Firewalld防火墙实例配置

article/2025/9/29 0:01:46

文章目录

    • 环境拓扑
    • 需求描述
    • 一、环境配置
    • 二、防火墙配置
      • 1、在网站服务器上配置防火墙
      • 2、网关服务器配置防火墙
      • 3、企业内网访问外网web服务器
      • 4、外网web服务器访问企业内部网站服务器
    • 三、总结
      • 问题总结
      • 解决方案

环境拓扑

在这里插入图片描述

需求描述

1、 网关服务器连接互联网网卡ens33地址为100.1.1.10，为公网IP地址，分配到firewall的external区域；连接内网网卡ens36地址为192.168.1.2，分配到firewall的trusted区域；连接服务器网卡ens37地址为192.168.2.2，分配到firewall的dmz区域

2、 网站服务器和网关服务器均通过SSH来远程管理，为了安全，将SSH默认端口改为12345

3、 网站服务器开启 HTTPS，过滤未加密的HTTP流量

4、 网站务器拒绝ping,网关服务器拒绝来自互联网上的ping

5、 公司内网用户需要通过网关服务器共享上网

6、 互联网用户需要访问网站服务器

虚拟机试验环境搭建：

1、 打开虚拟机网络编辑器

在这里插入图片描述
2、 添加对应的网段

在这里插入图片描述

一、环境配置

1、网关服务器开启路由转发功能

[root@gateway ~]# vim /etc/sysctl.conf		//永久生效
net.ipv4.ip_forward = 1
[root@gateway ~]# sysctl -p //生效

2、网站服务器

1） 检查路由

[root@web ~]# route -n

在这里插入图片描述
2）检查防火墙必须开启

[root@web ~]#  systemctl status firewalld.service

在这里插入图片描述
3） 搭建yum

#挂载光盘

[root@web ~]#  vim /etc/fstab
/dev/cdrom	/mnt	iso9660	defaults	0 0
[root@web ~]# mount -a

#搭建yum仓库

[root@web ~]#   cd /etc/yum.repos.d/
[root@web yum.repos.d]# mkdir back
[root@web yum.repos.d]# mv C* back/
[root@web yum.repos.d]# vim local.repo
[centos]
name=centos
baseurl=file:///mnt
gpgcheck=0
enabled=1[root@web yum.repos.d]# yum clean all
[root@web yum.repos.d]# yum makecache

4）安装HTTP 安装https模块

[root@web yum.repos.d]# yum -y install httpd mod_ssl 
[root@web yum.repos.d]# systemctl start httpd		//开启服务
[root@web yum.repos.d]# systemctl enable httpd

#编辑站点内容

[root@web yum.repos.d]# vim /var/www/html/index.html
<h1>hello-kgc<h1>

#测试正常
在这里插入图片描述
5）更改ssh端口

[root@web yum.repos.d]# setenforce 0	//关闭核心防护
[root@web yum.repos.d]# vim /etc/sysconfig/selinux
SELINUX=disabled[root@web yum.repos.d]# vim /etc/ssh/sshd_config	//更改端口号
Port 12345

二、防火墙配置

1、在网站服务器上配置防火墙

1） 设置默认区域为DMZ

[root@web ~]#  firewall-cmd --set-default-zone=dmz

2）为DMZ区域打开https服务添加TCP为12345端口

[root@web ~]# firewall-cmd --zone=dmz --add-service=https --permanent 
[root@web ~]# firewall-cmd --zone=dmz --add-port=12345/tcp --permanent

3）配置dmz区域移除ssh服务

[root@web ~]# firewall-cmd --zone=dmz --remove-service=ssh --permanent

4）禁止ping

[root@web ~]# firewall-cmd --add-icmp-block=echo-request --zone=dmz --permanent

5）重新加载防火墙

[root@web ~]# firewall-cmd --reload

2、网关服务器配置防火墙

1） 检查下防火墙

[root@gateway ~]# systemctl status firewalld.service

在这里插入图片描述

2）设置默认区域external区域

[root@gateway ~]# firewall-cmd --set-default-zone=external 
[root@gateway ~]#  firewall-cmd --list-all
external (active)target: defaulticmp-block-inversion: nointerfaces: ens33 ens36 ens37sources: services: sshports: protocols: masquerade: yesforward-ports: source-ports: icmp-blocks:rich rules:

3）设置ens36网卡为trusted区域；ens37网卡设置为DMZ区域

[root@gateway ~]#  firewall-cmd --change-interface=ens36 --zone=trusted 
[root@gateway ~]# firewall-cmd --change-interface=ens37 --zone=dmz

4）查看配置详情

[root@gateway ~]#  firewall-cmd --get-active-zones

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-1aZyehwz-1586700423271)(1586500732485.png)]

5）在企业内网测试访问网站服务器

打开浏览器输入https://192.168.2.10
在这里插入图片描述
6）更改ssh端口号

[root@gateway ~]# setenforce 0			//关闭核心防护
[root@gateway ~]# vim /etc/sysconfig/selinux
SELINUX=disabled
[root@gateway ~]# vim /etc/ssh/sshd_config		//更改端口号
Port 12345

7）配置external区域添加TCP12345端口

[root@gateway ~]#  firewall-cmd --zone=external --add-port=12345/tcp --permanent

8）配置external区域移除ssh服务

[root@gateway ~]# firewall-cmd --zone=external --remove-service=ssh --permanent

9）配置external禁止ping

[root@gateway ~]# firewall-cmd --zone=external --add-icmp-block=echo-request  --permanent

10）重新加载防火墙

[root@gateway ~]#  firewall-cmd --reload

11）测试

在Internet外网web服务器上ssh登录网关服务器的外部接口ens33地址的12345端口

[root@internet ~]# ssh -p 12345 100.1.1.10

在这里插入图片描述

12）在企业内部测试机上ssh登录网站服务器的12345端口

[root@nb ~]# ssh -p 12345 192.168.2.10

在这里插入图片描述

3、企业内网访问外网web服务器

企业内网用户通过网关服务器能访问Internet外网web服务器

1） 在外网服务器上搭建HTTP服务

#挂载光盘

[root@internet ~]# vim /etc/fstab
[root@internet ~]# iso9660	defaults	0 0
[root@internet ~]# mount -a

#搭建yum仓库

[root@internet ~]# cd /etc/yum.repos.d/
[root@internet yum.repos.d]# mkdir back
[root@internet yum.repos.d]# mv C* back/
[root@internet yum.repos.d]# vim local.repo
[centos]
name=centos
baseurl=file:///mnt
gpgcheck=0
enabled=1[root@internet yum.repos.d]# yum clean all
[root@internet yum.repos.d]# yum makecache

#安装HTTP服务并启动

[root@internet yum.repos.d]# yum -y install httpd 
[root@internet yum.repos.d]# systemctl start httpd
[root@internet yum.repos.d]# systemctl enable httpd

2）访问测试

① web外网服务器访问测试http服务
在这里插入图片描述

② 企业内部网站服务器访问外部web网站
在这里插入图片描述
③ 企业内部访问测试
在这里插入图片描述

3）在网关服务器上查看是否开启伪装

[root@gatway ~]# firewall-cmd --list-all --zone=external

在这里插入图片描述

#网关服务器如何关闭伪装
在这里插入图片描述
重载防火墙则会重新启动伪装，external默认开启伪装

4）在命令行启动伪装 192.168.1.0/24

[root@gatway ~]# firewall-cmd --zone=external --add-rich-rule='rule family=ipv4 source address=192.168.1.0/24 masquerade'
[root@gatway ~]# firewall-cmd --reload

5）在企业内部网站上访问internet网站服务器100.1.1.20
在这里插入图片描述
不能访问。说明已经伪装生效

4、外网web服务器访问企业内部网站服务器

1）在网关服务器上配置端口转发，实现外网web服务器能访问企业内部网站服务器

[root@gatway ~]# firewall-cmd --zone=external --add-forward-port=port=443:proto=tcp:toaddr=192.168.2.10 --permanent 
[root@gatway ~]# firewall-cmd --reload

2）在internet外部服务器上访问测试，可以访问到内部网站服务器
在这里插入图片描述

三、总结

凡是涉及到修改配置或者修改规则，一定要重启或重载服务

此次实验遇到问题：

一、企业内网无法访问网站服务器

解决方法：

1、检查各个IP地址是否冲突

2、检查网关是否正常（企业内网网关与内网站网均分别指向网关服务器对应的接口）

3、检查网关服务器的路由转发功能是否生效

二、ssh登录测试失败

1、检查端口是否正确

2、检查sshd服务是否有启动 netstat -natp | grep 12345

问题总结

A服务器连接B服务器，连接某个功能模块连接不上?

解决方案

  • 检查B服务器的，功能模块服务有没有启动

    检查环境–根据业务环境来

    检查配置文件–肉眼不一定看出来、建议使用比对工具比对配置文件

    重启服务服务–服务不要忘了重启，不重要的服务就重启，重要的的服务，重载下

    本地验证服务–ssh -p 端口号ip地址(环回口、接口的IP)

  • 检查B服务器的防火墙

    检查接口配置信息–看功能服务是否正常(多了就删除，少了就添加)

  • 检查A服务器的防火墙

    检查接口配置信息–看功能服务是否正常(防火墙关闭)

windows检测端口是否启动：telnet IP地址 端口


http://chatgpt.dhexx.cn/article/F2CIcxHc.shtml

相关文章

【Linux】配置网络和firewall防火墙（超详细介绍+实战）

【Linux】配置网络和firewall防火墙（超详细介绍+实战）

&#x1f947;&#x1f947;【Liunx学习记录篇】&#x1f947;&#x1f947; 篇一&#xff1a;【Linux】VMware安装unbuntu18.04虚拟机-超详细步骤(附镜像文件&#xff09; 篇二&#xff1a;【Linux】ubuntu18.04系统基础配置及操作 篇三&#xff1a;【Linux】用户与组的操作详…
阅读更多...
防火墙配置

防火墙配置

防火墙&#xff08;Firewall&#xff09;&#xff0c;也称防护墙。它是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统&#xff0c;依照特定的规则&#xff0c;允许或是限制传输的数据通过。防火墙对于我们的网络安全的重要性不言而喻 但是在实际的开发…
阅读更多...
H3C防火墙-安全策略典型配置举例

H3C防火墙-安全策略典型配置举例

基于 IP 地址的安全策略配置举例 1.组网需求 • 某公司内的各部门之间通过 Device 实现互连&#xff0c;该公司的工作时间为每周工作日的 8 点到 18点。 • 通过配置安全策略规则&#xff0c;允许总裁办在任意时间、财务部在工作时间通过 HTTP 协议访问财务数据库服务器的 Web…
阅读更多...
华为防火墙配置教程

华为防火墙配置教程

01 了解防火墙基本机制 配置防火墙之前请了解防火墙基本工作机制。 1.1 什么是防火墙 防火墙是一种网络安全设备&#xff0c;通常位于网络边界&#xff0c;用于隔离不同安全级别的网络&#xff0c;保护一个网络免受来自另一个网络的攻击和入侵。这种“隔离”不是一刀切&#x…
阅读更多...
防火墙基本配置

防火墙基本配置

防火墙 种类 1.包过滤技术 「 静态防火墙 动态防火墙 」 netfilter 真正的配置 位于linux内核的包过滤功能体系 称为linux防火墙的“内核态” iptables 防火墙的配置 工具 主要针对 网络层 针对IP数据包 「体现在对包的IP地址、端口等信息处理」 链表结构 链 ---- 容纳 规则…
阅读更多...
防火墙详解（三）华为防火墙基础安全策略配置（命令行配置）

防火墙详解（三）华为防火墙基础安全策略配置（命令行配置）

实验要求 根据实验要求配置防火墙&#xff1a; 合理部署防火墙安全策略以及安全区域实现内网用户可以访问外网用户&#xff0c;反之不能访问内网用户和外网用户均可以访问公司服务器 实验配置 步骤一&#xff1a;配置各个终端、防火墙端口IP地址 终端以服务器为例&#x…
阅读更多...
防火墙基础配置

防火墙基础配置

状态防火墙 状态检测防火墙&#xff08;Stateful Firewall&#xff09;是一种网络安全设备&#xff0c;它可以检测和过滤网络流量&#xff0c;以保护网络不受未经授权的访问和攻击。 与传统的包过滤防火墙不同&#xff0c;状态检测防火墙可以跟踪网络连接的状态&#xff0c;并…
阅读更多...
10分钟教你完全掌握防火墙配置！！！！！

10分钟教你完全掌握防火墙配置！！！！！

今日提问 1.防火墙支持那些NAT技术&#xff0c;主要应用场景是什么&#xff1f; 2.当内网PC通过公网域名解析访问内网服务器时&#xff0c;会存在什么问题&#xff0c;如何解决&#xff1f;请详细说明 3.防火墙使用VRRP实现双机热备时会遇到什么问题&#xff0c;如何解决&…
阅读更多...
H3C简单的防火墙配置

H3C简单的防火墙配置

这里写目录标题 实验拓扑实验需求配置过程1.配置ip地址&#xff08;略&#xff09;2.配置去往公网的默认路由3.将端口绑定在信任域和不信任域4.配置ipv4安全模板5.配置ospf将内网的连通性完成6.配置nat &#xff08;easy ip的方式&#xff09;使内网PC可以访问外网 测试 实验拓…
阅读更多...
防火墙的基础配置（一）

防火墙的基础配置（一）

拓补图&#xff1a; 注意事项&#xff1a; 不要连接着防火墙的g0/0/0口&#xff0c;这个口是防火墙的管理端口一定要将接口划分区域&#xff0c;防火墙有四个区域&#xff0c;分别是local、trust、untrust、dmz&#xff0c;优先级分别是100、85、50、5&#xff0c;优先级越高说…
阅读更多...
三、防火墙配置(1)---防火墙常规配置

三、防火墙配置(1)---防火墙常规配置

一、实验内容 1、在GNS中创建如下图所示的网络拓扑结构。 2、给路由器和防火墙按照拓扑图中的规划&#xff0c;配置好IP地址和路由表。给R1、R2、R4、R6开启远程连接。3、验证防火墙默认安全规则&#xff0c;高安全级别接口&#xff08;inside&#xff09;可主动访问低安全级别…
阅读更多...
华为防火墙网管配置实例

华为防火墙网管配置实例

今天给大家带来华为USG6000防火墙的网管配置实例。本文简单的搭建了一个实验拓扑图&#xff0c;通过配置&#xff0c;实现了对华为防火墙的Telnet管理配置、SSH管理配置和Web管理配置。 一、实验拓扑及目的 实验拓扑如上所示&#xff0c;要求对防火墙FW1进行合适的配置&#x…
阅读更多...
华为防火墙实战配置教程

华为防火墙实战配置教程

防火墙&#xff08;Firewall&#xff09;也称防护墙&#xff0c;是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网&#xff08;US5606668&#xff08;A&#xff09;1993-12-15&#xff09;防火墙是位于内部网和外部网之间的屏障&#xff0c;它按照系统管理员预先定…
阅读更多...
华为防火墙基本配置实例

华为防火墙基本配置实例

实验背景 &#xff1a; 一、trust区域&#xff1a;G1/0/0、G1/0/1接口下的设备划分到此区域 1、SW1与SW2做lacp链路聚合&#xff1b; 2、公司trust区域划分两个VLAN分别在交换层做MSTP&#xff0c;实现流量负载分担&#xff1b; 3、trust区域核心路由器层做双DHCP服务器做双…
阅读更多...
防火墙配置【最详细的实验演示】

防火墙配置【最详细的实验演示】

目录 拓扑及拓扑分析 进入防火墙前准备工作 1.配置其他区域ip 2.如何进入防火墙 防火墙的安全域 1.防火墙的5个安全域 2.如何自定义安全域 3.接口加入安全域 ​ 4.配置接口ip 配置防火墙策略 1.内网到公网 2.内网到服务器 3.公网到服务器 4.内网到公网NAT转换 5.…
阅读更多...
防火墙双机热备配置实例（一）

防火墙双机热备配置实例（一）

今天继续给大家介绍HCIE安全。本文以华为eNSP模拟器为例&#xff0c;实现了配置防火墙双击热备技术配置实例&#xff0c;采用的是上下行交换机配置VRRP的主备模式。 阅读本文&#xff0c;您需要有一定的防火墙配置基础和防火墙双机热备理论基础&#xff0c;如果您对此还存在困惑…
阅读更多...
捷联惯导姿态解算基础

捷联惯导姿态解算基础

文章目录 姿态更新地位反对称矩阵方向余弦矩阵等效旋转矢量四元数 姿态更新地位 在捷联惯导系统的姿态、速度和位置更新算法中,姿态算法对整个系统精度的影响最大&#xff0c;它是算法研究和设计的核心。在非定轴转动情况下,描述姿态运动的微分方程是线性时变的(可视为零输入线…
阅读更多...
捷联惯导系统(SINS)误差模型

捷联惯导系统(SINS)误差模型

目录 前言惯性传感器测量误差姿态误差速度误差位置误差误差方程整理 前言 本篇上接捷联惯导系统(SINS)机械编排。在做完机械编排后&#xff0c;往往需要通过组合导航来降低纯INS的累积误差&#xff0c;而SINS误差模型是构建组合导航卡尔曼滤波状态模型的重要部分&#xff0c;本…
阅读更多...
惯性导航原理(二)-平台式+捷联式+INS精度

惯性导航原理(二)-平台式+捷联式+INS精度

文章目录 惯性导航原理1D2D/3D 平台式系统捷联式系统平台式与捷联式惯导特点对比惯性导航系统特性优点缺点 INS的精度等级典型战术级惯导惯性器件的相对测量能力 惯性导航原理 航位推算&#xff08;Dead-Reckoning&#xff09;&#xff1a; 惯性导航就属于航位推算&#xff0c…
阅读更多...
捷联惯导基础知识解析之一（姿态表示方法基础知识）

捷联惯导基础知识解析之一（姿态表示方法基础知识）

1、定轴运动与非定轴运动 即转轴固定不动的转动&#xff1b;因此可得知&#xff0c;在捷联惯导应用中&#xff0c;X、Y、Z轴在空间中都存在转动&#xff0c;所以整个过程为非定轴运动。 2、不可交换性误差&#xff1a; 起因&#xff1a;在非定轴转动情况下&#xff0c; 描述…
阅读更多...
推荐文章

Copyright @ 2022~2023