firewalld防火墙设置详解

1、firewalld简介

Centos7以上的发行版都试自带了firewalld防火墙的，firewalld去带了iptables防火墙。其原因是iptables的防火墙策略是交由内核层面的netfilter网络过滤器来处理的，而firewalld则是交由内核层面的nftables包过滤框架来处理。

相较于iptables防火墙而言，firewalld支持动态更新技术并加入了区域（zone）的概念。

firewalld将所有的网络流量都分类汇聚到zones中，它通过zones管理防火墙规则，每一个进入系统的数据包，都会首先检查源IP地址和接口，如果与某个zone匹配，则该zone的规则将生效。而每个zone都会有开启或关闭服务和端口的列表，以实现允许或拒绝链接服务和端口。如果数据包的源IP地址和网卡接口都不能和任何zone匹配，则该数据包将匹配默认zone，一般情况下是一个public的默认zone。

firewalld会提供block,dmz,drop,external,home,internal,public,trusted,work这九个zone。比如有一个数据包从eno1网卡进入本机，根据规则进入work这个zone而在work这和zone中有允许访问http服务的规则，则最后该数据包将可以进入本机并访问http服务

大部分zone都定义的有自己的允许规则，规则通过端口/协议（631/udp)或者预定义的服务（ssh)这种形式设置，如果数据包没有匹配这些允许的规则，则该数据包一般会被防火墙拒绝。但是如果有名为trusted的zone，默认会运行所有的数据流量，如果有一个数据包进入了该zone，则被允许访问所有的资源。

firewalld服务由firewalld包提供，firewalld支持划分区域zone，每