bla~bla~防火墙

1 常用命令
 

查看现有规则：firewall-cmd --list-all
设置开机启用防火墙：systemctl enable firewalld.service
查看防火墙状态：systemctl status firewalld
查看端口是否开启：firewall-cmd --query-port=3306/tcp
查看端口占用：lsof -i tcp:80

2 配置防火墙

1.配置“域”
systemctl start firewalld
firewall-cmd --set-default-zone=public
firewall-cmd --reload 
systemctl restart firewalld

2.配置防火墙规则
systemctl start firewalld 
firewall-cmd --add-port=1-3305/tcp --permanent
firewall-cmd --add-port=3307-65535/tcp --permanent
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" 
source address="master docker容器内IP"  port protocol="tcp" port="3306" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" 
source address="master服务器IP"  port protocol="tcp" port="3306" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" 
source address="子节点IP"  port protocol="tcp" port="3306" accept'
firewall-cmd --reload
systemctl restart firewalld

3.避免docker导致防火墙失效（其实“五、其它问题”说的就是这个事）
①vi /usr/lib/systemd/system/docker.service
在文件中添加 --iptables=false（底部图片）
②重启docker
systemctl daemon-reload
systemctl restart docker

4.完成上述步骤以及可以采用系统 firewall 控制端口访问，但会出现 docker 容器间无法访问，而且容器内也无法访问外部网络。
使用类似 NAT 网络方式使得 docker 可以访问外部网络
firewall-cmd --permanent --zone=public --add-masquerade
systemctl restart firewalld

5.检查
使用未在白名单机器访问3306，看是否可以访问。