红帽全球峰会7.2. 防火墙区域
您可以根据您在该网络中所具有的接口和流量的信任级别，使用 firewalld 工具将网络划分为不同的区域。连接只能是区域的一部分，但您可以对许多网络连接使用这个区域。
firewalld 在区域方面遵循严格的原则：
- 流量只流入一个区域。
- 流量只流出一个区域。
- 一个区域定义一个信任级别。
- 默认允许区域内流量（在同一区域内）。
- 默认拒绝区域内流量（从区域到区域）。
原则 4 和 5 是原则 3 的结果。
原则 4 可以通过区域选项 --remove-forward 进行配置。原则 5 可以通过添加新策略进行配置。
NetworkManager 通知接口区的 firewalld。您可以使用以下工具将区域分配给接口：
-
NetworkManager -
firewall-config工具 -
firewall-cmd工具 - RHEL web 控制台
RHEL web 控制台、firewall-config 和 firewall-cmd 只能编辑合适的 NetworkManager 配置文件。如果您使用 web 控制台、firewall-cmd 或 firewall-config 更改接口的区域，则请求被转发到 NetworkManager，且不是由 firewalld 处理。
/usr/lib/firewalld/zones/ 目录存储预定义的区域，您可以立即将它们应用到任何可用的网络接口。只有在修改后，这些文件才会被拷贝到 /etc/firewalld/zones/ 目录中。预定义区的默认设置如下：
block-
适合于：任何传入的网络连接都会被拒绝，并对
IPv4显示 icmp-host-prohibited 消息，对IPv6显示 icmp6-adm-prohibited 消息。 - 接受：只有从系统内启动的网络连接。
-
适合于：任何传入的网络连接都会被拒绝，并对
dmz- 适用于：您的 DMZ 中可使用访问您的内部网的有限权限公开访问的计算机。
- 接受: 只有所选的传入连接。
drop适合于：任何被丢失，但没有任何通知的传入网络数据包。
- 接受：只有传出的网络连接。
external- 适用于：启用了伪装的外部网络，特别是路由器。不信任网络上其他计算机的情况。
- 接受: 只有所选的传入连接。
home- 适用于：家庭环境，其中您基本上信任网络上的其他计算机。
- 接受: 只有所选的传入连接。
internal- 适用于：内部网络，其中您基本上信任网络上其他计算机的。
- 接受: 只有所选的传入连接。
public- 适用于：公共区域，其中您不信任网络上的其他计算机。
- 接受: 只有所选的传入连接。
trusted- 接受：所有网络连接。
work适用于：工作环境，其中您大多信任网络上的其他计算机。
- 接受: 只有所选的传入连接。
这些区中的一个被设置为 default 区。当接口连接被添加到 NetworkManager 中时，它们会被分配到默认区。安装时，firewalld 中的默认区域是 public 区域。您可以更改默认区域。
使网络区域名称一目了然，以帮助用户快速理解它们。
要避免安全问题，请查看默认区配置并根据您的需要和风险禁用任何不必要的服务。
其他资源
-
您系统上的
firewalld.zone (5)手册页
