linux probe 十 防火墙

虚拟的网络

桥接：把虚拟机链路到路由器上，相当于在局域网里虚拟一个真机。

NAT模式：通过宿主机链接外网

仅主机模式：仅仅虚拟机之间连通

宿主机中vmnet1对用的hostonly

vmnet8对应的是NAT

选择仅主机

在宿主机中配置vmnet1和宿主机在同一个网络

进入虚拟机

vim /etc/sysconfig/network-script/ifcfg-eno167777728

eno16777728是网卡的名字

BOOTPR0T0=static静态 dhcp是动态

ONBOOT=yes 重启服务后网卡依然启动

HWADDR是mac地址

UUID可以不要

IPADDR0 0是指一个网卡可以绑定多个ip地址

将ipaddr 配置为192.168.10.20和宿主机中的vmnet1的网卡改成一致

systemctl restart newwork 重启网卡

nmtui   rhel5,6里叫setup，rhel叫nmtui 图形化工具编辑网卡信息

systemctl restart network

另外一种防火墙 firewalld firewall-cmd命令行 firewall-config 图形界面 zone 区域，理解为模板，一个模板放着许多策略，不同的场景用不用的模板。

firewall-cmd --get-dafualt-zone 查看目前firewall使用的区域

firewall-cmd --set-default-zone=drop 切换当前防火墙的区域为drop丢包

firewall-cmd --get-zone-if-interface=eno16777728 查看eno16777728这个网卡设置的区域

firewall-cmd --panic-on 紧急模式切断所有网络连接

firewall-cmd --panic-off关闭紧急模式

firewall-cmd --zone=public --query-service=https 查询public区域是否允许https访问。

firewall-cmd --zone=public --add-service=http 添加public逾期允许http协议访问。立即生效，重启后失效

firewall-cmd --permanent --zone=public --add-service=https 当前不生效，重启后才生效。

两种设置方式 设置后立即生效，重启后失效。 设置永久生效后，当前不生效，重启后才生效。

firewall-cmd --reload让永久生效的策略立即生效。

firewall-cmd --permanent --zone=public --remove-service=https 此时还无法禁止访问，需要reload，如果不reload执行下面命令

friewall-cmd --query-service=https 结果是yes

firewall-cmd --permament --query-service=https 结果是no

firewall-cmd --list-services 查询允许的服务

firewall-cmd --list-ports查询允许的端口号

firewall-cmd --list-all 查询允许的所有内容

富规则-复杂规则-可以做针对性更强的事情

拒绝 192.168.10.1 访问ssh。

iptables -I INPUT -s 192.168.10.1 -p tcp --dport 22 -j REJECT

firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.1" service name="ssh" reject"

firewall-cmd reload才生效

端口号转发 将888端口转发到22

iptables -F

firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10

firewall-config 打开图形化界面 zone里的黑体是当前被使用的区域。
firewall-cmd --zone=public --query-service=dhcp 查询结果是no。在图形化界面中打开即可。

firewall-cmd --zone=public --add-service=https 图形化界面汇中就可以勾选响应的协议。

图形化界面中的sercies中可以查询协议对应的端口号。可以在ports中添加允许访问的端口号和协议。port forwarding也可以做端口号的转发。interface是指网卡，在这个tab里可以做网卡和区域做绑定。source tab中可以定义个网段。在富规则中可以快速使用这个网段。

 

vim /etc/hosts.allow

vim /etc/hosts.deny

先匹配allow在匹配deny，一旦匹配就不在往下寻找

ssh是协议ssdh是服务，http是协议httpd是服务。

vim /etc/hosts.deny

sshd : 192.168.10.0/24 代表禁止这个网段访问本机的sshd服务

wq!

vim /etc/hosts.allow

sshd : 192.168.10.1 代表这个ip可以访问本机的sshd服务