Linux防火墙之Firewalld(4)

Linux防火墙之Firewalld

防火墙技术种类：

（1）包过滤防火墙（packet filtering）

（2）应用代理防火墙 （application proxy）

（3）状态检测防火墙（stateful inspection）

（firewalld是包过滤防火墙，所以这里只讲包过滤防火墙）

包过滤防火墙概述：

（1）netfilter：位于Linux内核中的包过滤功能体系，成为Linux防火墙的“内核态”。

（2）firewalld：CentOS7默认的管理防火墙规则的工具，成为Linux防火墙的“用户态”。

————上面的两种称呼都可以表示为Linux防火墙。

包过滤的工作层次：

（1）主要是网络层，针对IP数据包、检查源IP。

（2）体现在对包内的IP地址、端口等信息的处理上。

网络区域：

Firewalld预定义的九种网络区域：

①trusted②public③work④home⑤internal⑥external⑦dmz⑧block⑨drop

————默认情况就有一些有效的区域，由firewalld提供的区域按照从不信任到信任的顺序排序。

（1）丢弃区域（Drop Zone）：如果使用丢弃区域，任何进入的数据包将被丢弃，这个类似于Centos6上的 iptables -j drop ，使用丢弃规则意味着将不存在相应。

（2）阻塞区域（Block Zone）：阻塞区域会拒绝进入的网络连接，返回icmp-host-prohibited，只有服务器已经建立的连接会被通过，即只允许由该系统初始化的网络连接。

（3）公共区域（Public Zone）：只接受那些被选中的连接，默认只允许ssh和dhcpv6-client，这个zone是缺省zone（缺省就是默认的意思，所以公共区域也是默认区域，在没有任何配置的情况下走的是公共区域）。

（4）外部区域（External Zone）：这个区域相当于路由器的启动伪装（masquerading）选项，只有指定的连接会被接受，即ssh，而其他的连接将被丢弃或者不被接受。

（5）隔离区域（DMZ Zone）：如果想要只允许给部分服务能被外部访问，可以在DMZ区域中定义，它也拥有只通过被选中连接的特性，即ssh， 这个区域又叫做非军事化区域。

（6）工作区域（Work Zone）：在这个区域中，我们只能定义内部网络，比如私有网络通信才被允许， 只允许ssh、ipp-client和dhcpv6-client。

（7）家庭区域（Home Zone）：这个区域专门用于家庭环境，它同样只允许被选中的连接， 即ssh、ipp-client、mdns、samba-client和dhcpv6-client。

（8）内部区域（Internal Zone）：这个区域和 工作区域（Work Zone） 类似，只允许通过被选中的连接，与 家庭区域（Home Zone） 相同。

（9）信任区域（Trusted Zone）：信任区域允许所有网络通信通过，因为 信任区域（Trusted Zone）是最被信任的，即使没有设置任何的服务，那么也是被允许的，因为 信任区域（Trusted Zone）是允许所有连接的。