【RHEL7/CentOS7防火墙之firewall-cmd命令详解】

Redhat Enterprise Linux7已默认使用firewalld防火墙，其管理工具是firewall-cmd。使用方式也发生了很大的改变。

基于iptables的防火墙已默认不启动，但仍然可以继续使用。

RHEL7中有这几种防火墙共存：firewalld、iptables、ip6tables、ebtables。

RHEL7的内核版本是3.10，在此版本的内核里防火墙的包过滤机制是firewalld，使用firewalld来管理netfilter，不过底层调用的命令仍然是iptables等。
@
***

RHEL7虽然仍有iptables，但不建议使用了，而是使用新的firewalld服务。

# 查firewalld软件包是否安装
[root@CentOS7 ~]# rpm -q firewalld
firewalld-0.5.5-1.fc28.noarch

由于这几种防火墙的daemon是冲突的，所以建议禁用其它几种防火墙。

# 禁用方法一：
[root@CentOS7 ~]# systemctl mask {iptables,ip6tables,ebtables}

# 禁用方法二：
[root@CentOS7 ~]# for service in iptables ip6tables ebtables;do
> systemctl mask ${service}.service
> done

禁用后，我们查询一下这几种防火墙的状态，如下图：
systemctl命令用于服务控制，详见【Redhat7/CentOS7服务控制之systemctl命令】

firewalld提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的防火墙管理工具，拥有运行时配置和永久配置选项。拥有允许服务或应用程序直接添加防火墙规则的接口。
.
以前的system-config-firewall防火墙模型是静态的，每次修改都要求防火墙完全重启。这个过程包括内核netfilter防火墙模块的卸载和新配置所需要模块的装载等。
.
相反，firewall daemon是动态管理防火墙，应用更改时不必重启整个防火墙，因而也就没有必要重载所有内核防火墙模块。

补充知识点
.
预定义服务：这里的服务是端口和(或)协议入口的组合。
.
端口和协议：定义的tcp/udp端口，端口可以是一个端口，也可以是端口范围。
.
ICMP阻塞：可以选择Internet控制报文协议的报文，这些报文可以是报文请求，亦可是对信息请求或错误条件创建的响应。
.
伪装：私有的网络地址可以被映射到公开的IP地址，这是一次正规的地址转换。
.
端口转发：端口可以映射到另一个端口以及(或者)其它主机。
***

Firewalld zone

什么是zone(区域)？网络区域定义了网络链接的可信等级。

如上图，数据包若要进入内核，必须经过其中一个zone。而不同的zone里定义的规则也不一样（即信任度不一样，过滤的强度也不一样）。
.
可根据网卡所连接的网络的安全性来判断某张网卡的流量使用的是哪个zone。比如上图中来自eth0网卡的流量全部使用zone1的过滤规则，eth1网卡的流量全部使用zone2的过滤规则。一张网卡同时只能绑定到一个zone.

firewalld默认为我们提供了9个区域，默认就有一些区域是有效的。这些区域按照不信任到信任的顺序排序，如下。
.
起---------------------------------
丢弃区域（