关于VMware ESXi 5.x 和 6.0 防火墙

解析

以下为 ESXi 5.x 防火墙的相关要点： ESXi 5.0 引入了不基于 iptable 的全新防火墙引擎。 默认情况下启用防火墙，允许 Internet 控制消息协议 (ICMP) ping 以及与 DHCP 和 DNS（仅限 UDP）客户端通信。 用于在 ESXi 5.x 和 6.0 上配置防火墙的 UI 与用于配置 ESX 防火墙的 UI 类似。 防火墙是面向服务的。 您可以基于 IP 地址/子网掩码限制对特定服务的访问。 ESXi 5.x 和 6.0 防火墙具备主机配置文件支持。 如果将 ESX 升级到 ESXi 5.x，防火墙设置会保留。 ESXi 5.x 中提供新的 esxcli 界面（名为 esxcfg-firewall）。下表对该界面中可用的命令进行了汇总： 命令 描述 esxcli network firewall get 返回防火墙的启用或禁用状态并列出默认操作。 esxcli network firewall set --default-action 更新默认操作。 esxcli network firewall set --enabled 设置为 true 可启用防火墙，设置为 false 可禁用防火墙。 esxcli network firewall load 加载防火墙模块和规则集配置文件。 esxcli network firewall refresh 如果已加载防火墙模块，通过读取规则集文件刷新防火墙配置。 esxcli network firewall unload 销毁筛选器并卸载防火墙模块。 esxcli network firewall ruleset list 列出规则集信息。 esxcli network firewall ruleset set --allowedall 设置 allowedall 标记。 esxcli network firewall ruleset set --enabled 启用或禁用指定规则集。 esxcli network firewall ruleset allowedip list 列出指定规则集允许的 IP 地址。 esxcli network firewall ruleset allowedip add 允许访问指定 IP 地址或 IP 地址范围的规则集。 esxcli network firewall ruleset allowedip remove 移除对指定 IP 地址或 IP 地址范围的规则集的访问权限。 例如： 要启用 sshClient 防火墙规则集，请运行以下命令：   esxcli network firewall ruleset set --enabled false --ruleset-id=sshClient

相关信息

即使在禁用时，防火墙也保持处于已加载状态。例如：   已启用防火墙：   # esxcli network firewall set --enabled true # esxcli network firewall get Default Action: DROP Enabled: true Loaded: true   已禁用防火墙：   # esxcli network firewall set --enabled false # esxcli network firewall get Default Action: DROP Enabled: false Loaded: true

 

以上转载自VMware Knowledge Base