目录
一、iptables规则备份和恢复
二、firewalld的9个zone
三、 firewalld关于zone的操作
四、 firewalld关于service的操作
一、iptables规则备份和恢复
- service iptables save 会把规则保存到 /etc/sysconfig/iptables
[root@minglinux-01 ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ 确定 ]
- 使用iptables-save命令把规则重定向到一个文件里
[root@minglinux-01 ~]# iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE
[root@minglinux-01 ~]# iptables-save > /tmp/ipt.txt
[root@minglinux-01 ~]# cat /tmp/ipt.txt
# Generated by iptables-save v1.4.21 on Mon Oct 29 21:21:58 2018
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE
COMMIT
# Completed on Mon Oct 29 21:21:58 2018
# Generated by iptables-save v1.4.21 on Mon Oct 29 21:21:58 2018
*filter
:INPUT ACCEPT [132:8932]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [72:8992]
COMMIT
# Completed on Mon Oct 29 21:21:58 2018
- 使用iptables-restore恢复刚才的规则
[root@minglinux-01 ~]# iptables -t nat -F
[root@minglinux-01 ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
[root@minglinux-01 ~]# iptables-restore < /tmp/ipt.txt
[root@minglinux-01 ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 MASQUERADE all -- * ens33 192.168.100.0/24 0.0.0.0/0
二、firewalld的9个zone
- 打开firewalled
前面我已经把firewalled禁用了，现在反过来要关闭iptables
服务，打开firewalld服务，示例命令如下：
[root@minglinux-01 ~]# systemctl disable iptables
Removed symlink /etc/systemd/system/basic.target.wants/iptables.service.
[root@minglinux-01 ~]# systemctl stop iptables
[root@minglinux-01 ~]# systemctl enable firewalld
Created symlink from /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service to /usr/lib/systemd/system/firewalld.service.
Created symlink from /etc/systemd/system/multi-user.target.wants/firewalld.service to /usr/lib/systemd/system/firewalld.service.
[root@minglinux-01 ~]# systemctl start firewalld
- firewalled的zone
firewalld有两个基础概念，分别是zone和service，每一个zone里面有不同的iptables规则，默认一共有9个zone，而CentOS 7默认的zone为public。
获取系统所有的zone：firewall-cmd --get-zones
查看系统默认的zone： firewall-cmd --get-default-zone
[root@minglinux-01 ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
[root@minglinux-01 ~]# firewall-cmd --get-default-zone
public
firewalled的9个zone：
drop（丢弃）：任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。
block（限制）：任何接收的网络连接都被 IPv4 的icmp-host-prohibited信息和 IPv6 的
icmp6-adm-prohibited信息所拒绝。
public（公共）：在公共区域内使用，不能相信网络内的其他计算机不会对你的计算机造成危害，只能接收经过选取的连接。
external（外部）：特别是为路由器启用了伪装功能的外部网。你不能信任来自网络的其他计算，不能相信它们不会对你的计算机造成危害，只能接收经过选择的连接。
dmz（非军事区）：用于你的非军事区内的计算机，此区域内可公开访问，可以有限地进入你的内部网络，仅仅接收经过选择的连接。
work（工作）：用于工作区。你可以基本相信网络内的其他计算机不会危害你的计算机。仅仅接收经过选择的连接。
home（家庭）：用于家庭网络。你可以基本信任网络内的其他计算机不会危害你的计算机。仅仅接收经过选择的连接。
internal（内部）：用于内部网络。你可以基本上信任网络内的其他计算机不会威胁你的计算机。仅仅接受经过选择的连接。
trusted（信任）：可接受所有的网络连接。
三、 firewalld关于zone的操作
firewall-cmd --set-default-zone=work //设定默认zone
fire-cmd --get-zone-of-interface=ens33 //查指定网卡所在zone
firewall-cmd --zone=public --add-interface=lo //给指定网卡设置zone
firewall-cmd --zone=dmz --change-interface=lo //针对网卡更改zone
firewall-cmd --zone=dmz --remove-interface=lo //针对网卡删除zone
firewall-cmd --get-active-zones //查看系统所有网卡所在的zone
四、 firewalld关于service的操作
每一个zone里面都使用了不同
的service，而service就是针对一个服务（端口）做的iptables规则。
这些service都是由一个个配置文件定义的，配置文件的模板在/usr/lib/firewalld/services/目录下，真正生效的配置在/etc/firewalld/services目录下面（默认为空）：
[root@minglinux-01 ~]# ls /usr/lib/firewalld/services/
amanda-client.xml nfs.xml
amanda-k5-client.xml nrpe.xml
bacula-client.xml ntp.xml
bacula.xml openvpn.xml
bitcoin-rpc.xml ovirt-imageio.xml
bitcoin-testnet-rpc.xml ovirt-storageconsole.xml
bitcoin-testnet.xml ovirt-vmconsole.xml
bitcoin.xml pmcd.xml
ceph-mon.xml pmproxy.xml
ceph.xml pmwebapis.xml
cfengine.xml pmwebapi.xml
condor-collector.xml pop3s.xml
ctdb.xml pop3.xml
dhcpv6-client.xml postgresql.xml
dhcpv6.xml privoxy.xml
dhcp.xml proxy-dhcp.xml
dns.xml ptp.xml
docker-registry.xml pulseaudio.xml
dropbox-lansync.xml puppetmaster.xml
elasticsearch.xml quassel.xml
freeipa-ldaps.xml radius.xml
freeipa-ldap.xml RH-Satellite-6.xml
freeipa-replication.xml rpc-bind.xml
freeipa-trust.xml rsh.xml
ftp.xml rsyncd.xml
ganglia-client.xml samba-client.xml
ganglia-master.xml samba.xml
high-availability.xml sane.xml
https.xml sips.xml
http.xml sip.xml
imaps.xml smtp-submission.xml
imap.xml smtps.xml
ipp-client.xml smtp.xml
ipp.xml snmptrap.xml
ipsec.xml snmp.xml
iscsi-target.xml spideroak-lansync.xml
kadmin.xml squid.xml
kerberos.xml ssh.xml
kibana.xml synergy.xml
klogin.xml syslog-tls.xml
kpasswd.xml syslog.xml
kshell.xml telnet.xml
ldaps.xml tftp-client.xml
ldap.xml tftp.xml
libvirt-tls.xml tinc.xml
libvirt.xml tor-socks.xml
managesieve.xml transmission-client.xml
mdns.xml vdsm.xml
mosh.xml vnc-server.xml
mountd.xml wbem-https.xml
mssql.xml xmpp-bosh.xml
ms-wbt.xml xmpp-client.xml
mysql.xml xmpp-local.xml
nfs3.xml xmpp-server.xml
- firewall-cmd --get-service //查看当前系统所有的service
[root@minglinux-01 ~]# firewall-cmd --get-service
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
- firewall-cmd --list-services // 查看当前zone下有哪些service
[root@minglinux-01 ~]# firewall-cmd --get-default-zone
work
[root@minglinux-01 ~]# firewall-cmd --list-services
ssh dhcpv6-client
[root@minglinux-01 ~]# firewall-cmd --zone=public --list-service //查看指定zone下有哪些service
ssh dhcpv6-client
- firewall-cmd --zone=public --add-service=http //在一个zone里面增加一个service
[root@minglinux-01 ~]# firewall-cmd --zone=public --add-service=http
success
[root@minglinux-01 ~]# firewall-cmd --zone=public --list-service
ssh dhcpv6-client http
- firewall-cmd --zone=public --add-service=http --permanent
//修改配置文件，之后会在/etc/firewalled/zones目录下生成配置文件
[root@minglinux-01 ~]# firewall-cmd --zone=public --add-service=http --permanent
success
[root@minglinux-01 ~]# cat /etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
<short>Public</short>
<description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
<service name="ssh"/>
<service name="dhcpv6-client"/>
<service name="http"/>
</zone>
- 需求：ftp服务自定义端口1121，需要在work zone下面放行ftp
[root@minglinux-01 ~]# cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/ //usr/lib/firewalld/services/目录下面为所有service的模板配置文件
[root@minglinux-01 ~]# vim /etc/firewalld/services/ftp.xml // 把里面的21改为1121
[root@minglinux-01 ~]# cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones/
[root@minglinux-01 ~]# vim /etc/firewalld/zones/work.xml // 在里面增加一行FTP相关的配置，内容为 <service name="ftp"/>
[root@minglinux-01 ~]# firewall-cmd --reload // 重新加载
success
- 验证一下work zone里面的service是否有FTP：
[root@minglinux-01 ~]# firewall-cmd --zone=work --list-services
ssh dhcpv6-client ftp
