感谢支持
我们一直在努力

RHEL7 学习笔记(31) – 防火墙 (中)

RHEL7 学习笔记(31) – 防火墙 (中)

前面一节初步了解了firewalld的zone和service的配置(见 http://www.linuxidc.com/Linux/2015-02/113499.htm),下面看看port如何配置

例如,我删除了用户访问http服务的权限,但是允许访问80端口,效果是一样的

前面也说道了,物理网卡(这里叫interface,接口)只能接入一个Zone里面

默认接入的Zone是public,如果我再试图分配到其他Zone,就会提示冲突。

删除当前接口的绑定,就可以分配了

如果是一个新建的网卡,或者我就手动清空了,如下所示,那对应的规则如何匹配?

如果某个接口不属于任何Zone,那么这个接口的所有数据包使用默认的Zone的规则,这里也就是public的规则。

因此可以继续访问网页

如果觉得每次都要删除添加比较麻烦,可以直接使用 change-interface 修改网卡所在的zone

比如我把接口移到了trusted zone,那这个网卡对应的所有服务都是可以允许的。

接下来,我们看看 source (来源), 这个可以限制访问者的IP地址

查看防火墙的设置可以通过 –list来查询

配置source 使用 –add-source 就行了

例如

值得一提的是尽管firewalld是立刻生效的,如果需要重启,可以重启服务,也可以重新加载服务;

下一个功能是ICMP的过滤。 图形界面里面勾选的icmp类型就拒绝访问了,这个可以屏蔽客户端的PING或者traceroute的测试,一般网管喜欢以安全的名义干这事儿,系统管理员往往觉得忒不方便。

这个功能根据豆子的测试有些bug。 这个bug体现在几点上

1) 图形工具勾选的内容,命令行查询有的时候没有列出来

2)这个屏蔽对windows 的PING 完全无效

3)对于linux的PING,勉强生效;如果当前状态是通的,那么更改之后必须关掉PING再打开才会屏蔽;如果当前不通,修改之后倒是立马就通了

ICMP过滤之后,看看Rich Rules (富规则),这个可以允许我们配置更多的限制

手动图形界面创建一个 禁止远程IP ssh访问

测试成功,访问拒绝

查看一下配置

依葫芦画瓢照着输入一个类似的命令,禁止http访问

成功

删除富规则

修改一下富规则,可以指定日志的前缀和输出级别

tailf /var/log/message 看看效果

本文永久更新链接地址:http://www.linuxidc.com/Linux/2015-02/113569.htm

赞(0) 打赏
转载请注明出处:服务器评测 » RHEL7 学习笔记(31) – 防火墙 (中)
分享到: 更多 (0)

听说打赏我的人,都进福布斯排行榜啦!

支付宝扫一扫打赏

微信扫一扫打赏