linux防火墙高级设置

Firewalld实验

实验拓扑图

需求分析

（1）公司内网用户需要通过网关服务器共享上网
（2）互联网用户需要访问网站服务器
（3）只允许192.168.1.0/24ping网关和服务器
（4）网站服务器和网关服务器均通过SSH来远程管理，为了安全，将SSH默认端口改为12345，只允许192.168.1.10主机SSH网关和服务器，允许互联网SSH内部服务器

这次实验我们需要四台虚拟机，我们把Centos7 64位作为网关服务器。
Centos7-2作为企业内网测试机，Centos7-3作为网站服务器，Centos7-4作为internet测试机。

一、设备准备

首先在虚拟机Centos7-3，和Centos7-4上安装httpd服务

1.1、在Centos7 64位创建3块网卡，做静态，网卡1绑定VMnet1，为信任区域，网卡2绑定VMnet2，为DMZ区域，网卡3绑定VMnet3.为外部区域。

1.2、设置网卡地址，

网卡33，设为外部网络，IP地址为100.1.1.10 255.255.255.0
网卡36，设为信任网络，IP地址为192.168.10.1 255.255.255.0
网卡37，设为DMZ区域网络，IP地址为192.168.20.1 255.255.255.0

[[email?protected] ~]# cd /etc/sysconfig/network-scripts/
[[email?protected] network-scripts]# vim ifcfg-ens33

[[email?protected] network-scripts]#cp -p ifcfg-ens33 ifcfg-ens36
[[email?protected] network-scripts]# vim ifcfg-ens36

[[email?protected] network-scripts]#cp -p ifcfg-ens33 ifcfg-ens37
[[email?protected] network-scripts]# vim ifcfg-ens37

重启网络服务：查看IP地址

[[email?protected] network-scripts]#service network restart
[[email?protected] network-scripts]#ifconfig

开启网关服务器的路由转发功能。

[[email?protected] ~]# vim /etc/sysctl.conf 
net.ipv4.ip_forward=1
[[email?protected] ~]# sysctl -p

2、进入Centos7-2，将主机网卡改为自定义，绑定VMent3网卡

进入主机，修改IP地址，子网掩码和网关。
将IP地址设为192.168.10.10，网关设为192.168.10.1

[[email?protected] ~]# cd /etc/sysconfig/network-scripts/
[[email?protected] network-scripts]# vim ifcfg-ens33

[[email?protected] ]#service network restart    //重启网络服务
[[email?protected] ~]# ifconfig     //查看本机地址

[[email?protected] ~]# ping 192.168.10.1   //测试与网关服务器的连通性

2、进入Centos7-3，将主机网卡改为自定义，绑定VMent2网卡

配置主机IP地址为192.168.20.20，网关为192.168.20.1

[[email?protected] ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static           //将dhcp改为static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=f4d8cf47-c855-4d04-8c68-75ab8644df70
DEVICE=ens33
ONBOOT=yes
IPADDR=192.168.20.20       //IP地址
NETMASK=255.255.255.0     //子网掩码
GATEWAY=192.168.20.1             //网关
[[email?protected] ~]# service network restart       //重启网络服务
[[email?protected] ~]# ifconfig      //查看网卡IP地址

[[email?protected] ~]# ping 192.168.20.1     //测试与网关的连通性

3、将Centos7-3的主机名修改为dmz然后配置防火墙规则

[[email?protected] ~]# hostnamectl set-hostname dmz             //修改主机名
[[email?protected] ~]# su                   
[[email?protected] ~]# systemctl start httpd                 //启动http服务
[[email?protected] ~]# cd /var/www/html                          //进入网页区域配置文件
[[email?protected] html]# vim index.html     //进入输入网页显示内容                                        
[[email?protected] html]# firewall-cmd --set-default-zone=dmz      //将默认区域改为dmz
success
[[email?protected] html]# firewall-cmd --add-service=http --zone=dmz --permanent        //将http服务添加到dmz永久设置
success
[[email?protected] html]# firewall-cmd --remove-service=ssh --zone=dmz --permanent     //禁止ssh登录
success
[[email?protected] html]# firewall-cmd --add-icmp-block=echo-request --zone=dmz --permanent     //禁用icmp协议
success
[[email?protected] html]# firewall-cmd --reload            //重新加载防火墙
success

4、进入Centos7-4，将主机网卡改为自定义，绑定VMent1网卡

配置主机IP地址为100.1.1.20 ，网关地址为100.1.1.10

[[email?protected] ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static               //将dhcp改为static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=0d5d6fbf-efdf-4b5b-90f9-f08be3fda756
DEVICE=ens33
ONBOOT=yes
IPADDR=100.1.1.20                       //配置IP地址
NETMASK=255.255.255.0                 //配置子网掩码
GATEWAY=100.1.1.10                      //配置网关
[[email?protected] ~]# service network restart       //重启网络服务
[[email?protected] ~]# ifconfig      //查看网卡IP地址

[[email?protected] ~]# hostnamectl set-hostname extemal                  //修改主机名
[[email?protected] ~]# su
[[email?protected] ~]# systemctl stop firewalld.service                    //关闭防火墙
[[email?protected] ~]# setenforce 0                                
[[email?protected] ~]# systemctl start httpd                                //开启http服务
[[email?protected] ~]# vim /var/www/html/index.html                  //配置网页内容
<h1>this is extwrnal web</h1>

5、在Centos7 64位服务器上配置防火墙

[[email?protected] ~]# firewall-cmd --set-default-zone=external                             //将默认区域改 为extemal
success
[[email?protected] ~]# firewall-cmd --change-interface=ens36 --zone=trusted --permanent          //将ens36设为信任区域
The interface is under control of NetworkManager,setting zone to ‘trusted‘.    
success
[[email?protected] ~]# firewall-cmd --change-interface=ens37 --zone=dmz --permanent          //将ens37设为dmz区域
The interface is under control of NetworkManager,setting zone to “dmz”‘.    
success
[[email?protected] ~]# firewall-cmd --zone=dmz --remove-service=ssh --permanent     ////禁止ssh登录
success
[[email?protected] ~]# firewall-cmd --zone=dmz --add-service=http --permanent   //添加http服务
success
[[email?protected] ~]# firewall-cmd --zone=dmz --add-icmp-block=echo-request --permanent     阻塞icmp协议
success
[[email?protected] ~]# firewall-cmd --zone=external --add-service=http --permanent            //在外部区域添加http服务
success
[[email?protected] ~]# firewall-cmd --reload        //重新加载防火墙
success

6、返回Centos 7-2，测试，使用企业内网测试机查看，网站服务器和internel网站的网页

7、配置

[[email?protected] ~]# firewall-cmd --zone=external --add-forward port=port=80:proto=tcp:toaddr=192.168.20.20 --permanent      //设置端口映射
success
[[email?protected] ~]# firewall-cmd --reload 
success

8、在Centos7-4上通过浏览器查看网站服务器网页。