centos7.0的firewalld知识

原文：http://blog.csdn.net/dream361/article/details/54022470（原文真的很好，这个算是笔记了）

附件：https://linux.cn/article-8098-1-rel.html（具体的安装与使用文档）

firewalld的配置文档有两个文件夹，分别为以下两个文件夹

1、/etc/firewalld/

2、/usr/lib/firewalld/

使用时的规则是这样的：当需要一个文件时firewalld会首先到第一个目录中去查找，如果可以找到，那么就直接使用，否则会继续到第二个目录中查找。firewalld的配置文件结构非常简单，主要有两个文件和三个目录：
文件：firewalld.conf、lockdown-whitelist.xml
目录：zones、services、icmptypes
我们要注意，在保存默认配置的目录“/usr/lib/firewalld/”中只有我们这里所说的目录，而没有firewalld.conf、lockdown-whitelist.xml和direct.xml这三个文件，也就是说这三个文件只存在于“/etc/firewalld/”目录中。

以下是介绍/etc/firewalld/firewalld.conf文件的配置文档。

firewalld.conf：firewalld的主配置文件，是键值对的格式，不过非常简单，只有五个配置项
DefaultZone：默认使用的zone，关于zone学生稍后给大家详细介绍，默认值为public；
MinimalMark： 标记的最小值，linux内核会对每个进入的数据包都进行标记，目的当然是为了对他们进行区分，比如学生在前面给大家补充iptables五张表相关的内 容时候介绍说符合raw表规则的数据包可以跳过一些检查，那么是怎么跳过的呢？这里其实就是使用的标记，当然对数据包的标记还有很多作用。这里所设置的 MinimalMark值就是标记的最小值，默认值为100，一般情况下我们不需要对其进行修改，但是如果我们有特殊需要的时候就可以通过对其进行修改来 告诉linux所使用标记的最小值了，比如我们需要给符合某条件的数据包标记为123，这时候为了防止混淆就需要将MinimalMark设置为一个大于 123的值了；
CleanupOnExit：这个配置项非常容易理解，他表示当退出firewalld后是否清除防火墙规则，默认值为yes；
Lockdown： 这个选项跟D-BUS接口操作firewalld有关，firewalld可以让别的程序通过D-BUS接口直接操作，当Lockdown设置为yes的 时候就可以通过lockdown-whitelist.xml文件来限制都有哪些程序可以对其进行操作，而当设置为no的时候就没有限制了，默认值为 no；
IPv6_rpfilter：其功能类似于rp_filter，只不过是针对ipv6版的，其作用是判断所接受到的包是否是伪造的，检查方式主要是通过路由表中的路由条目实现的，更多详细的信息大家可以搜索uRPF相关的资料，这里的默认值为yes。lockdown-whitelist.xml：当Lockdown为yes的时候用来限制可以通过D-BUS接口操作firewalld的程序direct.xml：通过这个文件可以直接使用防火墙的过滤规则，这对于熟悉iptables的用户来说会非常顺手，另外也对从原来的iptables到firewalld的迁移提供了一条绿色通道

以下是其他的文件夹的作用

zones：保存zone配置文件
services：保存service配置文件
icmptypes：保存和icmp类型相关的配置文件

对于具体的安装与使用案例，可以直接看附件