centos 上的 firewalld 简明指南-百家乐凯发k8

导读	firewalld 是 iptables 的前端控制器，用于实现持久的网络流量规则。它提供命令行和图形界面，在大多数 linux 发行版的仓库中都有。与直接控制 iptables 相比，使用 firewalld 有两个主要区别：

安装与管理

启动服务，并在系统引导时启动该服务：

sudo systemctl start firewalld
sudo systemctl enable firewalld

要停止并禁用：

sudo systemctl stop firewalld
sudo systemctl disable firewalld

检查防火墙状态。输出应该是 running 或者 not running

sudo firewall-cmd --state

要查看 firewalld 守护进程的状态：

sudo systemctl status firewalld

在开机时启用一个服务

systemctlenable firewalld.service

在开机时禁用一个服务

systemctldisable firewalld.service

查看所有打开的端口

firewall-cmd--zone=public --list-ports

更新防火墙规则

firewall-cmd --reload

查看区域信息

firewall-cmd--get-active-zones

查看指定接口所属区域

firewall-cmd--get-zone-of-interface=eth0

重新加载 firewalld 配置

sudo firewall-cmd --reload

配置集

将规则同时添加到持久规则集和运行时规则集中

sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=http

将规则添加到持久规则集中并重新加载 firewalld

sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --reload

防火墙的区域

要找到默认区域

sudo firewall-cmd --get-default-zone

要修改默认区域

sudo firewall-cmd --set-default-zone=internal

要查看你网络接口使用的区域

sudo firewall-cmd --get-active-zones

示例输出

public
  interfaces: eth0

要得到特定区域的所有配置

sudo firewall-cmd --zone=public --list-all

示例输出

public (default, active)
  interfaces: ens160
  sources:
  services: dhcpv6-client http ssh
  ports: 12345/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

要得到所有区域的配置

sudo firewall-cmd --list-all-zones

示例输出

block
  interfaces:
  sources:
  services:
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:
  ...
work
  interfaces:
  sources:
  services: dhcpv6-client ipp-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

与服务一起使用

要查看默认的可用服务

sudo firewall-cmd --get-services

比如，要启用或禁用 http 服务

sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --remove-service=http --permanent

允许或者拒绝任意端口/协议

比如：允许或者禁用 12345 端口的 tcp 流量

sudo firewall-cmd --zone=public --add-port=12345/tcp --permanent
sudo firewall-cmd --zone=public --remove-port=12345/tcp --permanent

端口转发

下面是在同一台服务器上将 80 端口的流量转发到 12345 端口

sudo firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=12345

用 firewalld 构建规则集

将 eth0 的默认区域设置为 dmz。在所提供的默认区域中，dmz（非军事区）是最适合于这个程序的，因为它只允许 ssh 和 icmp

sudo firewall-cmd --set-default-zone=dmz
sudo firewall-cmd --zone=dmz --add-interface=eth0

把 http 和 https 添加永久的服务规则到 dmz 区域中

sudo firewall-cmd --zone=dmz --add-service=http --permanent
sudo firewall-cmd --zone=dmz --add-service=https --permanent

重新加载 firewalld 让规则立即生效

sudo firewall-cmd --reload

如果你运行 firewall-cmd --zone=dmz --list-all，会有下面的输出

dmz (default)
  interfaces: eth0
  sources:
  services: http https ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

高级配置

允许来自主机 192.168.0.14 的所有 ipv4 流量

sudo firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address=192.168.0.14 accept'

拒绝来自主机 192.168.1.10 到 22 端口的 ipv4 的 tcp 流量

sudo firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject'

允许来自主机 10.1.0.3 到 80 端口的 ipv4 的 tcp 流量，并将流量转发到 6532 端口上

sudo firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 source address=10.1.0.3 forward-port port=80 protocol=tcp to-port=6532'

将主机 172.31.4.2 上 80 端口的 ipv4 流量转发到 8080 端口（需要在区域上激活 masquerade）

sudo firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 forward-port port=80 protocol=tcp to-port=8080 to-addr=172.31.4.2'

列出你目前的丰富规则

sudo firewall-cmd --list-rich-rules

iptables 的直接接口

要查看添加到 firewalld 的所有自定义链或规则

firewall-cmd --direct --get-all-chains
firewall-cmd --direct --get-all-rules