总结CentOS7下使用firewall防火墙

文章来源：https://www.linuxidc.com/Linux/2018-03/151218.htm
在CentOS7中，引入了一个显得服务，firewall，下面一张图让大家了解防火墙Firewall和iptables之间的联系与区别。

安装它，只需要

yum -y install firewall

如果需要图形界面的换，则再安装

yum -y install firewall-config

一， 介绍
防火墙守护filewalld服务引入了一个信任级别的概念来管理与之相关联的链接与接口。它支持ipv4和ipv6，并支持网桥，采用firewall-cmd(command) 或 firewall-config (gui) 来动态的管理 kernel netfilter 的临时或永久的接口规则，并实时生效而无需重启服务。

zone：

• drop：丢弃所有进入的包，而不给任何响应
• block：拒绝所有外部发起的链接，运行内部发起的链接
• public：允许制定的进入链接
• external：同上，对伪装的进入链接，一般用于路由转发
• dmz：允许受限制的进入连接
• work：允许受信任的计算机被限制的进入连接，类似workgroup
• home：同上，类似homegroup
• internal：同上，范围针对所有互联网用户
• trusted：信任所有连接
  过滤规则：
• source：根据源地址过滤
• interface：根据网卡过滤
• service：根据服务名过滤
• port：根据端口过滤
• icmp-block:icmp报文过滤，按照icmp类型配置
• masquerade：ip地址伪装
• forward-port：端口转发
• rule：自定义规则
  其中，过滤规则的优先级遵循如下顺序
  1.source
  2.interface
  3.firewalld.conf
  二，使用方法
  #systemctl start firewalld #启动
  #systemctl enable firewalld #开机启动
  #systemctl stop firewalld #关闭
  #systemctl disable firewalld #取消开机启动
  具体的规则管理，可以使用firewall-cmd,具体的使用方法可以
  $firewall-cmd --help
  –zone=NAME #制定zone
  –permanent #永久修改，–reload后生效
  –timeout=seconds #持续效果，到期后自动移除，用于调试，不能与 --permanent同时使用
  1.查看规则
  查看运行状态
  $firewall-cmd --state
  查看已被激活的Zone信息
  $firewall-cmd --get-active-zones
  public
  interfaces:eth0 eth1
  查看指定接口的Zone信息
  $firewall-cmd --get-zone-of-interface=eth0
  public
  查看指定级别的接口
  $firewall-cmd --zone=public --list-interfaces
  eth0
  查看指定级别的所有信息，譬如 public

$firewall-cmd --zone=public --list-all
public(default,active)
interfaces:eth0
sources:
services:dhcpv6-client http ssh
ports:
masquerade:no
forward-ports:
icmp-blocks:
rich rules:
查看所有级别被允许的信息
$firewall-cmd --get-service
查看重启后所有Zones级别中被允许的服务，即永久放行的服务
$firewall-cmd --get-service --permanent
2.管理规则
#firewall-cmd --panic-cn #丢弃
#firewall-cmd --panic-off #取消丢弃
#firewall-cmd --query-panic #查看丢弃状态
#firewall-cmd --reload #更新规则，不重启服务
#firewall-cmd --complete-reload #更新规则，重启服务
添加某接口至莫信任等级，譬如添加eth0至public，永久修改
#firewall-cmd --zone=public --add-interface=eth0 --permanent
设置public为默认的信任级别
#firewall-cmd --set-default-zone=public
a.管理端口
列出dmz级别的被允许的进入端口
#firewall-cmd --zone=dmz --list-ports
允许tcp端口8080至dmz级别
#firewall-cmd --zone=dmz --add-port=8080/tcp
允许某范围的udp端口至public级别，并永久生效
#firewall-cmd --zone=public --add-port=5060-5059/dup --permanent
b.网卡接口
列出public zone的所有网卡
#firewall-cmd --zone=public --list-interfaces
将eth0添加至public zone,永久
#firewall-cmd --zone=public --permanent --add-interface=eth0
eth0存在与public zone ，将该网卡添加至work zone,并将之public zone中删除
#firewall-cmd --zone=work --permanent --change-interfaces-eth0
删除public zone中的eth0，永久
#firewall-cmd --zone=public --permanent --remove-interface=eth0
c.管理服务
添加smtp服务至work zone
#firewall-cmd --zone=work --add-service=smtp
移除work zone中的smtp服务
#firewall-cmd --zone=work --remove-service=smtp
d.配置external zone中的ip地址伪装
查看
#firewall-cmd --zone=external --query-masquerade
打开伪装
#firewall-cmd --zone=exrernal --add-masquerade
关闭伪装
#firewall-cmd --zone=exrernal --remove-masquerade
e.配置public zone的端口转发
要打开端口转发，则需要先
#firewall-cmd --zone=public --add-masquerade
然后转发tcp22端口到3753
#firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toport=3753
转发22端口数据至另一个ip的相同端口上
#firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toaddr=192.168.1.100
转发22端口数据至另一个ip的2055端口上
#firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toport=2055:toaddr=192.168.1.100
f.配置public zone的icmp
查看所有支持的icmp类型
#firewall-cmd --get-icmptypes
destination-unreachable echo-reply echo-request parameter-problem redirect router-advertisement router-solicitation source-quench time-exceeded
列出
#firewall-cmd --zone=public --list-icmp-blocks
添加echo-request屏蔽
#firewall-cmd --zone=public --add-icmp-block=echo-request[–timeout=seconds]
移除echo-reply屏蔽
#firewall-cmd --zone=public --remove-icmp-block=echo-reply
g.IP封禁
#firewall-cmd --permanent --add-rich-rule=“rule family=‘ipv4’ source address='222.222.222.222’reject”