搜索

[23373] 2014-12-13_使用FirewallD构建动态防火墙

文档创建者：s7ckTeam
浏览次数：133
最后更新：2025-01-18
2014-12-13_使用FirewallD构建动态防火墙 使 用   F i r e w a l l D   构 建 动 态 防 火 墙 L i n u x 中 国   2 0 1 4 - 1 2 - 1 3 F i r e w a l l D   提 供 了 支 持 网 络 / 防 火 墙 区 域 ( z o n e ) 定 义 网 络 链 接 以 及 接 口 安 全 等 级 的 动 态 防 火 墙 管 理 工 具 。 它 支 持   I P v 4 ,   I P v 6   防 火 墙 设 置 以 及 以 太 网 桥 接 ， 并 且 拥 有 运 行 时 配 置 和 永 久 配 置 选 项 。 它 也 支 持 允 许 服 务 或 者 应 用 程 序 直 接 添 加 防 火 墙 规 则 的 接 口 。   以 前 的   s y s t e m - c o n f i g - f i r e w a l l / l o k k i t   防 火 墙 模 型 是 静 态 的 ， 每 次 修 改 都 要 求 防 火 墙 完 全 重 启 。 这 个 过 程 包 括 内 核   n e t f i l t e r   防 火 墙 模 块 的 卸 载 和 新 配 置 所 需 模 块 的 装 载 等 。 而 模 块 的 卸 载 将 会 破 坏 状 态 防 火 墙 和 确 立 的 连 接 。 相 反 ， f i r e w a l l   d a e m o n   动 态 管 理 防 火 墙 ， 不 需 要 重 启 整 个 防 火 墙 便 可 应 用 更 改 。 因 而 也 就 没 有 必 要 重 载 所 有 内 核 防 火 墙 模 块 了 。 不 过 ， 要 使 用   f i r e w a l l   d a e m o n   就 要 求 防 火 墙 的 所 有 变 更 都 要 通 过 该 守 护 进 程 来 实 现 ， 以 确 保 守 护 进 程 中 的 状 态 和 内 核 里 的 防 火 墙 是 一 致 的 。 另 外 ， f i r e w a l l   d a e m o n   无 法 解 析 由   i p * t a b l e s   和   e b t a b l e s   命 令 行 工 具 添 加 的 防 火 墙 规 则 。 守 护 进 程 通 过   D - B U S   提 供 当 前 激 活 的 防 火 墙 设 置 信 息 ， 也 通 过   D - B U S   接 受 使 用   P o l i c y K i t   认 证 方 式 做 的 更 改 。 “ 守 护 进 程 ” 应 用 程 序 、 守 护 进 程 和 用 户 可 以 通 过   D - B U S   请 求 启 用 一 个 防 火 墙 特 性 。 特 性 可 以 是 预 定 义 的 防 火 墙 功 能 ， 如 ： 服 务 、 端 口 和 协 议 的 组 合 、 端 口 / 数 据 报 转 发 、 伪 装 、 I C M P   拦 截 或 自 定 义 规 则 等 。 该 功 能 可 以 启 用 确 定 的 一 段 时 间 也 可 以 再 次 停 用 。 通 过 所 谓 的 直 接 接 口 ， 其 他 的 服 务 ( 例 如   l i b v i r t   ) 能 够 通 过   i p t a b l e s   变 元 ( a r g u m e n t s ) 和 参 数 ( p a r a m e t e r s ) 增 加 自 己 的 规 则 。
a m a n d a   、 f t p   、 s a m b a   和   t f t p   服 务 的   n e t f i l t e r   防 火 墙 助 手 也 被 “ 守 护 进 程 ” 解 决 了 ， 只 要 它 们 还 作 为 预 定 义 服 务 的 一 部 分 。 附 加 助 手 的 装 载 不 作 为 当 前 接 口 的 一 部 分 。 由 于 一 些 助 手 只 有 在 由 模 块 控 制 的 所 有 连 接 都 关 闭 后 才 可 装 载 。 因 而 ， 跟 踪 连 接 信 息 很 重 要 ， 需 要 列 入 考 虑 范 围 。 静 态 防 火 墙 ( s y s t e m - c o n f i g - f i r e w a l l / l o k k i t ) 使 用   s y s t e m - c o n f i g - f i r e w a l l   和   l o k k i t   的 静 态 防 火 墙 模 型 实 际 上 仍 然 可 用 并 将 继 续 提 供 ， 但 却 不 能 与 “ 守 护 进 程 ” 同 时 使 用 。 用 户 或 者 管 理 员 可 以 决 定 使 用 哪 一 种 方 案 。 在 软 件 安 装 ， 初 次 启 动 或 者 是 首 次 联 网 时 ， 将 会 出 现 一 个 选 择 器 。 通 过 它 你 可 以 选 择 要 使 用 的 防 火 墙 方 案 。 其 他 的 解 决 方 案 将 保 持 完 整 ， 可 以 通 过 更 换 模 式 启 用 。 f i r e w a l l   d a e m o n   独 立 于   s y s t e m - c o n f i g - f i r e w a l l ， 但 二 者 不 能 同 时 使 用 。 使 用   i p t a b l e s   和   i p 6 t a b l e s   的 静 态 防 火 墙 规 则 如 果 你 想 使 用 自 己 的   i p t a b l e s   和   i p 6 t a b l e s   静 态 防 火 墙 规 则 ,   那 么 请 安 装   i p t a b l e s - s e r v i c e s   并 且 禁 用   f i r e w a l l d   ， 启 用   i p t a b l e s   和 i p 6 t a b l e s : 1 .   y u m   i n s t a l l   i p t a b l e s - s e r v i c e s 2 .   s y s t e m c t l   m a s k   f i r e w a l l d . s e r v i c e 3 .   s y s t e m c t l   e n a b l e   i p t a b l e s . s e r v i c e 4 .   s y s t e m c t l   e n a b l e   i p 6 t a b l e s . s e r v i c e 静 态 防 火 墙 规 则 配 置 文 件 是   / e t c / s y s c o n f i g / i p t a b l e s   以 及   / e t c / s y s c o n f i g / i p 6 t a b l e s   . 注 ：   i p t a b l e s   与   i p t a b l e s - s e r v i c e s   软 件 包 不 提 供 与 服 务 配 套 使 用 的 防 火 墙 规 则 .   这 些 服 务 是 用 来 保 障 兼 容 性 以 及 供 想 使 用 自 己 防 火 墙 规 则 的 人 使 用 的 .   你 可 以 安 装 并 使 用   s y s t e m - c o n f i g - f i r e w a l l   来 创 建 上 述 服 务 需 要 的 规 则 .   为 了 能 使 用   s y s t e m - c o n f i g - f i r e w a l l ,   你 必 须 停 止   f i r e w a l l d . 为 服 务 创 建 规 则 并 停 用   f i r e w a l l d   后 ， 就 可 以 启 用   i p t a b l e s   与   i p 6 t a b l e s   服 务 了 : 1 .   s y s t e m c t l   s t o p   f i r e w a l l d . s e r v i c e 2 .   s y s t e m c t l   s t a r t   i p t a b l e s . s e r v i c e 3 .   s y s t e m c t l   s t a r t   i p 6 t a b l e s . s e r v i c e 什 么 是 区 域 ？ 网 络 区 域 定 义 了 网 络 连 接 的 可 信 等 级 。 这 是 一 个 一 对 多 的 关 系 ， 这 意 味 着 一 次 连 接 可 以 仅 仅 是 一 个 区 域 的 一 部 分 ， 而 一 个 区 域 可 以 用 于 很 多 连 接 。 预 定 义 的 服 务 服 务 是 端 口 和 / 或 协 议 入 口 的 组 合 。 备 选 内 容 包 括   n e t f i l t e r   助 手 模 块 以 及   I P v 4 、 I P v 6 地 址 。 端 口 和 协 议 定 义 了   t c p   或   u d p   端 口 ， 端 口 可 以 是 一 个 端 口 或 者 端 口 范 围 。 I C M P   阻 塞 可 以 选 择   I n t e r n e t   控 制 报 文 协 议 的 报 文 。 这 些 报 文 可 以 是 信 息 请 求 亦 可 是 对 信 息 请 求 或 错 误 条 件 创 建 的 响 应 。
伪 装 私 有 网 络 地 址 可 以 被 映 射 到 公 开 的 I P 地 址 。 这 是 一 次 正 规 的 地 址 转 换 。 端 口 转 发 端 口 可 以 映 射 到 另 一 个 端 口 以 及 / 或 者 其 他 主 机 。 哪 个 区 域 可 用 ? 由 f i r e w a l l d   提 供 的 区 域 按 照 从 不 信 任 到 信 任 的 顺 序 排 序 ： 丢 弃 （ d r o p ） 任 何 流 入 网 络 的 包 都 被 丢 弃 ， 不 作 出 任 何 响 应 。 只 允 许 流 出 的 网 络 连 接 。 阻 塞 （ b l o c k ） 任 何 进 入 的 网 络 连 接 都 被 拒 绝 ， 并 返 回   I P v 4   的   i c m p - h o s t - p r o h i b i t e d   报 文 或 者   I P v 6   的   i c m p 6 - a d m - p r o h i b i t e d   报 文 。 只 允 许 由 该 系 统 初 始 化 的 网 络 连 接 。 公 开 （ p u b l i c ） 用 以 可 以 公 开 的 部 分 。 该 网 络 中 其 他 的 计 算 机 对 你 来 说 不 可 信 并 且 可 能 伤 害 你 的 计 算 机 。 只 允 许 选 中 的 连 接 接 入 。 外 部 （ e x t e r n a l ） 用 在 路 由 器 等 启 用 伪 装 的 外 部 网 络 。 该 网 络 中 其 他 的 计 算 机 对 你 来 说 不 可 信 并 且 可 能 伤 害 你 的 计 算 机 。 只 允 许 选 中 的 连 接 接 入 。 隔 离 区 （ d m z ） 用 以 允 许 隔 离 区 （ d m z ） 中 的 电 脑 有 限 地 被 外 界 网 络 访 问 。 只 接 受 被 选 中 的 连 接 。 工 作 （ w o r k ） 用 在 工 作 网 络 。 该 网 络 中 的 大 多 数 计 算 机 可 以 信 任 ， 不 会 影 响 你 的 计 算 机 。 只 接 受 被 选 中 的 连 接 。 家 庭 （ h o m e ） 用 在 家 庭 网 络 。 该 网 络 中 的 大 多 数 计 算 机 可 以 信 任 ， 不 会 影 响 你 的 计 算 机 。 只 接 受 被 选 中 的 连 接 。 内 部 （ i n t e r n a l ） 用 在 内 部 网 络 。 该 网 络 中 的 大 多 数 计 算 机 可 以 信 任 ， 不 会 影 响 你 的 计 算 机 。 只 接 受 被 选 中 的 连 接 。 受 信 任 的 （ t r u s t e d ） 允 许 所 有 网 络 连 接 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理