Linux服务器配置与管（第二版）课件 项目10-任务一 配置和使用Firewalld.pptx

任务一配置和使用Firewalld

任务提出一任务分析二任务实施三任务总结四目录Contents同步训练五项目10防火墙配置与管理【项目描述】为了保证公司服务器的安全，需要在公司服务器上安装和运行防火墙。本项目中我们完成防火墙的配置与管理任务。【学习目标】(1)了解防火墙的工作原理。(2)掌握Linux防火墙的基本架构。(3)掌握Firewalld的基本使用。(4)理解SELinux的系统中的重要作用。(5)掌握SELinux的用户管理、角色管理、布尔值管理。(6)掌握SELinux在文件上下文、端口上下文中的应用。(7)增强文化自信，为国产品牌防火墙产品取得的成就而自豪。

01任务提出

任务提出(1)查看当前系统中的所有区域和所有支持的服务。(2)查看当前的活动区域及其接口信息。(3)查看当前区域所有已配置的接口、源、服务和端口信息。(4)添加一个新的接口，将该接口关联到internal区域，此修改为永久修改。(5)向public区域添加一条规则，允许访问http服务。(6)向public区域添加一条规则，允许访问8080/tcp端口。(7)将http服务和8080端口从public区域中移除。公司内部搭建的服务器安装了防火墙并使用Firewalld进行配置，现要完成以下任务：

02任务分析

1.Firewalld的基本概念firewalld是一个防火墙服务守护进程，其提供一个带有D-Bus接口的、动态可定制的、基于主机的防火墙。由于它是动态的，因此可以在创建、更改和删除规则时不需要在每次都重新启动防火墙守护进程。firewalld使用区域（zone）和服务(service)的概念来简化流量管理。区域是预定义的规则集。网络接口和源可以分配给区域。允许的流量取决于被防护计算机所连接的网络以及该网络所分配的安全级别。防火墙服务是预定义的规则，覆盖了允许特定服务进入流量的所有必要设置，它在一个区域的范围中应用。根据数据包源IP地址或传入网络接口等条件，流量将转入相应区域的防火墙规则，如图所示。每个区域都有自己要打开或关闭的端口和服务列表。

1.Firewalld的基本概念Firewalld有一些预定义区域，适应于多种用途。下表列出了在系统安装时这些区域的默认配置，管理员也可以对这些区域进行自定义配置。区域名称默认配置trusted允许所有传入流量home除非与传出流量相关，或与ssh、mdns、ipp-client、samba-client或dhcpv6-client预定义服务匹配，否则拒绝传入流量internal除非与传出流量相关，或与ssh、mdns、ipp-client、samba-client或dhcpv6-client预定义服务匹配，否则拒绝传入流量(一开始与home区域相同)work除非与传出流量相关，或与ssh、ipp-client或dhcpv6-client预定义服务匹配，否则拒绝传入流量public除非与传出流量相关，或与ssh或dhcpv6-client预定义服务匹配，否则拒绝传入流量。新添加的网络接口的默认区域external除非与传出流量相关，或与ssh预定义服务匹配，否则拒绝传入流量。通过此区域转发的IPv4传出流量将进行伪装，以使其看起来像是来自传出网络接口的IPv4地址dmz除非与传出流量相关，或与ssh预定义服务匹配，否则拒绝传入流量block除非与传出流量相关，否则拒绝传入流量drop除非与传出流量相关，否则拒绝传入流量(甚至不产生包含ICMP错误的响应)

1.Firewalld的基本概念Firewalld还有一些预定义服务。这些服务定义可用于方便地允许特定网络服务的流量通过防火墙。下表列出了防火墙区域默认配置中使用的预定义服务的配置。服务名称配置ssh本地SSH服务器。到22/TCP的流量dhcpv6-client本地DHCPv6客户端。到fe80::/64IPv6网络中546/UDP的流量ipp-client本地IPP打印。到631/UDP的流量samba-client本地Windows文件和打印共享客户端。到137/UDP和138/UDP的流量mdns多播DNS(mDNS)本地链路名称解析。到5353/UDP指向51(IPv4)或ff02::fb(IPv6)多播地址的流量

2.RHEL9对Firewalld的支持Firewalld需要的软件包是firewalld-filesystem-*-el9.noarch和firewalld-*-el9.noarch(*代表版本号，根据Linux系统的版本不同会有所差别)。由于firewalld.service和iptables.servic