RHEL7中防火墙Firewalld典型应用与配置.pdf

《RHEL7中防火墙Firewalld典型应用与配置.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、学术探讨袄件技术2014隼第9期RHEL7中防火墙Firewal

2、d典型应用与配置王煜林(广东技术师范学院天河学院，广东广州510540)[摘要]本文研究了RHEL7中防火墙的变化，以前RHEL6用是_iptables、ip6tables与ebtables，现在在RHEL7中使用的是基于zone的firewalld防火墙。对于初学者来说，甚难理解，本文通过两个典型应用，重点讲解了firewalld的原理与应用。[关键词]防火墙；firewalld；zone1．引言Firewalld是RHEL7下默认的防火墙，它在内核的表现还是基于Netfil

3、ter，以前的iptables，ip6tables，ebtables都还可以使用，但是它与Firewalld相冲突。Firewalld主要是通过firewalld．service的systemd服务来进行管理，包括启动、停止、重启Firewalld。为了阻止偶然地启动iptables，ip6tables，ebtables服务，可以使用systemctl命令对其进行mask，这样这些服务就不会启动，并且在RHEL7系统启动时也不会启动这些服务。Firewalld是基于zone的防火墙，每一个zone都有自身的规则来检查进入的流量，它的工作原理如

4、下：(1)首先匹配的是源地址，当某一个zone设置了源地址，匹配源地址的数据包将会路由到此zone中。(2)再匹配的是进入的接口，当一个数据包进入某个接口后，它将匹配这个接口对应的zone。(3)否则，默认的zone将会匹配，网络接口默认就是使用publiczone。系统初始化的zone有：trusted、internal、home、work、dmz、extemal、public、block、drop。它们的作用是：Trusted：所有的流量都允许通过。Block：禁用所有的流量，但是会返回ICMP的拒绝消息。Drop：禁用所有的流量，不作出

5、任何响应，只允许流出的网络连接。internal、home、work、dmz、external、public：用于不同的网络，勾选的服务则可以通过防火墙。管理firewalld有三种方式：(1)使用命令行工具firewall．cmd：(2)使用图形工具firewall-config：(3)直接修改配置文件，在／etc／firewalld目录中，不推荐这种方法。2．通过firewall．cmd来配置Firewalld的典型案例2．1假设在内网中建有一台Web服务器，IP地址是10．0．8．99，端口是80。网段10．71．15．0／24中的主机

6、，都可以访问此web服务器。具体的配置步骤如下：(1)启动防火墙Firewalld[root@demo～]≠}systemctlrestartfirewalld．service(2)查看当前防火墙的配置[root@demo～]≠ffirewall-cmd⋯listallpublic(default，active)interfaces：eth0SOUrces：services：dhcpv6-clientssh从上面的显示可以看出，当前默认的zone是public，pub—lic默认的接口是eth0，没有设置sources，只有dhcpv6．cl

7、ient与ssh的数据才可以进入demo这台主机。(3)安装并启动httpd，创建网站的首页[root@demo～]≠}yuminstallhttpd—Y[root@demo～]撑systemctlrestarthttpd[root@demo～】jfi}echo“firewalldtest”>／var／www／html／index．html(4)在本机与10．71．15．0／24网段进行测试本机上测试：[root@demo～】{!fcurlhttp：／／10．0．8．99firewalldtest在10．71．15．0／24网段进行测试，打开

8、IE浏览器，访问http：／／10．0．8．99，可以看出是打不开此网页的。(5)从10．71．15．0124网段进入的流量分配到internalZOne。[root@demo～】#firewall—cmd～permanent—zone=inter—nal⋯addsource=10．71．15．0／24Success(6)在internalzone中添加http服务[root@demo～】≠}firewall-cmd—permanent—zone=inter-nal⋯addservice=httpSuccess(7)让防火墙的配置生效[roo

9、t@demo～]撑firewall—cmd—reloadsuccess(8)在10．71．15．0／24网段中进行测试，输入http：／／作者简介：王煜林，男，湖南