tường lửa vs iptables - khi nào nên sử dụng [đóng]

TL; DR Khi cài đặt máy chủ CentOS mới, tôi có nên sử dụng tường lửa hay chỉ vô hiệu hóa nó và quay lại sử dụng /etc/sysconfig/iptables?

tường lửa và iptables phục vụ các mục đích tương tự. Cả hai đều thực hiện lọc gói - nhưng nếu tôi hiểu chính xác thì tường lửa sẽ không xóa toàn bộ quy tắc được đặt mỗi khi có thay đổi.

Tôi biết rất nhiều về iptables nhưng rất ít về tường lửa.

Trên Fedora và RHEL / CentOS - cấu hình iptables truyền thống đã được thực hiện /etc/sysconfig/iptables. Với tường lửa, cấu hình của nó tồn tại /etc/firewalld/và là một tập hợp các tệp XML. Fedora dường như đang tiến tới tường lửa như một sự thay thế cho cấu hình cũ này. Tôi hiểu rằng tường lửa sử dụng iptables dưới mui xe, nhưng nó cũng có định dạng tệp cấu hình và giao diện dòng lệnh riêng như trên - đó là những gì tôi đang đề cập đến khi sử dụng cái này so với cái kia.

Có một cấu hình / kịch bản cụ thể mà mỗi trong số này là phù hợp nhất cho? Trong trường hợp NetworkMangaer so với mạng, có vẻ như mặc dù NetworkManager có thể được dùng để thay thế cho các tập lệnh mạng, do nó không hỗ trợ cầu nối mạng và một số thứ khác, nhiều người không sử dụng nó trong thiết lập máy chủ tại tất cả các. Vì vậy, dường như có một khái niệm chung về "sử dụng NetworkManager nếu bạn đang sử dụng Linux desktop/guivà mạng nếu bạn đang chạy một máy chủ". Đó chỉ là những gì tôi nhận được từ việc đọc các bài đăng khác nhau - nhưng ít nhất nó đưa ra một hướng dẫn về việc sử dụng khả thi cho những thứ đó là gì - ít nhất là khi chúng ở trạng thái hiện tại.

Nhưng tôi đã làm điều tương tự với tường lửa và chỉ cần tắt nó đi và sử dụng iptables thay thế. (Tôi hầu như luôn cài đặt linux trên máy chủ, không sử dụng cho máy tính để bàn). Tường lửa có phải là sự thay thế hiệu quả cho iptables không và tôi có nên sử dụng nó trên tất cả các hệ thống mới không?

Như firewalldđược dựa trên cấu hình XML, một số có thể nghĩ rằng nó dễ dàng hơn để cấu hình tường lửa một cách chương trình. Điều này cũng có thể đạt được iptables, nhưng với một cách khác, đó không phải là XML. Nếu bạn đã quen với cách iptableslàm việc, tại sao bạn sẽ di chuyển tất cả cấu hình của mình sang firewalld?

Nếu bạn xem xét iptablesbộ quy tắc tường lửa lớn nhất của mình, bạn có thường xuyên nghĩ rằng mình sẽ được hưởng lợi từ khía cạnh động của firewalldkhông? Trong hầu hết các trường hợp, hiệu suất của iptableskhông bao giờ là vấn đề. Trong hầu hết các trường hợp hiệu suất của iptablessự cố có thể được khắc phục bằng cách sử dụng ipsetcác bộ IP nguồn / đích dựa trên.

Đó là một cuộc tranh luận khác nhau về việc bạn có nên sử dụng NetworkManager hay không.