本文是Linux下，用ufw實現端口關閉、流量控制(二)
firewalld使用方式
firewalld 是一個動態管理防火墻的工具，主要用于 Linux 系統（包括 Ubuntu 和 CentOS 等）。它提供了一個基于區域（zones）和服務（services）的管理方式，使得防火墻的配置和管理更加靈活和易于使用。以下是如何使用 firewalld 管理防火墻的基本步驟和命令。
1. 安裝 firewalld
在大多數 Linux 發行版中，firewalld 默認是預裝的。如果沒有安裝，可以使用以下命令進行安裝：
# 在 Ubuntu 上
sudo apt install firewalld# 在 CentOS 上
sudo yum install firewalld
2. 啟動和啟用 firewalld
啟動 firewalld 服務并設置為開機自啟：
# 啟動 firewalld
sudo systemctl start firewalld# 設置開機自啟
sudo systemctl enable firewalld
3. 查看當前狀態
可以使用以下命令查看 firewalld 的狀態：
sudo systemctl status firewalld
4. 基本命令
- 查看當前區域和規則：
sudo firewall-cmd --get-active-zones
- 查看特定區域的規則：
sudo firewall-cmd --zone=public --list-all
5. 管理區域
firewalld 使用區域來定義不同的信任級別。可以使用以下命令添加、刪除或更改區域的規則。
- 添加服務到區域：
sudo firewall-cmd --zone=public --add-service=http --permanent
- 移除服務：
sudo firewall-cmd --zone=public --remove-service=http --permanent
- 重新加載配置：
sudo firewall-cmd --reload
6. 添加和移除端口
可以直接添加或移除特定端口：
- 添加端口：
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
- 移除端口：
sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent
7. 臨時和永久規則
- 使用
--permanent選項添加的規則在重啟后仍然有效。沒有--permanent選項的規則在重啟后會失效。
8. 查看幫助
可以使用以下命令查看 firewalld 的幫助信息：
firewall-cmd --help
總結
firewalld 提供了一種靈活且易于管理的方式來配置 Linux 防火墻。通過使用區域和服務的概念，用戶可以輕松地管理網絡流量和安全策略。使用 firewalld 時，確保定期檢查和更新防火墻規則，以保持系統的安全性。
問答
ubuntu中firewall-config和ufw會沖突嗎，可以一起管理防火墻嗎
在 Ubuntu 中，firewall-config和ufw（Uncomplicated Firewall）是兩種不同的防火墻管理工具，它們可以用來配置和管理防火墻規則，但它們之間可能會產生沖突。
1. UFW（Uncomplicated Firewall）
- UFW 是一個用戶友好的命令行工具，旨在簡化 iptables 的使用。它提供了一個簡單的界面來管理防火墻規則。
- UFW 默認情況下是禁用的，用戶可以通過命令行啟用或禁用它，并添加或刪除規則。
2. Firewall-config
firewall-config是一個圖形用戶界面（GUI）工具，通常與firewalld一起使用。firewalld是一個動態管理防火墻的工具，使用 zones 和服務來管理規則。firewalld和ufw都是基于 iptables，但它們的工作方式不同。
3. 沖突問題
- 不建議同時使用：如果你同時啟用
ufw和firewalld，可能會導致沖突，因為它們都試圖管理 iptables 規則。一個工具的規則可能會覆蓋或干擾另一個工具的規則。 - 選擇其一：建議選擇其中一個工具來管理防火墻。如果你選擇使用
ufw，請確保firewalld被禁用；如果你選擇使用firewalld，請確保ufw被禁用。
4. 如何禁用
-
如果你決定使用
ufw，可以禁用firewalld：sudo systemctl stop firewalld sudo systemctl disable firewalld -
如果你決定使用
firewalld，可以禁用ufw：sudo ufw disable
總結
在 Ubuntu 中，建議只使用一個防火墻管理工具（要么是 ufw，要么是 firewalld），以避免潛在的沖突和管理上的復雜性。選擇一個適合你需求的工具，并確保另一個工具被禁用。
sudo firewall-cmd --zone=public --add-service=http --permanent允許本地接受 外部http的服務?
是的，命令 sudo firewall-cmd --zone=public --add-service=http --permanent 的確允許本地系統接受來自外部的 HTTP 服務請求。具體來說，這個命令的作用如下：
-
允許 HTTP 流量：通過將
http服務添加到public區域，防火墻將允許通過 HTTP 協議（通常是端口 80）進行的網絡流量。這意味著外部客戶端（如瀏覽器）可以向本地服務器發送 HTTP 請求。 -
適用于
public區域：public區域通常用于不受信任的網絡環境（例如公共 Wi-Fi）。在這個區域中，默認情況下大多數流量是被阻止的，因此需要明確允許特定的服務（如 HTTP）。 -
永久性設置：使用
--permanent選項表示這個更改是永久性的，即使在防火墻重啟或系統重啟后，HTTP 服務的允許規則仍然有效。
額外步驟
在執行此命令后，通常需要運行以下命令以使更改生效：
sudo firewall-cmd --reload
總結
通過執行該命令，你的本地系統將能夠接受來自外部的 HTTP 請求，允許用戶訪問在本地運行的 Web 服務器（如 Apache 或 Nginx）。確保在配置防火墻時，考慮到安全性，只有在需要時才允許外部訪問。
在ubuntu客戶機中，firewall-config建議在public區域允許http服務難道不會導致被攻擊嗎？
在 Ubuntu 客戶機中，允許 http 服務（端口 80）確實可能會增加被攻擊的風險，尤其是在 public 區域中。public 區域通常用于不受信任的網絡環境（如公共 Wi-Fi），在這種情況下，默認情況下大多數服務都是被阻止的。
風險分析
-
暴露 Web 服務：如果你在客戶端上允許
http服務，這意味著任何人都可以嘗試訪問該服務。如果客戶端上沒有運行 Web 服務器，允許http服務可能沒有實際意義，但如果有 Web 服務器在運行，可能會面臨各種攻擊（如 DDoS、SQL 注入、跨站腳本等）。 -
不安全的連接：HTTP 是未加密的協議，數據在傳輸過程中可能被竊聽或篡改。使用 HTTPS（端口 443）可以提供加密的連接，增加安全性。
建議
-
僅在需要時允許：如果你的客戶端不需要提供 Web 服務，建議不要在
public區域中允許http服務。只在確實需要時才允許。 -
使用 HTTPS：如果你需要提供 Web 服務，盡量使用 HTTPS 而不是 HTTP，以確保數據傳輸的安全性。
-
限制訪問：如果可能，使用防火墻規則限制可以訪問該服務的 IP 地址范圍，或者使用 VPN 進行安全訪問。
-
定期檢查和更新：定期檢查防火墻規則和系統安全性，確保沒有不必要的服務暴露在公共網絡上。
總結
在 public 區域中允許 http 服務確實可能增加被攻擊的風險，因此應謹慎處理。確保只在必要時允許服務，并采取適當的安全措施來保護系統。
建議默認允許端口
- dhcpv6-client
