Firewalld防火墙

眉间皱痕 提交于 2019-12-02 19:40:50

物理服务器安全
        硬件层面: ab电源  机柜上锁  温度 ......
        系统层面: 远程登录(限制root/调整端口)  权限   sudo    弱口令
        网络层面: 所有内网主机没有公网IP    端口限制( 22 80 443 )   DDOS--> 高防设备
        web层面:  http->https  防爬虫  防盗链   waf (nginx+lua)   

云主机服务器安全
    硬件层面:  无需考虑---> kvm虚拟化
    系统层面:  云盾 安骑士  ---> 云安全中心(收费)  SSH
    网络层面:  安全组(firewalld|iptables)     云防火墙集中管理公网的策略
    服务层面:  nginx  mysql redis   --->弱口令
    web层面:   HTTPS  高防IP  WAF防火墙
    数据层面:  数据备份与恢复演练
    
想说的话 写下来--->进行增删改查----------------------------------------------------------------

2.硬件架构、云架构等安全如何实现?

3.Firewalld防火墙基本概述?
4.Firewalld防火墙区域管理?



eth0 eth0  --> A

eth0 --> A
eth1 --> B


[root@oldboy-m01 ~]# firewall-cmd --get-default-zone     #当前默认的区域
public    
[root@oldboy-m01 ~]# firewall-cmd --list-all            #区域的规则明细


3.使用firewalld各个区域规则结合配置,调整默认public区域拒绝所有流量,但如果来源IP是10.0.0.0/24网段则允许。
[root@oldboy-m01 ~]# firewall-cmd --remove-service=ssh
success
[root@oldboy-m01 ~]# firewall-cmd --add-source='10.0.0.1/32' --zone=trusted
success
[root@oldboy-m01 ~]# firewall-cmd --reload   #重载

5.Firewalld端口、服务规则配置?
[root@oldboy-m01 ~]# firewall-cmd --add-port=80/tcp                            #放行端口
[root@oldboy-m01 ~]# firewall-cmd --remove-port=80/tcp                        #移除端口
[root@oldboy-m01 ~]# firewall-cmd --add-port=8080-8088/tcp                    #添加多个连续的端口
[root@oldboy-m01 ~]# firewall-cmd --add-port={80/tcp,83/tcp,84/tcp}            #添加多个不连续的端口

放行服务 实际还是对应的 端口
[root@oldboy-m01 ~]# firewall-cmd --add-service=http
[root@oldboy-m01 ~]# firewall-cmd --add-service=zabbix-server
[root@oldboy-m01 ~]# firewall-cmd --remove-service=zabbix-server

所有的服务定义
[root@oldboy-m01 ~]# ll /usr/lib/firewalld/services/

-------------------------------------------------------------------------------------------
端口转发  NAT
firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
[root@oldboy-m01 ~]# firewall-cmd --add-forward-port=port=5555:proto=tcp:toport=22:toaddr=172.16.1.7
[root@oldboy-m01 ~]# firewall-cmd --list-all
[root@oldboy-m01 ~]# firewall-cmd --add-masquerade

10.0.0.1:4567 -->  10.0.0.61:5555    --> 172.16.1.61:6789   --->  172.16.1.7:22
172.16.1.7:22 -->  172.16.1.61:6789  --> 10.0.0.61:5555     --->  10.0.0.1:4567


6.Firewalld富规则配置示例?

rule [family="ipv4|ipv6"]
source address="address[/mask]" [invert="True"]
service name="service name"
port port="port value" protocol="tcp|udp"
forward-port port="port value" protocol="tcp|udp" to-port="port value" to-addr="address"
accept | reject [type="reject type"] | drop


1.比如允许10.0.0.1主机能够访问http服务,允许172.16.1.0/24能访问10050端口
firewall-cmd --add-rich-rule='rule family=ipv4 source address="10.0.0.1/32" service name="http" accept'
firewall-cmd --add-rich-rule='rule family=ipv4 source address="172.16.1.0/24" port port="10050" protocol="tcp" accept'

2.默认public区域对外开放所有人能通过ssh服务连接,但拒绝172.16.1.0/24网段通过ssh连接服务器
firewall-cmd --add-rich-rule='rule family=ipv4 source address="172.16.1.0/24" service name="ssh" drop'

3.使用firewalld,允许所有人能访问http,https服务,但只有10.0.0.1主机可以访问ssh服务
[root@oldboy-m01 ~]# firewall-cmd --add-service=http
[root@oldboy-m01 ~]# firewall-cmd --add-service=https
[root@oldboy-m01 ~]# firewall-cmd --remove-service=ssh

[root@oldboy-m01 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address="10.0.0.1/32" service name=ssh accept'

4.当用户来源IP地址是10.0.0.1主机,则将用户请求的6666端口转发至后端172.16.1.7的22端口
[root@oldboy-m01 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address="10.0.0.1" forward-port port="6666" protocol="tcp" to-port="22" to-addr="172.16.1.7"'




7.Firewalld实现内部主机共享上网?

    1.firewalld开启NAT转发?
    [root@oldboy-m01 ~]# firewall-cmd --add-masquerade --permanent
    [root@oldboy-m01 ~]# firewall-cmd --reload

    2.客户端发送数据包,需要发给firewalld服务器?
    [root@web01 ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth1
    TYPE=Ethernet
    BOOTPROTO=none
    NAME=eth1
    DEVICE=eth1
    ONBOOT=yes
    IPADDR=172.16.1.7
    PREFIX=24
    GATEWAY=172.16.1.61
    DNS1=223.5.5.5

--------------------------------------------------------------------------------------------------
    1.安全框架  OSI --> 技术 ---> 真实故事
    2.云架构     waf  高防IP  Https
    3.firewalld 区域概念
    4.firewalld放行端口  
    5.firewalld放行服务
    6.firewalld端口转发
    7.firewalld富规则
    8.firewalld实现内部共享上网






易学教程内所有资源均来自网络或用户发布的内容,如有违反法律规定的内容欢迎反馈
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!