2015年（45）
分类： LINUX
2015-08-20 15:57:43
RHCE 学习笔记（31) - 防火墙 （中）
前面一节初步了解了firewalld的zone和service的配置（见 例如，我删除了用户访问http服务的权限，但是允许访问80端口，效果是一样的
前面也说道了，物理网卡（这里叫interface，接口）只能接入一个Zone里面
默认接入的Zone是public，如果我再试图分配到其他Zone，就会提示冲突。
删除当前接口的绑定，就可以分配了
如果是一个新建的网卡，或者我就手动清空了，如下所示，那对应的规则如何匹配？
如果某个接口不属于任何Zone，那么这个接口的所有数据包使用默认的Zone的规则，这里也就是public的规则。
因此可以继续访问网页
如果觉得每次都要删除添加比较麻烦，可以直接使用 change-interface 修改网卡所在的zone
比如我把接口移到了trusted zone，那这个网卡对应的所有服务都是可以允许的。
接下来，我们看看 source （来源), 这个可以限制访问者的IP地址
查看防火墙的设置可以通过 --list来查询
配置source 使用 --add-source 就行了
例如
值得一提的是尽管firewalld是立刻生效的，如果需要重启，可以重启服务，也可以重新加载服务；
下一个功能是ICMP的过滤。 图形界面里面勾选的icmp类型就拒绝访问了，这个可以屏蔽客户端的PING或者traceroute的测试，一般网管喜欢以安全的名义干这事儿，系统管理员往往觉得忒不方便。
这个功能根据豆子的测试有些bug。 这个bug体现在几点上
1） 图形工具勾选的内容，命令行查询有的时候没有列出来
2）这个屏蔽对windows 的PING 完全无效
3）对于linux的PING，勉强生效；如果当前状态是通的，那么更改之后必须关掉PING再打开才会屏蔽；如果当前不通，修改之后倒是立马就通了
ICMP过滤之后，看看Rich Rules （富规则），这个可以允许我们配置更多的限制
手动图形界面创建一个 禁止远程IP ssh访问
测试成功，访问拒绝
查看一下配置
依葫芦画瓢照着输入一个类似的命令，禁止http访问
成功
删除富规则
修改一下富规则，可以指定日志的前缀和输出级别
tailf /var/log/message 看看效果
本文永久更新链接地址：管理员在2009年8月13日编辑了该文章文章。
