firewalld防火墙

作用：内网与外网之间的保护屏障。
主要依据策略(自定义策略)来对穿越防火墙自身的流量进行过滤

防火墙策略可以基于流量的源目地址（源地址，目的地址），端口号，协议，应用服务等信息来定制。然后防火墙使用预定定制的策略规则去监控出入的流量，若流量与某一条规则相匹配的话，那么执行相应的处理，反之丢弃。

在linux系统中，无论是centos7或者rhel7版本的系统中，firewalld已经取代了iptableds地位。默认使用的是firewalld,iptables也可以再去安装,而6版本的话，基本上都是iptables防火墙。

其实，firewalld和iptables防火墙都不是真正的防火墙，而是用来定义防火墙策略的防火墙管理工具

有限读取/etc/firewalld中用户创建的

firewalld跟iptables区别：

1、firewalld会把配置好的策略交给内核层面的nftables包过滤器来处理
2、iptables会将配置好的策略交给内核层面的netfilter网络过滤器来处理

firewalld防火墙工具
centos7系统默认的一个防火墙配置策略的工具，拥有两种模式
a、基于命令行界面，终端管理器模式
b、基于图形化用户界面

yum install firewall-config -y
firewall-config & 图形工具

防火墙的字符管理工具
firewall-cmd

查询firewalld状态
firewall-cmd --state

重启防火墙
firewall-cmd --reload

查询所有firewalld区域元素
firewall-cmd --get-zones

显示网络连接或接口的默认区域
firewall-cmd --get-default-zone

设置网络连接或接口的默认区域为work
firewall-cmd --set-default-zone=work

状态信息将会丢失，多用于处理防火墙出现问题时
firewall-cmd --complete-reload

显示已激活的所有区域
firewall-cmd --get-active-zones

显示ens33接口绑定的区域
firewall-cmd --get-zone-of-interface=ens33

为ens33接口绑定work区域
firewall-cmd --zone=work --add-interface=ens33
为work区域删除绑定的网络接口ens33
firewall-cmd --zone=work --remove-interface=ens33
为work区域更改绑定的网络接口ens33
firewall-cmd --zone=work --change-interface=ens33
查看work区域是否包含接口ens33
firewall-cmd --zone=work --query-interface=ens33

显示所有区域及其规则
firewall-cmd --list-all-zones
显示work区域的所有规则
firewall-cmd --zone=work --list-all
显示默认区域的所有规则
firewall-cmd --list-all

firewall-cmd --add-port=端口号/tcp(udp)
显示work区域中内允许访问所有端口号
firewall-cmd --zone=work --list-ports
启用work区域端口22的tcp 5分钟后删除该端口,多用于测目的
firewall-cmd --zone=work --add-port=22/tcp --timeout=5m
禁用work区域22端口的TCP协议组合
firewall-cmd --zone=work --remove-port=22/tcp
查询wrok区域中是否启用了22端口和TCP协议组合
firewall-cmd --zone=work --query-port=22/tcp

firewalld阻塞ICMP操作命令
firewall-cmd --zone=work --list-icmp-blocks 显示work区域中阻塞所有的ICMP类型
firewall-cmd --zone=work --add-icmp-block=echo-reply 为work区域设置阻塞echo-reply类型的ICMP
firewall-cmd --zone=work --remove-icmp-block=echo-reply 为work区域删除阻塞echo-reply类型的ICMP
firewall-cmd --zone=work --query-icmp-block=echo-request查询work区域的echo-request类型的ICMP是否阻塞

firewalld支持两种类型的网络地址转换

地址伪装配置
firewall-cmd --add-masquerade [–timeout=seconds] 为指定区域增加地址伪装功能在一段时间自动删除该功能
firewall-cmd --remove-masquerade 为指定区域删除地址伪装功能
firewall-cmd --query-masquerade 查询指定区域是否开启地址伪装功能

端口转发配置
firewall-cmd --list-forward-ports 列出端口转发配置
firewall-cmd --add-forward-port=port=8080:proto=tcp:toport=22:toaddr=192.168.80.100添加端口转发规则
添加端口转发的格式
firewall-cmd --add-forward-port=port=源端口号:proto=协议:toport=目标端口:toaddr=目标服务器IP地址 --permanent