眾所周知，相較于企業(yè)內(nèi)網(wǎng)，外部的公網(wǎng)環(huán)境更加惡劣，罪惡叢生。在公網(wǎng)與企業(yè)內(nèi)網(wǎng)之間充當保護屏障的防火墻雖然有軟件和硬件之分，但主要功能都是依據(jù)策略對穿越防火墻自身的流量進行過濾。防火墻策略可以基于流量的源地址、目的地址、端口號、協(xié)議、應用等信息來定制，然后防火墻使用預先定制的策略規(guī)則監(jiān)控出入的流量，若流量與某一條策略規(guī)則相匹配，則執(zhí)行相應的處理，反之則丟棄。這樣一來，就可以保證僅有合法的流量在企業(yè)內(nèi)網(wǎng)和外部公網(wǎng)之間流動了。

（一）tcpwraps的配置
(1.1)在RHEL 7系統(tǒng)中有多種防火墻，其中一種是tcpwraps。Tcpwraps主要涉及到兩個配置文件：/etc/hosts.allow文件和/etc/hosts.deny配置文件。在配置文件中的配置語法主要為：“daemon : 客戶端”，例如在我們系統(tǒng)中有sshd服務，當這個服務運行的時候，本質(zhì)上是有一個程序在后臺一直在運行（圖1-3），如果在hosts.allow文件中進行配置，那么就是允許指定的客戶端訪問這個服務，如果在hosts.deny文件中進行配置，那么就是不允許指定的客戶端訪問這個服務。其中我們在指定客戶端的時候，如果是填寫子網(wǎng)掩碼，是不支持直接寫/24的表示方法的，必須要完整的寫成/255.255.255.0的表示方法（圖1-2）。
# ps aux | grep -v grep | grep sshd

(1.2)接著我們看一下tcpwraps的匹配規(guī)則，首先到hosts.allow里去匹配，如果匹配成功了則系統(tǒng)允許通過這個匹配的地址訪問，此后就不再到hosts.deny里去匹配了；如果在hosts.allow里沒有匹配成功，則才會到hosts.deny里去匹配，如果在hosts.deny里匹配成功了，則系統(tǒng)會拒絕這個匹配的地址訪問；如果在hosts.deny里也沒有匹配成功，則系統(tǒng)默認是允許通過這個地址進行訪問的，和沒有指定這個條目的效果是一致的。
(1.3)默認情況下，在沒有設置任何tcpwraps規(guī)則時，vms002主機是可以正常的使用ssh服務連接到vms001主機的。

(1.4)我們在vms001主機的hosts.allow中配置允許192.168.26.0網(wǎng)段中的所有主機可以訪問vms001主機的ssh服務，此時我們發(fā)現(xiàn)vms002主機仍然是可以訪問vms001主機的ssh服務的。
注意：hosts.allow配置文件中修改的條目在修改完后是立即自動生效的

(1.5)我們在vms001主機的/etc/hosts.allow配置文件和/etc/hosts.deny配置文件中都添加上允許192.168.26.102主機的條目，此時由于系統(tǒng)中先通過了hosts.allow配置文件中的條目，所以hosts.deny配置文件中的條目便不會再執(zhí)行了，所以vms002主機是可以正常的訪問vms001主機的ssh服務的。

(1.6)接著我們在vms001主機的/etc/hosts.allow配置文件中設置允許192.168.26.即26.0網(wǎng)段中所有的主機都允許通過，在/etc/hosts.deny配置文件中設置不允許192.168.26.102主機，此時由于是先執(zhí)行了hosts.allow文件的比對，再執(zhí)行hosts.deny文件的比對，所以vms002主機仍然是可以正常的訪問vms001主機的ssh服務的。

(1.7)下面的一種情況是，我們在vms001主機的/etc/hosts.allow配置文件中設置允許192.168.26.0網(wǎng)段中所有的主機，但是除了192.168.26.102，在/etc/hosts.deny配置文件中沒有做任何的配置，此時雖然排除了192.168.26.102主機允許通過，但是系統(tǒng)默認也是允許通過，所以此時vms002主機仍然是可以正常的訪問vms001主機的ssh服務的（圖1-9）。而當我們在/etc/hosts.deny配置文件中設置了192.168.26.102主機時，此時vms002主機就不可以訪問vms001主機的ssh服務了（圖1-10和圖1-11）。

(1.8)一般我們?yōu)榱吮ＷC安全性，在/etc/hosts.allow文件中指定了可以訪問的主機后，同時也應該在/etc/hosts.deny文件中指定其他的所有主機都不能訪問，從而提高系統(tǒng)的安全。此時我們在vms002主機上仍然可以正常的登錄到vms001主機的ssh服務，但是其他IP地址的主機就無法登錄vms001主機的ssh服務了。此時我們?nèi)绻Ｍ渌闹鳈C也能夠訪問到vms001主機的ssh服務，可以先登錄到vms002主機，再通過vms002主機跳板登錄到vms001主機，此時vms002主機便實現(xiàn)了“堡壘機”的作用。
在/etc/hosts.allow中配置：
# sshd : 192.168.26.102/255.255.255.0
在/etc/hosts.deny中配置：
# sshd : ALL

(1.9)tcpwraps可以很好的進行訪問控制的作用，我們使用ldd命令，可以查看tcpwraps是可以對sshd服務進行訪問控制的（圖1-14）；我們安裝好vsftpd服務后，使用ldd命令查看，發(fā)現(xiàn)tcpwraps也是可以對vsftpd服務進行訪問控制的（圖1-15）；安裝完httpd服務后發(fā)現(xiàn)，tcpwraps并不能對httpd服務進行訪問控制，因為httpd服務并沒有鏈接到tcpwraps模塊（圖1-16）。
注意：如果我們想要知道關于hosts allow更詳細的用法，可以使用# man hosts.allow進行查詢。
# ldd which sshd | grep wrap
# yum install vsftpd -y
# ldd which vsftpd | grep wrap
# yum install httpd -y

（二）Firewalld的概念
(2.1)在RHEL 7系列的系統(tǒng)中，firewalld防火墻取代了iptables防火墻。對于接觸Linux系統(tǒng)比較早或學習過RHEL 6系統(tǒng)的讀者來說，當他們發(fā)現(xiàn)曾經(jīng)掌握的知識在RHEL 7中不再適用，需要全新學習firewalld時，難免會有抵觸心理。其實，iptables與firewalld都不是防火墻的真面目，它們都只是用來定義防火墻策略的的防火墻管理工具而已，或者說，它們只是一種服務。iptables服務會把配置好的防火墻策略交給內(nèi)核層面的netfilter網(wǎng)絡過濾器來處理，而firewalld服務則是把配置好的防火墻策略交給內(nèi)核層面的nftables包過濾框架來處理。換句話說，當前在Linux系統(tǒng)中其實存在多個防火墻管理工具，旨在方便運維人員管理Linux系統(tǒng)中的防火墻策略，我們只需要配置妥當其中的一個就足夠了。雖然這些工具各有優(yōu)劣，但它們在防火墻策略的配置思路上是保持一致的。大家只要在多個防火墻管理工具中選擇一款并將其學透，就足以滿足日常的工作需求了。
(2.2)在RHEL 7系統(tǒng)中是同時存在多個防火墻的，例如firewalld、iptables、ebtables、ipv6tables等，但是RHEL 7系統(tǒng)默認是使用firewalld防火墻的。我們在使用Firewalld防火墻主要可以通過圖形化界面和命令行這兩種方式來進行配置，此處我們使用兩種方式配合使用。

（三）配置防火墻
(3.1)通過圖形化的界面我們發(fā)現(xiàn)，在區(qū)域部分展示的是防火墻所有的區(qū)域（zone）。在命令行，我們通過get-zones可以獲得防火墻所有區(qū)域的信息（圖1-19）。
# firewall-config &
# firewall-cmd –get-zones

(3.2)我們知道每個網(wǎng)卡都會需要和某個zone進行關聯(lián)，如果某網(wǎng)卡沒有和任何的zone關聯(lián)，則會使用默認的zone，通過圖形化界面我們可以知道，默認的zone是trusted，默認情況下所有的數(shù)據(jù)包都是允許通過的。
# firewall-cmd –get-default-zone

(3.3)而如果我們想修改防火墻的默認區(qū)域，可以通過“選項”–“改變默認區(qū)域”操作（圖1-22和圖1-23）。如果我們想要通過命令行的方式進行修改，則可以通過set-default-zone的參數(shù)進行設置，可以設置默認的區(qū)域為public（圖1-24）
# firewall-cmd –set-default-zone=public

(3.4)默認情況下，所有的網(wǎng)卡都是和默認的zone進行關聯(lián)的，此時我們默認的zone是public，所以網(wǎng)卡eno16777728顯示是和public關聯(lián)的；接著我們嘗試將默認的zone修改為trusted，可以發(fā)現(xiàn)此時網(wǎng)卡eno16777728也會自動和修改為默認zone的trusted進行關聯(lián)。
# firewall-cmd –get-zone-of-interface=eno16777728
# firewall-cmd –set-default-zone=trusted

(3.5)如果我們想將默認的public區(qū)域中的接口網(wǎng)卡eno16777728更改為和home區(qū)域的zone進行關聯(lián)，此時如果我們直接在home區(qū)域添加eno16777728網(wǎng)卡，那么系統(tǒng)會彈出區(qū)域沖突的信息（圖1-26）。由于每張網(wǎng)卡只能和一個區(qū)域進行關聯(lián)，所以此時我們應該先將eno16777728從public區(qū)域中移除，然后再添加至home區(qū)域中，此時我們通過圖形化界面便可以正常的將網(wǎng)卡和home區(qū)域進行關聯(lián)了（圖1-27和圖1-28）。
# firewall-cmd –remove-interface=eno16777728—從public區(qū)域中移除網(wǎng)卡

(3.6)如果我們使用remove-interface參數(shù)從區(qū)域中刪除網(wǎng)卡時，是從默認的區(qū)域中刪除網(wǎng)卡的，此時防火墻默認的區(qū)域是public，但是網(wǎng)卡關聯(lián)的是在home區(qū)域中，所以我們在刪除時也需要指定區(qū)域。如果我們使用add-interface添加eno16777728網(wǎng)卡，沒有指定區(qū)域時，那么系統(tǒng)會在默認的區(qū)域public中添加網(wǎng)卡。
# firewall-cmd –remove-interface=eno16777728 –zone=home
# firewall-cmd –add-interface=eno16777728

(3.7)現(xiàn)在我們的網(wǎng)卡eno16777728是在public區(qū)域中，如果我們想將網(wǎng)卡修改到其他的區(qū)域的zone中則可以使用change-interface，例如我們將網(wǎng)卡直接修改到home區(qū)域中。
# firewall-cmd –change-interface=eno16777728 –zone=home—將網(wǎng)卡直接修改到home區(qū)域中
# firewall-cmd –get-zone-of-interface=eno16777728

(3.8)現(xiàn)在我們?nèi)匀辉O置網(wǎng)卡eno16777728是在public區(qū)域中，首先我們將httpd服務啟動起來，并設置主頁信息，此時我們在vms002主機上嘗試登錄vms001主機的主頁發(fā)現(xiàn)無法登錄（圖1-32）。接著我們在public區(qū)域中勾選http服務可以通過，此時便可以正常的登錄到vms001的主頁了（圖1-34）。接著我們通過命令行的方式實現(xiàn)，首先通過get-services獲取系統(tǒng)中所有的服務（圖1-35），接著我們查詢默認的public區(qū)域中http服務是否有勾選，并使用add-service添加http服務，使用remove-service去除http服務（圖1-36）。
# firewall-cmd –get-services | grep http—獲取系統(tǒng)中所有的服務并查詢http服務是否有包含
# firewall-cmd –query-service=http—查詢http服務是否有勾選
# firewall-cmd –add-service=http—將默認區(qū)域的http服務勾選
# firewall-cmd –remove-service=http—將默認區(qū)域的http服務去除

(3.9)以上的防火墻的設置都只是臨時生效，如果將防火墻的服務重啟后，會發(fā)現(xiàn)http服務便沒有勾選了，此時就無法正常的訪問http服務了。通過圖形化界面設置，我們可以選擇永久生效，然后在public區(qū)域中將http服務勾選，此時防火墻服務重啟后，也仍然可以正常的訪問http服務了（圖1-38）。如果我們只是在永久配置中勾選了http服務，但是運行時配置中并沒有勾選http服務，由于永久配置必須要重啟后才會生效，所以此時當前運行的環(huán)境中并沒有生效允許訪問http服務，通過命令行的方式，我們應該通過加上“–permanent”寫入持久態(tài)的參數(shù)處理（圖1-39）。
# firewall-cmd –query-service=http
# systemctl restart firewalld.service—將服務重啟一下
# firewall-cmd –add-service=http—設置防火墻允許http服務訪問
# firewall-cmd –add-service=http –permanent—將配置寫入持久態(tài)
# firewall-cmd –remove-service=http—刪除防火墻允許http服務訪問
# firewall-cmd –remove-service=http –permanent—將配置寫入持久態(tài)

(3.10)有時候我們可能會使用非標準的端口去運行服務，第二個我們來了解“端口”，例如使用808端口運行http服務，此時我們在服務配置中勾上http會發(fā)現(xiàn)也是仍然不能正常的訪問到vms001主機的主頁。我們首先在http服務中開放808端口，并修改好端口的上下文，然后將httpd服務重啟后，我們會發(fā)現(xiàn)由于防火墻并沒有設置808端口允許通過，所以此時仍然是無法訪問vms001主頁的（圖1-42），此時我們可以使用端口解決這個問題，我們在端口中添加808端口，使用的協(xié)議是tcp，這樣我們便可以正常的訪問到vms001主機在808端口開放的主頁了（圖1-44）。接著我們還可以使用命令行的方式實現(xiàn)添加808端口的操作，同時要記住添加端口完畢后需要添加“–permanent”參數(shù)，可以實現(xiàn)配置在重啟后也仍然生效的效果。
# vim /etc/httpd/conf/httpd.conf
# vim /etc/ssh/sshd_config —可以使用ssh配置文件中的修改端口上下文的模板
# semanage port -a -t http_port_t -p tcp 808—更改端口的上下文
# systemctl restart httpd.service
# firewall-cmd –query-port=808/tcp—查詢808端口在防火墻中是否有開啟
# firewall-cmd –remove-port=808/tcp—刪除防火墻中開啟的808端口，刪除端口
# firewall-cmd –add-port=808/tcp—添加808端口

(3.11)第三個我們來了解“ICMP過濾器”，其中ICMP表示的是互聯(lián)網(wǎng)控制報文協(xié)議，主要用于在聯(lián)網(wǎng)的計算機之間發(fā)送出錯信息，但也發(fā)送類似ping請求及回應等信息。此處ICMP過濾器和我們遇到的第一個“服務”在表示的時候是相反的，此處ICMP類型中的選項，如果勾上表示的是不允許通過，不打勾代表的是允許通過，而在“服務”中，勾上表示的是服務允許通過，而不打勾代表的是不允許通過。我們在ICMP過濾器中勾選上“echo-request”，此時vms001主機就不允許其他主機對自己發(fā)送ping的請求了，我們在vms002主機上向vms001主機發(fā)送ping的請求，發(fā)現(xiàn)并不能ping成功（圖1-47）。接著我們再使用命令行的方式操作，使用add-icmp-block參數(shù)，此時就可以實現(xiàn)禁止其他主機ping當前vms001主機的要求了（圖1-48）。不過需要注意的是有時候設置了ICMP后并不能禁止Windows類型的客戶端的ping請求，此時我們可以在內(nèi)核參數(shù)中進行相關的設置，從而實現(xiàn)禁ping的需求，/proc/sys/net/ipv4/目錄下的icmp_echo_ignore_all內(nèi)核參數(shù)默認是0，表示的允許其他主機ping的請求，此時任何類型的客戶端都是無法ping通vms001主機的（圖1-49和圖1-50）
# firewall-cmd –get-icmptypes—查詢當前防火墻中ICMP所有的類型
# firewall-cmd –add-icmp-block=echo-request—勾選ICMP請求的選項，拒絕其他機器的訪問禁ping

(3.12)第四個我們來了解“來源”，由于我們的網(wǎng)卡是關聯(lián)在public區(qū)域的，而且http服務并沒有勾選，所以在vms002主機使用http://192.168.26.101 的方式訪問時是無法打開vms001主機的主頁的（圖1-51至圖1-53），我們在vms001主機的home區(qū)域中的來源添加192.168.26.0網(wǎng)段，同時在home區(qū)域的“服務”中添加了允許訪問http服務后，此時雖然是在public區(qū)域中，但是仍然可以正常的訪問vms001主機的主頁（圖1-54至圖1-56）。這是由于我們在home區(qū)域的的“來源”設置了允許192.168.26.0網(wǎng)段后，那么訪問的客戶端IP地址只要是包含在這個網(wǎng)段中，那么即使此時使用的是public區(qū)域，但是仍然可以匹配到home區(qū)域中服務的設置規(guī)則，而home區(qū)域中允許了http服務，所以vms002主機可以正常的訪問到vms001主機的主頁。

(3.13)如果我們想了解當前的防火墻中包含有哪些的“來源”，我們可以使用query-source參數(shù)來驗證指定的區(qū)域是否包含來源的信息，例如我們測試出在home區(qū)域中包含192.168.26.0網(wǎng)段的“來源”信息（圖1-57）。不過我們還是可以通過“l(fā)ist-all”參數(shù)來查詢未知網(wǎng)段的情況下設置“來源”的區(qū)域信息（圖1-58）。我們可以通過命令行的方式對區(qū)域中的“來源”網(wǎng)段進行添加和刪除操作。
# firewall-cmd –query-source=192.168.26.0/24
# firewall-cmd –query-source=192.168.26.0/24 –zone=home
# firewall-cmd –list-all—查詢public區(qū)域是否有包含“來源”信息
# firewall-cmd –list-all –zone=home—查詢home區(qū)域是否有包含“來源”信息
# firewall-cmd –remove-source=192.168.26.0/24 –zone=home—刪除home區(qū)域的“來源”信息
# firewall-cmd –add-source=192.168.26.0/24 –zone=home—在home區(qū)域添加“來源”信息

(3.14)第五個是“偽裝”，第六個是“端口轉發(fā)”。目前IPv4的地址出現(xiàn)了資源短缺不夠用，我們的解決方案除了使用IPv6以外，還可以使用NAT方案來進行緩解。在我們的環(huán)境中存在內(nèi)網(wǎng)，內(nèi)網(wǎng)中存在一個交換機，這個交換機會連接到一個對外訪問的路由器，這個路由器連接到外部互聯(lián)網(wǎng)的某主機（2.2.2.2），我們內(nèi)網(wǎng)的主機IP地址是內(nèi)網(wǎng)私有地址（10.0.0.2），而私有地址的網(wǎng)關是10.0.0.1在路由器的一個接口上，路由器的公網(wǎng)地址是1.1.1.1，現(xiàn)在我們內(nèi)網(wǎng)的主機（10.0.0.2）需要發(fā)送一個數(shù)據(jù)包到外部互聯(lián)網(wǎng)的某主機上（2.2.2.2），此時發(fā)送的源地址：10.0.0.2，目的地址：2.2.2.2，到達路由器后，會進行網(wǎng)絡地址轉換，此時源地址：1.1.1.1，目的地址：2.2.2.2，這種轉換就稱之為SNAT（source nat）。而有時候我們內(nèi)網(wǎng)會有一個主機對外提供服務，此時我們內(nèi)網(wǎng)的IP地址是10.0.0.3，而外部互聯(lián)網(wǎng)主機希望訪問內(nèi)部的Web服務器時，首先是通過源地址：2.2.2.2，目的地址：1.1.1.1，通過路由器后，會進行網(wǎng)絡地址轉換，此時源地址：2.2.2.2，目的地址：10.0.0.3，這種轉換就稱之為DNAT（destination nat）。而對應到防火墻中SNAT就是“偽裝”，而DNAT就是“端口轉發(fā)”。

(3.15)現(xiàn)在我們的系統(tǒng)的環(huán)境是有三臺主機，其中server主機的IP地址是10.0.0.2，vms002主機的IP地址是192.168.26.102，vms001主機的IP地址是192.168.26.101。其中vms001主機的網(wǎng)卡是eno16777728，而vms002主機的網(wǎng)卡其中一塊是eno16777728對應的IP地址是192.168.26.102，接著我們在vms002主機上添加一塊新的網(wǎng)卡eno33554968，此網(wǎng)卡對應的IP地址是10.0.0.1。我們在vms002主機上進行防火墻的設置，我們先將vms002主機的第二張網(wǎng)卡eno33554968添加我們自己設置的LAN區(qū)段中，接著我們在網(wǎng)卡eno33554968上配置相應的IP地址和子網(wǎng)掩碼信息，最后將網(wǎng)絡重啟一下。
# nmcli connection—查詢網(wǎng)卡的連接情況
# systemctl restart network—將網(wǎng)絡重啟一下

(3.16)接著我們將server主機的網(wǎng)卡添加到LAN區(qū)段aa網(wǎng)段中，在server主機中，我們編輯網(wǎng)卡ens32，同時注意需要設置自動連接網(wǎng)絡的選項，我們在server主機上設置好IP地址10.0.0.2，掩碼和網(wǎng)關的信息，其中網(wǎng)關指向vms002主機eno33554968網(wǎng)卡的IP地址10.0.0.1，并將服務重啟一下。我們在server主機上ping向vms002主機的網(wǎng)卡地址10.0.0.1時，是可以正常ping通的，我們使用server主機ping向vms002主機的網(wǎng)卡地址192.168.26.102時也是可以正常ping通的。

(3.17)而我們嘗試從server主機ping向vms001主機的時候，發(fā)現(xiàn)是無法ping通的（圖1-72），這是由于server主機向vms001主機通信的時候會需要vms002主機開啟轉發(fā)的功能，但是此時vms002主機的轉發(fā)功能并沒有開啟，我們設置ip_forward的值為1（圖1-73至圖1-75）。
# cat /proc/sys/net/ipv4/ip_forward—查詢vms002主機的轉發(fā)功能是否有開啟
# echo 1 > /proc/sys/net/ipv4/ip_forward—將vms002主機的轉發(fā)功能開啟
# sysctl -a | grep forward—查詢系統(tǒng)中關于轉發(fā)的所有功能
# echo \\\’net.ipv4.ip_forward = 1\\\’ >> /etc/sysctl.conf—將轉發(fā)功能寫入到配置文件中

(3.18)如果我們希望server主機能夠訪問成功vms001主機，此時有兩種方案可以實現(xiàn)，第一種是配置路由的方式，我們設置vms001主機的網(wǎng)關是指向vms002主機的IP地址192.168.26.102，并重啟網(wǎng)絡服務，在vms001主機設置完路由信息后，此時server主機可以正常的ping通vms001主機了，但是vms001主機在抓包過程中是可以看到server主機的IP地址信息的（圖1-76至圖1-79）；第二種方式是通過配置NAT的方式來進行操作，我們在vms002主機上開啟防火墻，然后設置默認的區(qū)域為public并將“偽裝區(qū)域”勾選起來，此時server主機是可以正常的訪問vms001主機的IP地址的，此時由于我們在vms002主機上設置了NAT，所以此時可以接收到server主機發(fā)送的信息，但是只能看到是vms002.example.com，無法獲取具體的IP地址信息，從而起到了偽裝的作用（圖1-80至圖1-82）。
# systemctl restart network—重啟網(wǎng)絡服務
# tcpdump -i eno16777728 icmp—查詢抓包信息

(3.19)接著我們來了解第六個“端口轉發(fā)”，我們首先在內(nèi)網(wǎng)的server主機上搭建一個Web服務器，此時我們需求是vms001主機可以訪問訪問server主機提供的Web服務，此時我們的做法就是設置端口轉發(fā)，當訪問到vms002主機的80端口的時候，自動轉發(fā)到server主機的80端口，所以可以正確的看到server主機的Web主頁（圖1-86）。我們也可以通過命令行的方式來實現(xiàn)，我們在vms002主機上操作，我們在vms002主機上查詢發(fā)現(xiàn)端口轉發(fā)并沒有任何的設置，此時我們在vms002主機上設置端口port為80，協(xié)議proto為tcp，轉發(fā)的地址toaddr為10.0.0.2，轉發(fā)的端口為80，此時我們從vms001主機訪問192.168.26.102主機的80端口的時候，會轉發(fā)到server主機的80端口（圖1-88）。
# firewall-cmd –list-all—查詢當前防火墻默認區(qū)域的所有配置信息
# firewall-cmd –add-forward-port="port=80:proto=tcp:toaddr=10.0.0.2:toport=80"

(3.20)我們還可以設置如果訪問本機端口80的時候，會轉發(fā)到本機的22端口的條目（圖1-89和圖1-90）。我們也可以設置如果訪問本機的80端口會轉發(fā)到10.0.0.2主機的22端口（圖1-91和圖1-92）。
# firewall-cmd –remove-forward-port="port=80:proto=tcp:toaddr=10.0.0.2:toport=80"—刪除端口轉發(fā)的條目
# firewall-cmd –add-forward-port="port=80:proto=tcp:toport=22"—添加轉發(fā)端口的條目，如果訪問本機端口80的時候，會轉發(fā)到本機的22端口
# firewall-cmd –remove-forward-port="port=80:proto=tcp:toport=22"—刪除端口轉發(fā)的條目
# firewall-cmd –add-forward-port="port=80:proto=tcp:toaddr=10.0.0.2:toport=22"—添加轉發(fā)端口的條目，如果訪問本機的80端口會轉發(fā)到10.0.0.2主機的22端口

（四）使用man firewalld.richlanguage
(4.1)第七個我們來了解“富規(guī)則”，首先我們在vms002主機安裝http服務，然后我們將“端口轉發(fā)”中的轉發(fā)配置刪除后，在“服務”中將http服務勾選，此時我們會發(fā)現(xiàn)此時如果允許http服務通過，那么所有主機都是可以訪問，如果禁止http服務通過，那么所有主機都是無法進行訪問，無法按照我們的需求進行精確控制（圖4-3）。
# echo vms002 > /var/www/html/index.html—設置主頁信息
# systemctl start httpd

(4.2)有時候很我們的需求是某些客戶端可以訪問vms002主機的主頁，但同時也會拒絕某些客戶端訪問vms002主機的主頁，此時我們可以使用設置富規(guī)則的方式處理，不過如果我們啟用富規(guī)則進行Web網(wǎng)頁的控制，那么“服務”和“端口”我們就不能做任何的勾選控制。如果我們想要以圖形化界面進行配置，我們需要選用英文版的比較好，我們選擇“Rich_Rules”，選擇對ipv4進行控制，選的service服務是http，選擇accept表示允許訪問的客戶端，其中Source源允許的客戶端我們填寫的是192.168.26.1（圖4-4）。此時我們的192.168.26.1客戶端是可以正常的訪問vms002主機的主頁的（圖4-6），而vms001主機的客戶端的IP地址為192.168.26.101，不符合富規(guī)則的要求，是無法訪問vms002主機的主頁的（圖4-7）。
# LANG=C firewall-config &

(4.3)如果以上的操作我們希望通過命令行的方式實現(xiàn)，則首先使用man -k命令查詢所有符合firewall的條目，然后進入到firewalld.richlanguage條目中，在firewalld.richlanguage條目中，我們可以關注Example 3和Example 5。首先我們通過service進行訪問控制，我們在vms002主機設置只允許192.168.26.1主機可以訪問http服務，此時192.168.26.1主機可以正常的訪問vms002主機的主頁了（圖4-10至圖4-12）。
# man -k firewall—查詢所有符合firewall的條目
# man firewalld.richlanguage—查詢這個條目的具體解釋
# firewall-cmd –add-rich-rule \\\’rule family="ipv4" source address="192.168.26.1/24" service name="http" accept\\\’—在vms002主機設置只允許192.168.26.1主機可以訪問http服務
# firewall-cmd –remove-rich-rule \\\’rule family="ipv4" source address="192.168.26.1" service name="http" accept\\\’—刪除vms002主機設置只允許192.168.26.1主機可以訪問http服務

(4.4)然后我們嘗試使用port端口進行訪問控制，我們指定地址為192.168.26.101主機，訪問本機vms002主機的80端口時可以通過，此時我們發(fā)現(xiàn)使用192.168.26.1主機訪問vms001主機的Web服務時無法正常的訪問主頁，而使用192.168.26.101主機可以正常的訪問vms001主機的主頁（圖4-14和圖4-15）。
# firewall-cmd –add-rich-rule \\\’rule family="ipv4" source address="192.168.26.101" port port="80" protocol="tcp" accept\\\’—指定當?shù)刂窞?92.168.26.101主機，訪問本機vms002主機的80端口的時候可以通過
# firewall-cmd –remove-rich-rule \\\’rule family="ipv4" source address="192.168.26.101" port port="80" protocol="tcp" accept\\\’—將指定的地址為192.168.26.101主機，端口為80端口的訪問可以通過的條目刪除

(4.5)現(xiàn)在我們的需求是當192.168.26.101主機訪問vms002主機的88端口時會自動轉發(fā)到server主機的22端口。我們先使用圖形化的界面進行操作，我們選擇forward-port，當訪問本機的88端口時，自動轉發(fā)到10.0.0.2主機的22端口上，同時填寫允許訪問的主機地址，此時我們發(fā)現(xiàn)只有vms001主機可以正常的ssh連接到10.0.0.2主機上。
# ssh 192.168.26.102 -p 88—在vms001主機上連接，其中-p指明端口

(4.6)如果我們想用命令行的方式實現(xiàn)當192.168.26.1主機訪問vms002主機的88端口時會自動轉發(fā)到server主機的22端口，我們可以使用man firewalld.richlanguage查詢到Example 5的示例，此時我們就可以正常的連接到server主機的22端口了（圖4-21和圖4-22）。
# firewall-cmd –list-all
# firewall-cmd –add-rich-rule \\\’rule family="ipv4" source address="192.168.26.1" forward-port to-addr="10.0.0.2" to-port="22" protocol="tcp" port="88"\\\’—其中port表示本機的端口，to-port表示轉發(fā)的端口

(4.7)有時候我們在企業(yè)內(nèi)部可能需要對特定的網(wǎng)段開放NAT地址轉換，例如我們只允許公司市場部網(wǎng)段的主機可以訪問外網(wǎng)，但是開發(fā)部和財務部的網(wǎng)段主機不能訪問外網(wǎng)，此時我們就可以在vms002主機上使用富規(guī)則（Rich Rules）的偽裝（masquerade）功能，同時我們需要保證在第三欄偽裝（masquerading）沒有勾選。我們的server主機的IP是10.0.0.2，此時我們使用server主機ping向vms001主機的時候是無法ping通的（圖4-24），接著我們修改server主機的IP地址和默認網(wǎng)關，使其符合富規(guī)則中主機IP的要求，默認的網(wǎng)關指向vms002主機eno33554968網(wǎng)卡（10.0.0.1），此時我們便可以正常的使用NAT實現(xiàn)內(nèi)網(wǎng)IP訪問外部主機的需求了（圖4-25）。
# ifconfig ens32 10.0.0.3 netmask 255.255.255.0;route add default gw 10.0.0.1—修改IP地址為10.0.0.3，修改掩碼為255.255.255.0，修改默認網(wǎng)關為10.0.0.1
# route delete default gw 10.0.0.1—刪除默認的網(wǎng)關

—————— 本文至此結束，感謝閱讀 ——————

更多關于云服務器，域名注冊，虛擬主機的問題，請訪問西部數(shù)碼官網(wǎng)：m.youyuetrip.com





猜你還會喜歡下面的內(nèi)容

• 一般企業(yè)郵箱容量是多少
• 雙十一虛擬主機購買優(yōu)惠券去哪領
• 獨立IP云虛擬主機多少錢
• 多個網(wǎng)站買虛擬主機還是云服務器
• 云虛擬主機可以安裝寶塔嗎
• 常見的云虛擬主機有哪些
• 博客系統(tǒng)怎么在云虛擬主機安裝
• 辦網(wǎng)站沒有虛擬主機行嗎
• 便宜的云虛擬主機一定是好的嗎
• web怎么添加虛擬主機
• dv ssl怎么放入虛擬主機
• linux云虛擬主機如何ssl
• Java程序放在云虛擬主機嗎
• html云虛擬主機選什么系統(tǒng)好
• APP為什么不能用云虛擬主機
• wdcp怎么選云虛擬主機

熱門標簽

其他問題云服務器問題域名及賬戶問題企業(yè)郵局市場咨詢云服務器云建站/云站群/小程序虛擬主機網(wǎng)絡知識企業(yè)郵箱域名注冊域名備案域名商標注冊云主機更多標簽...

大家感興趣的內(nèi)容