:cockpitdhcpv6-clientssh表示是否開(kāi)放特定服務(wù)，在當(dāng)前配置中，cockpit、ssh和dhcpv6-client三個(gè)服務(wù)端口上的數(shù)據(jù)包被允許通過(guò)firewalld。主機(jī)firewalld新的連接請(qǐng)求主機(jī)firewalld新的連接請(qǐng)求是否存在與請(qǐng)求源地址匹配的區(qū)域主機(jī)firewalld新的連接請(qǐng)求是否存在與請(qǐng)求源地址匹配的區(qū)域是用該區(qū)域來(lái)處理請(qǐng)求主機(jī)firewalld新的連接請(qǐng)求是否存在與請(qǐng)求源地址匹配的區(qū)域是用該區(qū)域來(lái)處理請(qǐng)求是否存在與網(wǎng)絡(luò)接口匹配的區(qū)域否主機(jī)firewalld新的連接請(qǐng)求是否存在與請(qǐng)求源地址匹配的區(qū)域是用該區(qū)域來(lái)處理請(qǐng)求是否存在與網(wǎng)絡(luò)接口匹配的區(qū)域否是用該區(qū)域來(lái)處理請(qǐng)求主機(jī)firewalld新的連接請(qǐng)求是否存在與請(qǐng)求源地址匹配的區(qū)域是用該區(qū)域來(lái)處理請(qǐng)求是否存在與網(wǎng)絡(luò)接口匹配的區(qū)域否是用該區(qū)域來(lái)處理請(qǐng)求否用默認(rèn)區(qū)域來(lái)處理請(qǐng)求主機(jī)firewalld新的連接請(qǐng)求是否存在與請(qǐng)求源地址匹配的區(qū)域是用該區(qū)域來(lái)處理請(qǐng)求是否存在與網(wǎng)絡(luò)接口匹配的區(qū)域否是用該區(qū)域來(lái)處理請(qǐng)求否用默認(rèn)區(qū)域來(lái)處理請(qǐng)求因此當(dāng)連接請(qǐng)求到達(dá)任務(wù)主機(jī)，firewalld優(yōu)先使用project_c區(qū)域(源地址)來(lái)匹配該連接，如果請(qǐng)求客戶端主機(jī)IP地址不匹配project_c區(qū)域中的源地址，那么才會(huì)使用public區(qū)域（默認(rèn)）來(lái)處理該連接。firewalld配置主機(jī)網(wǎng)絡(luò)接口寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)配置主機(jī)網(wǎng)絡(luò)接口寧波城市職業(yè)技術(shù)學(xué)院顏晨陽(yáng)1NM用戶界面工具描述nmtuiNM使用光標(biāo)的簡(jiǎn)單文本用戶界面（TUI）nmcliNM命令行界面（CLI）control-centerGNO