CentOS7 Firewall使用说明

1、firewalld的基本使用

启动： systemctl start firewalld

查看状态： systemctl status firewalld 

停止： systemctl disable firewalld

禁用： systemctl stop firewalld

2.systemctl是CentOS7的服务管理工具中主要的工具，它融合之前service和chkconfig的功能于一体。

启动一个服务：systemctl start firewalld.service

关闭一个服务：systemctlstop firewalld.service

重启一个服务：systemctlrestart firewalld.service

显示一个服务的状态：systemctl status firewalld.service

查看服务是否开机启动：systemctlis-enabled firewalld.service

查看已启动的服务列表：systemctllist-unit-files|grep enabled

查看启动失败的服务列表：systemctl--failed

3.配置firewalld-cmd

查看版本： firewall-cmd --version

显示状态： firewall-cmd --state

查看所有打开的端口： firewall-cmd--zone=public --list-ports

更新防火墙规则： firewall-cmd --reload

查看区域信息:  firewall-cmd--get-active-zones

查看指定接口所属区域： firewall-cmd--get-zone-of-interface=eth0

拒绝所有包：firewall-cmd --panic-on

取消拒绝状态： firewall-cmd --panic-off

查看是否拒绝： firewall-cmd --query-panic

开启端口​​​​​​​

添加80端口

firewall-cmd --zone=public --add-port=80/tcp --permanent   （--permanent永久生效，没有此参数重启后失效）

重新载入

firewall-cmd --reload

查看

firewall-cmd --zone=public --query-port=80/tcp

删除

firewall-cmd --zone=public --remove-port=80/tcp --permanent

查看firewall是否运行,下面两个命令都可以

systemctl status firewalld.service

firewall-cmd --state

查看当前开了哪些端口

其实一个服务对应一个端口，每个服务对应/usr/lib/firewalld/services下面一个xml文件。

firewall-cmd --list-services

查看还有哪些服务可以打开

firewall-cmd --get-services

查看所有打开的端口： 

firewall-cmd --zone=public --list-ports

更新防火墙规则： 

firewall-cmd --reload

清空防火墙策略

iptables -F

firewalld禁止被PING(丢弃ICMP包)

firewall-cmd --permanent --add-rich-rule='rule protocol value=icmp drop'

针对内网IP段做端口策略

⒈开始防火墙设置，添加指定网段对ssh所用的端口访问权限。

[root@CLDevOps ~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="x.x.x.x/24" port protocol="tcp" port="22" accept"

[root@CLDevOps ~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.41.0/24" port protocol="tcp" port="80" accept"

2.jumpserver端口设置。允许192.168.41.100访问22122端口

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.41.100" port protocol="tcp" port="22122" accept"

firewalld 做NAT策略

如果配合 DHCP 服务或实现更多功能。

☼ NAT 转发软路由

开启 NAT 转发之后，只要本机可以上网，不论是单网卡还是多网卡，局域网内的其他机器可以将默认网关设置为已开启 NAT 转发的服务器 IP ，即可实现上网。

# 开启 NAT 转发 firewall-cmd --permanent --zone=public --add-masquerade # 开放 DNS 使用的 53 端口，UDP # 必须，否则其他机器无法进行域名解析 firewall-cmd --zone=public --add-port=53/tcp --permanent # 检查是否允许 NAT 转发 firewall-cmd --query-masquerade # 禁止防火墙 NAT 转发 firewall-cmd --remove-masquerade

☼ 端口转发

端口转发可以将指定地址访问指定的端口时，将流量转发至指定地址的指定端口。转发的目的如果不指定 ip 的话就默认为本机，如果指定了 ip 却没指定端口，则默认使用来源端口。

# 将80端口的流量转发至8080 firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 # 将80端口的流量转发至192.168.0.1 firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1 # 将80端口的流量转发至192.168.0.1的8080端口 firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080