Linux系统Firewalld基础

一、Firewalld简介

Firewalld是Centos7的默认防火墙规则管理工具，其拥有两种配置模式：运行时配置和永久配置。通过将端口放在不同的区域里来实现，对来访的计算机进行管理。防火墙的机制是：允许高安全区可以访问地安全区，但是低安全区不可以访问高安全区，其使用100~0进去安全等级划分，一般情况下内网的安全等级为100，外网的安全等级为0，所以外网要想访问内网就需要建立一个安全等级在中间的军事化区（安全等级为50），防火墙可以设置协议让安全等级为0的外网计算机访问到军事化区域，内网也可以访问军事化区这样就可以实现互通。

二、Firewalld区域

区域	描述
drop（丢弃）	任何接收的网络数据包都被丢弃，没有任何回复，仅能有发送出去的网络连接
block（限制）	任何接收的网络连接都被IPv的icmp-host-prohibited信息和IPv6的icmp6-adm-prohibited信息所拒绝
public（公共）	在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成危害，只能接收经过选取的连接
external（外部）	特别是为路由器启用了伪装功能的外部网，您不能信任来自网络的计算机，不能相信它们不会对您的计算机造成危害，只能接收经过选取的连接
dmz（非军事区）	用于您的非军事区内的电脑，此区域可以公开访问，可以有限的进入您的内部网络，仅仅接收经过选取的连接
work（工作）	用于工作区，您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选取的连接
home（家庭）	用于家庭网络。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选取的连接
internal（内部）	用于外部网络。您可以基本上相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选取的连接
trusted	可以接收所有的网络连接

三、防火墙设置

1、Firewalld重载配置

firewalld-cmd --reload

2、防火墙区域配置

查看定义区域

firewalld-cmd --get-zones

查看接口的默认区域

firewalld-cmd --get-default-zone

显示已经激活的区域和端口绑定的区域

firewall-cmd --get-active-zones和firewall-cmd --get-zone-of-interface=ens33

查看区域内允许访问的服务

firewall-cmd --zone=区域 --list-services

设置某区域允许访问的服务

firewall-cmd --zone=区域 --add-service=服务

删除某区域中的某服务

firewall-cmd --zone=区域 --remove-srevice=服务

查询某区域是否开启了某服务

firewall-cmd -zone=区域 --query-service=服务

查看某区域内允许访问的所有端口号

firewall-cmd --zone=区域 --list-sport

启用某区域某端口的某协议

firewall-cmd --zone=区域 --add-port=端口号/协议 --timeout=5m

禁用某区域某端口的协议

firewall-cmd --zone=区域 --remove-port=端口号/协议

查看某区域中是否开启了某端口和协议

firewall-cmd --zone=区域 --query-port=端口号/协议

显示work区域内所阻塞的所有ICMP

firewall-cmd --zone=work --list-icmp-block

为work区域设置阻塞类型为echo-reply的ICMP

firewall-cmd --zone=work --add-icmp-block=echo-reply

删除work区域以阻塞的echo-reply的ICMP

firewall-cmd --zone=work --remove-icmp-block=echo-reply

查询work区域echo-request类型ICMP是否阻塞

firewall-cmd --zone=work --query-icmp-block=echo-request

设置接口默认的区域

firewall-cmd --set-default-zone=区域

查看已激活的所有区域

irewall-cmd --get-active-zones

为ens33接口绑定work区域

firewall-cmd --zone=work --add-interface-ens33

为work区域删除绑定的nes33接口

firewall-cmd --zone=work --remove-interface-ens33