Linux firewalld案例

原创 已于 2025-05-16 08:37:11 修改 · 595 阅读 · 7 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
收录于
rhce

当前文章被收录于：

rhce
6 篇文章 0 人学习

介绍在linux系统上对网络服务的一些简单搭建

订阅专栏 查看详情
于 2025-05-16 00:08:18 首次发布

案例1

如果你对防火墙的知识模糊，或没有学过防火墙，那可以点击这里进行学习防火墙。

如何在REJECT默认行为的情况下，允许icmp协议的通讯。

复习

  1. REJECT默认行为下，区域配置中如果没有明确指出允许哪些流量，则禁止这些流量，换句话说这相当于白名单。只标记允许，不标记不允许
  2. ping 命令就是使用icmp协议进行通讯，他发出的报文时 echo-request 接受的报文是 echo-reply。

通过上面的条件，大致实现思路就是明确允许 echo-request 报文的流量，这涉及到两个配置
icmp-block-inversion 这个配置是用来反转 icmp-blocks 的，相当于如果它的值为 yes的话，icmp-blocks组织的icmp报文就会被允许，也就实现了明确允许流量的通过。

代码

  1. 准备两台虚拟机A和B，将一台虚拟机切换为REJECT并检测不修改配置的情况下ping的连通性
    A的测试IP是 192.168.197.133
    B的测试IP是 192.168.197.101
==修改前的icmp连通性测试==
虚拟机A
[root@localhost xwang]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens160
  sources: 
  services: cockpit dhcpv6-client http ssh
  ports: 9091/tcp
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
虚拟机B
[root@localhost xike_]# ping 192.168.197.133 -c 5
PING 192.168.197.133 (192.168.197.133) 56(84) 比特的数据。
64 比特，来自 192.168.197.133: icmp_seq=1 ttl=64 时间=1.53 毫秒
64 比特，来自 192.168.197.133: icmp_seq=2 ttl=64 时间=1.69 毫秒
64 比特，来自 192.168.197.133: icmp_seq=3 ttl=64 时间=1.51 毫秒
64 比特，来自 192.168.197.133: icmp_seq=4 ttl=64 时间=1.06 毫秒
64 比特，来自 192.168.197.133: icmp_seq=5 ttl=64 时间=1.74 毫秒

--- 192.168.197.133 ping 统计 ---
已发送 5 个包， 已接收 5 个包, 0% packet loss, time 4008ms
rtt min/avg/max/mdev = 1.061/1.505/1.737/0.238 ms

==修改后的icmp连通性测试
虚拟机A
[root@localhost xwang]# firewall-cmd --permanent --set-target=REJECT --zone=public 
success                   ;把防火墙的默认行为设置为 `REJECT`
[root@localhost xwang]# firewall-cmd --reload   ;重新加载防火墙配置
success
[root@localhost xwang]# firewall-cmd --permanent --get-target 
REJECT     ;查看防火墙设备的默认行为是否修改成功。

虚拟机B
[root@localhost xike_]# ping 192.168.197.133 -c 5
PING 192.168.197.133 (192.168.197.133) 56(84) 比特的数据。
来自 192.168.197.133 icmp_seq=1 数据包被过滤
来自 192.168.197.133 icmp_seq=2 数据包被过滤
来自 192.168.197.133 icmp_seq=3 数据包被过滤
来自 192.168.197.133 icmp_seq=4 数据包被过滤
来自 192.168.197.133 icmp_seq=5 数据包被过滤

--- 192.168.197.133 ping 统计 ---
已发送 5 个包， 已接收 0 个包, +5 错误, 100% packet loss, time 4009
原因分析

REJECT 的行为是没有明确指定的流量都会被拦截，在REJECT的默认行为中，没有明确允许icmp协议的流量所以ping 发起的包就会被过滤。而default 的默认行为虽然与REJECT一样但是区别就是允许icmp协议的流量。

修改配置在REJECT模式下允许icmp协议的流量
法一，直接通过在 protocols 配置中添加icmp协议
shell:
	虚拟机B：
	[root@localhost ~]# firewall-cmd --permanent --add-protocol=icmp 
	success
	[root@localhost ~]# firewall-cmd --reload
	success
	[root@localhost ~]# firewall-cmd --list-protocols 
	icmp
	虚拟机A:
	[root@localhost ~]# ping -c 5 192.168.197.133
	PING 192.168.197.133 (192.168.197.133) 56(84) 比特的数据。
	64 比特，来自 192.168.197.133: icmp_seq=1 ttl=64 时间=1.28 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=2 ttl=64 时间=1.11 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=3 ttl=64 时间=1.40 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=4 ttl=64 时间=3.12 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=5 ttl=64 时间=1.22 毫秒

	--- 192.168.197.133 ping 统计 ---
	已发送 5 个包， 已接收 5 个包, 0% packet loss, time 4011ms
	rtt min/avg/max/mdev = 1.109/1.625/3.118/0.752 ms
法二，通过icmp-block-inversion 和 icmp-blocks 配合来允许icmp流量
shell:
	虚拟机B:
	[root@localhost ~]# firewall-cmd --list-all
	public (active)
	  target: %%REJECT%%
	  icmp-block-inversion: no
	  interfaces: ens160
	  sources: 
	  services: cockpit dhcpv6-client http ssh
	  ports: 9091/tcp
	  protocols: icmp
	  forward: yes
	  masquerade: no
	  forward-ports: 
	  source-ports: 
	  icmp-blocks: 
	  rich rules: 
	[root@localhost ~]# firewall-cmd --permanent --remove-protocol=icmp 
	success
	[root@localhost ~]# firewall-cmd --permanent --add-icmp-block=echo-request 
	success
	[root@localhost ~]# firewall-cmd --permanent --add-icmp-block-inversion 
	success
	[root@localhost ~]# firewall-cmd --reload 
	success
	[root@localhost ~]# firewall-cmd --list-all
	public (active)
	  target: %%REJECT%%
	  icmp-block-inversion: yes
	  interfaces: ens160
	  sources: 
	  services: cockpit dhcpv6-client http ssh
	  ports: 9091/tcp
	  protocols: 
	  forward: yes
	  masquerade: no
	  forward-ports: 
	  source-ports: 
	  icmp-blocks: echo-request
	  rich rules: 

	虚拟机A：
	[root@localhost ~]# ping -c 5 192.168.197.133
	PING 192.168.197.133 (192.168.197.133) 56(84) 比特的数据。
	64 比特，来自 192.168.197.133: icmp_seq=1 ttl=64 时间=1.59 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=2 ttl=64 时间=0.684 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=3 ttl=64 时间=1.85 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=4 ttl=64 时间=1.29 毫秒
	64 比特，来自 192.168.197.133: icmp_seq=5 ttl=64 时间=1.83 毫秒
	
	--- 192.168.197.133 ping 统计 ---
	已发送 5 个包， 已接收 5 个包, 0% packet loss, time 4006ms
rtt min/avg/max/mdev = 0.684/1.448/1.847/0.433 ms

案例二

手动创建zone

zone相关的配置文件介绍

firewalld 自带的分区存储在目录/usr/lib/firewalld/zones目录中，该目录中的每个.xml文件中存储了这个分区的配置信息

[root@localhost xike_]# ll /usr/lib/firewalld/zones/
总用量 40
-rw-r--r--. 1 root root 312 12月 14  2022 block.xml
-rw-r--r--. 1 root root 306 12月 14  2022 dmz.xml
-rw-r--r--. 1 root root 304 12月 14  2022 drop.xml
-rw-r--r--. 1 root root 317 12月 14  2022 external.xml
-rw-r--r--. 1 root root 410 12月 14  2022 home.xml
-rw-r--r--. 1 root root 425 12月 14  2022 internal.xml
-rw-r--r--. 1 root root 729 10月 10  2022 nm-shared.xml
-rw-r--r--. 1 root root 356 12月 14  2022 public.xml
-rw-r--r--. 1 root root 175 12月 14  2022 trusted.xml
-rw-r--r--. 1 root root 352 12月 14  2022 work.xml

[root@localhost xike_]# cat /usr/lib/firewalld/zones/public.xml 
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="cockpit"/>
  <forward/>
</zone>

管理员创建的分区存储在 /etc/firewalld/zones中分区文件中的内容的写法是一样的

[root@localhost xike_]# ll /etc/firewalld/zones/
总用量 8
-rw-r--r--. 1 root root 412  5月 13 22:08 public.xml
-rw-r--r--. 1 root root 438  5月 13 22:04 public.xml.old

创建自己的分区 xike_

从系统/usr/lib/firewalld/zones中拷贝配置文件到/etc/firewalld/zones 并改名为xike
[root@localhost xike_]# cp /usr/lib/firewalld/zones/public.xml /etc/firewalld/zones/xike_.xml

修改/etc/firewalld/zones/xike_.xml文件为下面的配置

[root@localhost xike_]# cat /etc/firewalld/zones/xike_.xml 
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>xike_</short>
  <description>For use in xike_ areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="cockpit"/>
  <forward/>
</zone>

查看效果

······
······
public (active)
  target: %%REJECT%%
  icmp-block-inversion: no
  interfaces: ens160
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: echo-request
  rich rules: 

trusted
  target: ACCEPT
  icmp-block-inversion: no
  interfaces: 
  sources: 
  services: 
  ports: 
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

work
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

xike_
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

显然，xike_已经添加了。

标签
#网络 #服务器 #运维
Firewalld防火墙使用
qq_44697142的博客
11-25 470
查看DefaultZone是否为trusted。#将zone切换到白名单模式,会放行所有流量。DefaultZone默认为public。firewalld默认拒绝其他ip访问。只限制某个端口访问，其他全部放开。编辑完文件后重新载入防火墙配置。如果只允许某个网段访问的话。配置放在<zooe>段中。
Centos7 防火墙策略rich-rule 限制ip访问-----图文详解
冰恋云的专栏
03-13 1万+
查看防火墙策略。
firewall火墙策略
sarauo的博客
08-20 1562
firewall的基本zone分类drop 丢弃所有进入的包，而不给出任何响应block 拒绝所有外部发起的连接，允许内部发起的连接 public 允许指定的进入连接 external 出去的ipv4网络连接通过此区域伪装和转发，仅接受ssh服务连接诶 dmz 仅接受ssh服务连接 work 一般用于工作区域，仅接受ssh ipp-client samba-client dh
firewall-cmd常用命令
weixin_47467938的博客
01-21 6547
firewall-cmd常用命令 #开启防火墙 systemctlstartfirewalld.service #防火墙开机启动 systemctlenablefirewalld.service #关闭防火墙 systemctlstopfirewalld.service #查看防火墙状态 firewall-cmd--state #查看现有的规则 iptables-nL firewall-cmd--zone=public--list-ports #重载防火墙配置 firewall-cmd--reload #添
Linux firewalld 防火墙使用
昭大人的博客
07-22 1619
Linux firewalld 防火墙使用
firewalld配置文件修改
热门推荐
寂寞的博客
08-15 1万+
网上大多数文章都是直接讲命令方式，很少讲直接通过配置文件修改，所以这里记录一下。 从命令执行结果查看配置文件变化。 开放端口 永久开放2个端口 firewall-cmd --permanent --zone=public --add-port=8080/tcp firewall-cmd --permanent --zone=public --add-port=80/tcp firewall-cmd --reload 在 /etc/firewalld/zones 下的 public.xml里： <?
linux的firewall配置命令
qq_17576885的博客
01-10 3859
firewall介绍 所谓“防火墙”是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，隔离技术。越来越多地应用于专用网络与公用网络的互联环境之中。 防火墙主要是借助硬件和软件的作用于内部和外部网络的环境间产生一种保护的屏障，从而实现对计算机不安全网络因素的阻断。只有在防火墙同意情况下，用户才能够进入计算机内，如果不同意就会被阻挡于外。 防火墙是在两个网络通讯时执行的一种访问控制尺度，能最大限度阻止网络中的黑客访问自己的网络
Linux——firewalld防火墙
2401_88768957的博客
04-19 1379
随着网络技术的飞速发展，网络安全问题日益突出，防火墙作为网络安全的第一道防线，其重要性不言而喻。在 Linux 系统中，firewalld 作为一种动态防火墙管理工具，凭借其灵活的配置和强大的功能逐渐成为众多企业和个人用户的首选。firewalld 的作用是为包过滤机制提供匹配规则(或称为策略)，
Linux firewalld
xike___的博客
05-14 1115
这篇文章介绍了Linux中的 firewalld的原理和配置方法。
Linux——firewalld防火墙（一）
zj2059129607的博客
01-09 1522
firewalld的作用是为包过滤机制提供匹配规则(或称为策略)，通过各种不同的规则,告诉netfilter对来自指定源，前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙. firewalld 提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。它支持IPv4、IPv6防火墙设置以及以太网桥．并且拥有两种配置模式:运行时配置与永久配置。它还支持服务或应用程序直接添加防火墙规则接口。
如何使用 Firewalld 设置 Linux 防火墙
weixin_53510183的博客
12-28 1919
在 Linux 中，防火墙是一个应用程序或服务，它使用预定的规则集来过滤或控制进出 Linux 服务器的网络流量。通常将防火墙配置为允许所需的流量通过，同时阻止其余的外部流量。Firewalld是一个用于 Linux 系统的防火墙管理解决方案。它是一个服务守护进程，提供可自定义的基于主机的防火墙，以及 D-Bus 接口和一套全面的防火墙规则，用于控制网络接口之间的流量。Firewalld 使用区域的概念来管理网络流量。区域是预定义的规则集，可以将网络接口分配给这些规则集。
Linux安全篇 --firewalld
最新发布
2301_81259717的博客
05-17 1992
firewal1-cmd 预定义信息主要包括三种具体的查看命令如下所示可用的区域可用的服务可用的 ICMP 阻塞类型firewal1-cmd --get-icmptypes 命令的执行结果中各种阻塞类型的含义分别如下所示目的地址不可达echo-reply应答回应(pong)参数问题redirect重新定向路由器通告路由器征寻源端抑制超时时间戳应答回应时间戳请求。
Linux中防火墙firewalld
weixin_47144155的博客
04-03 710
Linux中防火墙firewalld一.防火墙firewalld1.什么是防火墙2.Linux中的防火墙分类三级目录 一.防火墙firewalld 1.什么是防火墙 防火墙：防范一些网络攻击。有软件防火墙、硬件防火墙之分。防火墙选择让正常请求通过，从而保证网络安全性。 2.Linux中的防火墙分类 CentOS5、CentOS6 => 防火墙 => iptables防火墙 CentOS7 => 防火墙 => firewalld防火墙 注：firewalld = fire火 wa
linux软件防火墙--firewalld
景天科技苑
01-02 1万+
在CentOS 7之后有几种防火墙共存：firewalld、iptables、ebtables。默认是使用firewalld来管理netfilter子系统，不过底层调用的命令仍然是iptables等。firewalld跟iptables比起来，不好的地方是每个服务都需要去设置才能放行，因为默认是拒绝。而iptables里默认是每个服务是允许，需要拒绝的才去限制。firewalld 服务引入了一个信任级别的概念来管理与之相关联的连接与接口。
Linux防火墙之firewalld
qq_51506982的博客
10-07 253
接口区域，静态动态。
Linux下的Firewalld
A147254的博客
10-27 451
Firewalld RHEL 7系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不
【Linux】firewalld介绍
简简单单兔呦
12-23 712
2019年只剩下最后一个星期，难得闲下来总结一下来新公司差不多一年的工作和收获。 今年最大的感受就是“累”，自己从新人成为目前的架构（内部的，不具可比性<_<）,今年应该是成长上比较快的一年。 这一年开始带团队，而且人数12个，有开发、测试，项目经理。这些人都是分阶段接入公司的，都是新人，工作年龄普遍2年左右，专业技能上基本上比较差，经过一年的培养，也培养出不少的小能手，团队凝聚力很强...
Linux进阶篇：firewalld详解——firewalld 的概念&作用以及如何使用
qq_39241682的博客
04-08 4169
firewalld（防火墙守护程序）是Linux发行版中一款用于管理网络防火墙的动态守护程序。它提供了一个命令行和图形用户界面，用于配置和管理系统的防火墙规则。firewalld使用iptables、ip6tables、ebtables和nftables作为后端来处理网络数据包。它允许您在不需要重启防火墙或停止网络服务的情况下，实时更改防火墙规则。本文详细介绍了 Linux 中的 firewalld，包括其基本概念、作用和如何使用它来保护系统。
Linux —— iptables和firewalld
dsd的博客
03-25 504
1. 火墙介绍 Netfilter/IPTables是Linux2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables从用户态的iptables连接到内核态的Netfilter的架构中，Netfilter与IP协议栈是无缝契合的，并允许使用者对数据报进行过滤、地址转换、处理等操作。 n...
Linux防火墙——iptables以及firewalld的使用介绍
树下一少年的博客
01-22 3216
本文摘要： Linux防火墙系统主要介绍了iptables和firewalld两种实现方式。iptables基于Netfilter机制，通过表(Filter/NAT/Mangle/Raw)、链(INPUT/OUTPUT/FORWARD等)和规则实现流量控制，支持ACCEPT/DROP/REJECT等策略。firewalld采用动态区域管理(public/trusted等)，支持服务级控制和端口转发，通过firewall-cmd命令配置。文中详细对比了两者的工作流程、配置方法和典型应用场景，包括Web服务访问
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值