文章目录
[隐藏]
firewalld配置文件
firewalld规则
firewalld的9个zone介绍
firewalld zone相关命令的用法
firewalld service介绍
CentOS7防火墙已经不是iptables了而是有一个新名字了Firewalld。
firewalld是centos7的一大特性，最大的好处有两个：支持动态更新，不用重启服务；第二个就是加入了防火墙的“zone”概念
firewalld有图形界面和工具界面，但一般我我都是使用字符界面; 图形界面请参照官方文档
firewalld的字符界面管理工具是 firewall-cmd
firewalld配置文件
firewalld默认配置文件有两个：
/usr/lib/firewalld/ (系统配置，尽量不要修改) /etc/firewalld/ (用户配置地址)
在/etc/firewalld/zones下面只有一个public.xml，如果给另外一个zone做一些改动，并永久保存，那么会自动生成对应的配置文件
比如，给work zone增加一个端口：firewall-cmd –permanent –zone=work –add-port=1000/tcp
此时就会生成一个work.xml的配置文件
修改ftp的端口，默认ftp的端口是21，改为1121 代码如下：
cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/ vim /etc/firewalld/services/ftp.xml #把21改为1121 vim /etc/firewalld/zones/work.xml #work为默认zone，所以要编辑这个，增加一行 firewall-cmd --reload #重新加载
firewalld规则
假设自定义的ssh端口号为12222，使用下面的命令来添加新端口的防火墙规则：
firewall-cmd --add-port=12222/tcp --permanent
使用–permanent参数可以将更改保存到配置文件。
防火墙配置文件也可以手动修改，修改后记得重新加载：firewall-cmd –reload
这种情况下重新加载防火墙并不会中断用户连接，也可以彻底加载，这时候会中断用户连接，也会丢弃状态信息：firewall-cmd –complete-reload
还可以添加一个端口范围：firewall-cmd –add-port=2000-4000/tcp
针对指定zone添加端口：firewall-cmd –permanent –zone=home –add-port=443/tcp
启动端口转发，例如把22端口转发到127.0.0.2：firewall-cmd –permanent –zone=home –add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2
以下是在CentOS7系统上操作Firewalld的方法。
查看firewalld是否开启
systemctl is-enabled firewalld
启动firewalld
systemctl start firewalld
停止firewalld
systemctl stop firewalld
查看firewalld状态
systemctl status firewalld
禁止firewall开机启动
systemctl disable firewalld.service
重新加载防火墙
firewall-cmd --reload
查看所有打开的端口
firewall-cmd --zone=public --list-ports
查看具体端口
firewall-cmd --zone= public --query-port=80/tcp
firewalld有zone和service的概念，每一个zone的规则不一样，默认有9个zone。centos7默认使用的zone是public。
firewalld的9个zone介绍
丢弃 drop : 任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。
阻塞 block：任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。
公开 public：用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。
外部 external：用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。
隔离区dmz：用以允许隔离区(dmz)中的电脑有限地被外界网络访问。只接受被选中的连接。
工作 work：用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
家庭 home：用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
内部 internal：用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
受信任的 trusted：允许所有网络连接。
firewalld zone相关命令的用法
设置默认的zone：firewalld-cmd –set-default-zone=work
查看指定网卡所在的zone：firewall-cmd –get-zone-of-interface=eno16777736
设置指定网卡所在的zone：firewall-cmd –zone=public –add-interface=lo
更改指定网卡所在的zone：firewall-cmd –zone=dmz –change-interface=lo
删除指定网卡所在的zone：firewall-cmd –zone=dmz –remove-interface=lo
查看所有网卡所在的zone：firewall-cmd –get-active-zones
firewalld service介绍
在/usr/lib/firewalld/services/目录中，还保存了另外一类配置文件，每个文件对应一项具体的网络服务，如ssh服务等。
与之对应的配置文件中记录了各项服务所使用的tcp/udp端口，在最新版的firewalld中默认已经定义了70多种服务供我们使用。
zone就是调用了不同的service而实现了不同的效果。
列出所有的service：
firewall-cmd --get-services
列出当前zone下加载的service：
firewall-cmd --list-services
查看指定zone下面的service：
firewal-cmd --zone=public --list-services
给指定zone添加service：
firewall-cmd --zone=public --ad-service=http
这个改动不会保存到配置文件里，要想保存到配置文件里面，需要加上–permanent：
firewall-cmd --zone=public --add-service=http --permanent
既然可以增加，同样也可以删除，下面命令会从配置文件中永久删除public zone中的http服务：
firewall-cmd --zone=public --remove-service=http --permanent
