7.7. 使用 firewalld 区域

流程

1. 列出可用的防火墙区域：

   # firewall-cmd --get-zones

   Copy to Clipboard Toggle word wrap

   firewall-cmd --get-zones 命令显示系统上所有可用的区，但不显示特定区的详情。要查看所有区域的详情，请使用 firewall-cmd --list-all-zones 命令。

2. 选择您要用于此配置的区域。

3. 修改所选区域的防火墙设置。例如，要允许 SSH 服务并删除 ftp 服务：

   # firewall-cmd --add-service=ssh --zone=<your_chosen_zone>
   # firewall-cmd --remove-service=ftp --zone=<same_chosen_zone>

   Copy to Clipboard Toggle word wrap

4. 向防火墙区域分配一个网络接口：

   1. 列出可用的网络接口：

      # firewall-cmd --get-active-zones

      Copy to Clipboard Toggle word wrap

      区域的活动是由网络接口或匹配其配置的源地址范围的存在来确定的。默认区域对于未分类的流量是处于活跃状态的，但如果没有流量匹配其规则，则不总是处于活跃状态。

   2. 向所选区分配一个网络接口：

      # firewall-cmd --zone=<your_chosen_zone> --change-interface=<interface_name> --permanent

      Copy to Clipboard Toggle word wrap

      向区域分配一个网络接口更适合于将一致的防火墙设置应用到特定接口（物理的或虚拟的）上的所有流量。

      当与 --permanent 选项一起使用时，firewall-cmd 命令通常涉及更新 NetworkManager 连接配置文件，以使对防火墙配置的更改永久。firewalld 和 NetworkManager 之间的这种集成确保一致的网络和防火墙设置。

验证

1. 显示您选择的区域的更新设置：

   # firewall-cmd --zone=<your_chosen_zone> --list-all

   Copy to Clipboard Toggle word wrap

   命令输出显示所有区域设置，包括分配的服务、网络接口和网络连接（源）。

1. 显示当前的默认区：

   # firewall-cmd --get-default-zone

   Copy to Clipboard Toggle word wrap

2. 设置新的默认区：

   # firewall-cmd --set-default-zone <zone_name>

   Copy to Clipboard Toggle word wrap
   注意

   按照此流程，设置是一个永久设置，即使没有 --permanent 选项。

1. 列出活跃区以及分配给它们的接口：

   # firewall-cmd --get-active-zones

   Copy to Clipboard Toggle word wrap

2. 为不同的区分配接口：

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

   Copy to Clipboard Toggle word wrap

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones

   Copy to Clipboard Toggle word wrap

2. 将源 IP 添加到持久性模式的信任区中：

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

   Copy to Clipboard Toggle word wrap

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

流程

1. 列出所需区的允许源：

   # firewall-cmd --zone=zone-name --list-sources

   Copy to Clipboard Toggle word wrap

2. 从区永久删除源：

   # firewall-cmd --zone=zone-name --remove-source=<source>

   Copy to Clipboard Toggle word wrap

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

流程

1. 将区分配给 NetworkManager 连接配置文件：

   # nmcli connection modify profile connection.zone zone_name

   Copy to Clipboard Toggle word wrap

2. 激活连接：

   # nmcli connection up profile

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个新区：

   # firewall-cmd --permanent --new-zone=zone-name

   Copy to Clipboard Toggle word wrap

2. 使新区域可用：

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

   命令将最新的更改应用到防火墙配置，而不中断已在运行的网络服务。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，点 Add new zone。

5. 在 Add zone 对话框中，从信任级别选项选择一个区。

   Web 控制台显示 firewalld 服务中预定义的所有区域。

6. 在接口部分，选择一个应用所选区的接口或接口。

7. 在 Allowed Addresses 部分中，您可以选择是否应用该区：

   • 整个子网

   • 或者以以下格式表示的 IP 地址范围：

     • 192.168.1.0
     • 192.168.1.0/24
     • 192.168.1.0/24, 192.168.1.0

8. 点 Add zone 按钮。

   

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 点您要删除的区的 Options 图标。

   

5. 点击 Delete。

1. 列出特定区的信息以查看默认目标：

   # firewall-cmd --zone=zone-name --list-all

   Copy to Clipboard Toggle word wrap

2. 在区中设置一个新目标：

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个有有意义名称的 IP 集：

   # firewall-cmd --permanent --new-ipset=allowlist --type=hash:ip

   Copy to Clipboard Toggle word wrap

   名为 allowlist 的新 IP 集包含您希望防火墙允许的 IP 地址。

2. 向 IP 集添加动态更新：

   # firewall-cmd --permanent --ipset=allowlist --add-entry=198.51.100.10

   Copy to Clipboard Toggle word wrap

   此配置使用新添加的 IP 地址更新防火墙允许传输网络流量的allowlist IP 集。

3. 创建一个引用之前创建的 IP 集的防火墙规则：

   # firewall-cmd --permanent --zone=public --add-source=ipset:allowlist

   Copy to Clipboard Toggle word wrap

   没有此规则，IP 集不会对网络流量有任何影响。默认防火墙策略将占先。

4. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

验证

1. 列出所有 IP 集：

   # firewall-cmd --get-ipsets
   allowlist

   Copy to Clipboard Toggle word wrap

2. 列出活跃的规则：

   # firewall-cmd --list-all
   public (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp0s1
     sources: ipset:allowlist
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     ...

   Copy to Clipboard Toggle word wrap

   命令行输出的 sources 部分提供了对哪些流量源（主机名、接口、IP 集、子网等）被允许或拒绝访问特定防火墙区域的见解。在这种情况下，包含在 allowlist IP 集中的 IP 地址被允许通过防火墙，为 public 区域传输流量。

3. 探索 IP 集的内容：

   # cat /etc/firewalld/ipsets/allowlist.xml
   <?xml version="1.0" encoding="utf-8"?>
   <ipset type="hash:ip">
     <entry>198.51.100.10</entry>
   </ipset>

   Copy to Clipboard Toggle word wrap