1# 网络防火墙 2 3## 简介 4 5网络防火墙提供如下功能： 6- 防火墙的基础能力，包括防火墙的使能、规则的启用与禁用、审计能力。 7- 防火墙规则的配置能力，包括规则的名称、描述、操作、生效应用、协议类型、地址、端口、出站/入站方向等。 8- DNS策略的配置能力，包括配置禁止/允许解析的域名、解析使用的DNS服务器（主选/备选）（应用级）。 9 10> **说明：** 11> 为了保证应用的运行效率，所有API调用都是异步的，对于异步调用的API均提供了Promise的方式，以下示例均采用Promise方式，更多方式可以查阅[API参考](../reference/apis-network-kit/js-apis-net-netfirewall.md)。 12 13## 约束 14 15- 开发语言：JS 16 17## 场景介绍 18 19防火墙的典型场景有： 20- 针对特定IP联网访问控制 211. 支持限制特定应用访问网络。 222. 支持限制对特定IP、特定协议、特定端口的网络通信。 233. 支持限制特定应用对特定IP、特定协议、特定端口的网络通信。 244. 支持拦截规则下发后立即生效（此点针对TCP协议：需断开已有被拦截的TCP连接） 。 25- 针对域名联网访问控制支持拦截 261. 支持限制应用对特定域名的DNS解析能力（仅限制非加密标准DNS协议，不限制加密、私标DNS协议）。 272. 支持限制特地应用对特定域名的DNS解析能力（仅限制非加密标准DNS协议，不限制加密、私标DNS协议）。 283. 支持拦截规则下发后立即生效（此点针对TCP协议：需断开已有被拦截的TCP连接）。 29<!--Del--> 30- 联网访问控制支持可追溯 311. 支持拦截记录追溯，支持对系统应用提供查询拦截记录的能力。 322. 支持所有拦截规则的自动保存和开机自动恢复。 33<!--DelEnd--> 34 35以下分别介绍具体开发方式。 36 37## 接口说明 38 39完整的JS API说明以及实例代码请参考：[网络防火墙](../reference/apis-network-kit/js-apis-net-netfirewall.md)。 40 41| 接口 | 描述 | 42| -------------------------------------------------------------------------------------------------- | ----------------- | 43| setNetFirewallPolicy(userId: number, policy: NetFirewallPolicy): Promise\<void> | 设置防火墙状态。 | 44| getNetFirewallPolicy(userId: number): Promise\<NetFirewallPolicy> | 查询防火墙状态。 | 45| addNetFirewallRule(rule: NetFirewallRule): Promise\<number> | 添加防火墙规则。 | 46| updateNetFirewallRule(rule: NetFirewallRule): Promise\<void> | 更新防火墙规则。 | 47| removeNetFirewallRule(userId: number, ruleId: number): Promise\<void> | 删除防火墙规则。 | 48| getNetFirewallRules(userId: number, requestParam: RequestParam): Promise\<FirewallRulePage> | 分页查询防火墙规则。 | 49| getNetFirewallRule(userId: number, ruleId: number): Promise\<NetFirewallRule> | 查询单条防火墙规则。 | 50| <!--DelRow-->getInterceptedRecords(userId: number, requestParam: RequestParam): Promise\<InterceptedRecordPage> | 查询防火墙拦截记录。 | 51 52## 针对特定IP联网访问控制 53 541. 设备通过硬件接口，插入网线。 552. 从@kit.NetworkKit中导入netfirewall命名空间。 563. 用户调用setNetFirewallPolicy方法，打开防火墙。 574. 用户通过addNetFirewallRule方法，添加防火墙规则。 58 59```ts 60// 从@kit.NetworkKit中导入netFirewall命名空间 61import { netFirewall } '@kit.NetworkKit'; 62import { BusinessError } from '@kit.BasicServicesKit'; 63 64// 定义防火墙策略：打开，入站阻止，出站允许 65let policy: netFirewall.NetFirewallPolicy = { 66 isOpen: true, 67 inAction: netFirewall.FirewallRuleAction.RULE_DENY, 68 outAction: netFirewall.FirewallRuleAction.RULE_ALLOW 69}; 70// 给用户100设置防火墙策略 71netFirewall.setNetFirewallPolicy(100, policy).then(() => { 72 console.info("set firewall policy success."); 73}).catch((error : BusinessError) => { 74 console.error("set firewall policy failed: " + JSON.stringify(error)); 75}); 76 77// 初始化具体的防火墙ip类型规则 78let ipRule: netFirewall.NetFirewallRule = { 79 name: "rule1", 80 description: "rule1 description", 81 direction: netFirewall.NetFirewallRuleDirection.RULE_IN, 82 action:netFirewall.NetFirewallRuleDirection.RULE_DENY, 83 type: netFirewall.NetFirewallRuleType.RULE_IP, 84 isEnabled: true, 85 appUid: 20001, 86 localIps: [ 87 { 88 family: 1, 89 type: 1, 90 address: "10.10.1.1", 91 mask: 24 92 },{ 93 family: 1, 94 type: 2, 95 startIp: "10.20.1.1", 96 endIp: "10.20.1.10" 97 }], 98 remoteIps:[ 99 { 100 family: 1, 101 type: 1, 102 address: "20.10.1.1", 103 mask: 24 104 },{ 105 family: 1, 106 type: 2, 107 startIp: "20.20.1.1", 108 endIp: "20.20.1.10" 109 }], 110 protocol: 6, 111 localPorts: [ 112 { 113 startPort: 1000, 114 endPort: 1000 115 },{ 116 startPort: 2000, 117 endPort: 2001 118 }], 119 remotePorts: [ 120 { 121 startPort: 443, 122 endPort: 443 123 }], 124 userId: 100 125}; 126// 添加防火墙规则 127netFirewall.addNetFirewallRule(ipRule).then((result: number) => { 128 console.info('rule Id: ', result); 129}, (reason: BusinessError) => { 130 console.error('add firewall rule failed: ', JSON.stringify(reason)); 131}); 132``` 133 134## 针对域名联网访问控制支持拦截 135 1361. 设备通过硬件接口，插入网线。 1372. 从@kit.NetworkKit中导入netFirewall命名空间。 1383. 用户态调用setNetFirewallPolicy方法，打开防火墙。 1394. 用户态通过addNetFirewallRule方法，添加防火墙规则。 140 141```ts 142// 从@kit.NetworkKit中导入netFirewall命名空间 143import { netFirewall } '@kit.NetworkKit'; 144import { BusinessError } from '@kit.BasicServicesKit'; 145 146// 定义防火墙策略：打开，入站阻止，出站允许 147let policy: netFirewall.NetFirewallPolicy = { 148 isOpen: true, 149 inAction: netFirewall.FirewallRuleAction.RULE_DENY, 150 outAction: netFirewall.FirewallRuleAction.RULE_ALLOW 151}; 152// 给用户100设置防火墙策略 153netFirewall.setNetFirewallPolicy(100, policy).then(() => { 154 console.info("set firewall policy success."); 155}).catch((error : BusinessError) => { 156 console.error("set firewall policy failed: " + JSON.stringify(error)); 157}); 158 159// 初始化具体的防火墙域名类型规则 160let domainRule: netFirewall.NetFirewallRule = { 161 name: "rule2", 162 description: "rule2 description", 163 direction: netFirewall.NetFirewallRuleDirection.RULE_IN, 164 action:netFirewall.NetFirewallRuleDirection.RULE_DENY, 165 type: netFirewall.NetFirewallRuleType.RULE_DOMAIN, 166 isEnabled: true, 167 appUid: 20002, 168 domains: [ 169 { 170 isWildcard: false, 171 domain: "www.openharmony.cn" 172 },{ 173 isWildcard: true, 174 domain: "*.openharmony.cn" 175 }], 176 userId: 100 177}; 178// 添加防火墙规则 179netFirewall.addNetFirewallRule(domainRule).then((result: number) => { 180 console.info('rule Id: ', result); 181}, (reason: BusinessError) => { 182 console.error('add firewall rule failed: ', JSON.stringify(reason)); 183}); 184``` 185 186<!--Del--> 187## 查询防火墙拦截记录 188 1891. 设备通过硬件接口，插入网线。 1902. 从@kit.NetworkKit中导入netfirewall命名空间。 1913. 用户态通过getInterceptRecords方法查询拦截记录。 192 193```ts 194// 从@kit.NetworkKit中导入netFirewall命名空间 195import { netFirewall } '@kit.NetworkKit'; 196import { BusinessError } from '@kit.BasicServicesKit'; 197 198// 通过getInterceptedRecords方法分页查询拦截记录 199let interceptRecordParam: netFirewall.RequestParam = { 200 page: 1, 201 pageSize: 10, 202 orderField: netFirewall.NetFirewallOrderField.ORDER_BY_RECORD_TIME, 203 orderType: netFirewall.NetFirewallOrderType.ORDER_DESC 204}; 205netFirewall.getInterceptedRecords(100, interceptRecordParam).then((result: netFirewall.InterceptedRecordPage) => { 206 console.info("result:", JSON.stringify(result)); 207}, (error: BusinessError) => { 208 console.error("get intercept records failed: " + JSON.stringify(error)); 209}); 210``` 211<!--DelEnd--> 212