在CentOS 7上如何从FirewallD迁移至Iptables

前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。点击跳转到网站。

介绍

与大多数其他 Linux 发行版一样，CentOS 7 使用 Linux 内核中的 netfilter 框架来访问通过网络堆栈流动的数据包。这提供了必要的接口来检查和操作数据包，以实现防火墙系统。

大多数发行版使用 iptables 防火墙，它使用 netfilter 钩子来执行防火墙规则。CentOS 7 配备了一个名为 firewalld 的替代服务，它实现了相同的功能。

虽然 firewalld 是一个非常强大的防火墙解决方案，具有出色的功能，但对于一些用户来说，如果他们熟悉 iptables 的语法并且满意其行为和性能，可能更容易使用 iptables。iptables 命令实际上被 firewalld 本身使用，但是 CentOS 7 默认情况下没有安装 iptables 服务。在本指南中，我们将演示如何在 CentOS 7 上安装 iptables 服务，并将防火墙从 firewalld 迁移到 iptables（如果您想了解如何使用 FirewallD，请查看此指南）。

保存当前防火墙规则（可选）

在将服务器的防火墙解决方案切换到 iptables 之前，最好保存 firewalld 正在执行的当前规则。我们上面提到，firewalld 守护程序实际上利用 iptables 命令与 netfilter 内核钩子通信。因此，我们可以使用 iptables 命令来转储当前规则。

通过输入以下命令将当前规则集转储到标准输出并保存到您的主目录中的名为 firewalld_iptables_rules 的文件中：

sudo iptables -S | tee ~/firewalld_iptables_rules

对 ip6tables 也执行相同操作：

sudo ip6tables -S | tee ~/firewalld_ip6tables_rules

根据活动的 firewalld 区域、启用的服务以及从 firewall-cmd 直接传递给 iptables 的规则，转储的规则集可能非常庞大。

firewalld 服务使用普通的 iptables 规则来实现其防火墙策略。它通过使用 iptables 链构建管理框架来实现这一点。您可能会看到的大多数规则将用于创建这些管理链并指导流量进出这些结构。

您迁移到 iptables 服务的防火墙规则将不需要重新创建 firewalld 依赖的管理框架。因此，您最终实施的规则集可能会简单得多。我们在此保存整个集合，以尽可能保持尽可能多的原始数据。

您可以通过输入以下命令来查看一些更重要的行，以了解您需要重新创建的策略：

grep 'ACCEPT\|DROP\|QUEUE\|RETURN\|REJECT\|LOG' ~/firewalld_iptables_rules

这将主要显示导致最终决策的规则。只跳转到用户创建的链的规则将不会显示。

下载并安装 Iptables 服务

要开始服务器的过渡，您需要从 CentOS 软件仓库下载并安装 iptables-service 包。

通过输入以下命令下载并安装服务文件：

sudo yum install iptables-services

这将下载并安装用于管理 iptables 服务的 systemd 脚本。它还将在 /etc/sysconfig 目录中写入一些默认的 iptables 和 ip6tables 配置文件。

构建您的 Iptables 防火墙规则

接下来，您需要通过修改 /etc/sysconfig/iptables 和 /etc/sysconfig/ip6tables 文件来构建您的 iptables 防火墙规则。这些文件保存了在启动 iptables 服务时将被读取和应用的规则。

您如何构建防火墙规则取决于是否安装并使用 system-config-firewall 进程来管理这些文件。检查 /etc/sysconfig/iptables 文件顶部以查看是否建议不要手动编辑：

sudo head -2 /etc/sysconfig/iptables

如果输出看起来像这样，可以自由地手动编辑 /etc/sysconfig/iptables 和 /etc/sysconfig/ip6tables 文件以实施 iptables 防火墙的策略：

[secondary_label output]
# sample configuration for iptables service
# you can edit this manually or use system-config-firewall

使用 sudo 权限打开并编辑文件以添加您的规则：

sudo nano /etc/sysconfig/iptables
sudo nano /etc/sysconfig/ip6tables

在制定规则后，您可以使用以下命令测试您的 IPv4 和 IPv6 规则：

sudo sh -c 'iptables-restore -t < /etc/sysconfig/iptables'
sudo sh -c 'ip6tables-restore -t < /etc/sysconfig/ip6tables'

另一方面，如果检查 /etc/sysconfig/iptables 文件的输出看起来像这样，您不应该手动编辑该文件：

[secondary_label output]

由 system-config-firewall 编写的防火墙配置

不建议手动修改此文件。

这意味着安装并使用了 system-config-firewall 管理工具来管理此文件。任何手动更改都将被该工具覆盖。如果看到这个提示，应该使用相关工具来更改防火墙。对于文本界面，输入以下命令：

sudo system-config-firewall-tui

如果安装了图形界面，可以输入以下命令启动：

sudo system-config-firewall

如果需要学习关于 iptables 规则和语法的帮助，下面的指南可能会有所帮助，尽管它们主要针对 Ubuntu 系统：

• 如何在 Ubuntu 14.04 上使用 Iptables 设置防火墙
• Iptables 基础知识：常见防火墙规则和命令
• 如何在 Ubuntu 14.04 上使用 Iptables 实现基本防火墙模板

停止 FirewallD 服务并启动 Iptables 服务

接下来，我们需要停止当前的 firewalld 防火墙并启动我们的 iptables 服务。我们将使用 && 构造在 firewalld 服务成功关闭后立即启动新的防火墙服务：

sudo systemctl stop firewalld && sudo systemctl start iptables; sudo systemctl start ip6tables

您可以通过输入以下命令验证 firewalld 是否未运行：

sudo firewall-cmd --state

您还可以通过输入以下命令查看您在 /etc/sysconfig 目录中设置的规则是否已加载和应用：

sudo iptables -S
sudo ip6tables -S

此时，iptables 和 ip6tables 服务已激活当前会话。但是，当前情况下，firewalld 服务仍然会在服务器重新启动时自动启动。

这是测试防火墙策略的最佳时机，以确保您拥有所需的访问级别，因为如果出现任何问题，可以重新启动服务器以恢复到旧的防火墙。

禁用 FirewallD 服务并启用 Iptables 服务

在测试防火墙规则以确保策略正确执行后，可以禁用 firewalld 服务：

sudo systemctl disable firewalld

这将防止服务在启动时自动启动。由于在运行 iptables 服务时也不应手动启动 firewalld 服务，可以采取额外步骤屏蔽该服务。这将防止手动启动 firewalld 服务：

sudo systemctl mask firewalld

现在，可以启用 iptables 和 ip6tables 服务，以便它们在启动时自动启动：

sudo systemctl enable iptables
sudo systemctl enable ip6tables

这应该完成了防火墙的过渡。

结论

实施防火墙是确保服务器安全的重要步骤。虽然 firewalld 是一个很好的防火墙解决方案，但有时使用最熟悉的工具或在更多样化的基础设施中使用相同的系统是最明智的选择。

原文地址：https://blog.csdn.net/rubys007/article/details/142794564

免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！