2015年（45）
分类： LINUX
2015-08-20 09:42:55
这一节内容比较多，主要是学习firewalld的使用和配置。
学习firewalld之前，先简单的看看另外一个工具 tcp wrapper。这个是一个基于主机的访问控制系统，他一般作为防火墙的一个补充和加强。一些简单的服务访问控制，通过tcp wrapper很容易就实现了。
红帽有个官方文档可以查看详细的解释和实例
简单的说，配置文件有两个 /etc/hosts.allow 和 /etc/hosts.deny
从名字都猜的出来，放在allow里面的设定默认就是允许的； 放在deny里面默认就是拒绝的；如果两者的设定都不满足或者都没配置，那服务默认也是允许的。
基本格式是
daemon1,daemon2, daemon3.. : client1, client2, client3.. : option1, option2,..
如果觉得麻烦，在任何一个文件里面，明确的表明 allow 或者 deny也是可以的。比如，我可以在hosts.allow 文件里面做以下定义，拒绝来自172.0.10.223的ssh请求
测试看看，果然被拒绝了。
把deny去掉或者改成 allow也行
比如 httpd就没有
接下来看看重头戏，firewalld的使用。从RHEL7里面，默认的防火墙不再是iptables，而是firewalld，尽管他的底层还是iptables。
他们的区别和关系可以参考
firewalld的一个最大的优点是任何改动实时生效，因为他只对变化的部分做了修改；而iptables是重新创建所有的rule，因此会断掉当前的连接。
(这里需要明白的是：在RHEL7里有几种防火墙共存：firewalld、iptables、ebtables，默认使用firewalld来管理netfilter子系统，不过底层调用的命令仍然是iptables等。因为这几个daemon是冲突的建议禁用其他的几种服务： 所以我们会使用命令systemctl mask {iptables,ip6tables,ebtables},z这里需要理解的是这里的systemctl mask和systemctl disable的效果是类似的，这是这里连手动都不能开启了，systemctl unmask)
系统自带了一堆防火墙软件，他们可能会彼此冲突，因此把不用的都mask掉吧
firewalld里面图形界面可以用frewall-config 打开，命令行可以通过 firewall-cmd来实现。
首先看看图形界面
首先看看左边的一列Zone。 zone 本意是区域的意思，这些不同的Zone可以理解为不同的“安检通道”，每个“安检通道”预先定义了一系列的不同的安全策略。一个网卡只能绑定到一个“安检通道”，即一个Zone里面。
每个zone右边对应了一堆功能，分别是服务，端口，伪装，端口转发，ICMP过滤，富规则，端口和源。
服务选项里面，勾上的表示允许的服务。不同的zone默认勾上的服务是不同的。
比如说 dmz 默认只允许 ssh 服务访问；home允许更多的服务例如samba-client，dhcpv6等等，而trusted 允许所有的服务访问，即使这个服务没有勾选上。
下面看看命令行如何处理Zone
我们可以获取（get）所有zone 的信息，但是不能自己创建一个新的zone，图形工具也没有选项可以创建
可以利用tab来获取哪些命令，get有很多，但是set只有一个
查看一下zone 的选项
再试试看，又可以连接了
不过不是所有的服务都可以用tcp wrapper来实现的，只有连接了libwrap模块的daemon才可以。
但是sshd就可以
下面主要学习一下图形界面和命令行界面的使用。
里面有很多选项，我们把每一个功能都过一遍。
看看默人的zone是啥
我们可以手动改成home
修改完之后home zone就被自动加粗加黑了
