linux firewalld配置文件,Linux CentOS7防火墙firewalld使用说明

文章目录

[隐藏]

firewalld配置文件

firewalld规则

firewalld的9个zone介绍

firewalld zone相关命令的用法

firewalld service介绍

CentOS7防火墙已经不是iptables了而是有一个新名字了Firewalld。

firewalld是centos7的一大特性,最大的好处有两个:支持动态更新,不用重启服务;第二个就是加入了防火墙的“zone”概念

firewalld有图形界面和工具界面,但一般我我都是使用字符界面; 图形界面请参照官方文档

firewalld的字符界面管理工具是 firewall-cmd

firewalld配置文件

firewalld默认配置文件有两个:

/usr/lib/firewalld/ (系统配置,尽量不要修改) /etc/firewalld/ (用户配置地址)

在/etc/firewalld/zones下面只有一个public.xml,如果给另外一个zone做一些改动,并永久保存,那么会自动生成对应的配置文件

比如,给work zone增加一个端口:firewall-cmd –permanent –zone=work –add-port=1000/tcp

此时就会生成一个work.xml的配置文件

修改ftp的端口,默认ftp的端口是21,改为1121 代码如下:

cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/ vim /etc/firewalld/services/ftp.xml #把21改为1121 vim /etc/firewalld/zones/work.xml #work为默认zone,所以要编辑这个,增加一行 firewall-cmd --reload #重新加载

firewalld规则

假设自定义的ssh端口号为12222,使用下面的命令来添加新端口的防火墙规则:

firewall-cmd --add-port=12222/tcp --permanent

使用–permanent参数可以将更改保存到配置文件。

防火墙配置文件也可以手动修改,修改后记得重新加载:firewall-cmd –reload

这种情况下重新加载防火墙并不会中断用户连接,也可以彻底加载,这时候会中断用户连接,也会丢弃状态信息:firewall-cmd –complete-reload

还可以添加一个端口范围:firewall-cmd –add-port=2000-4000/tcp

针对指定zone添加端口:firewall-cmd –permanent –zone=home –add-port=443/tcp

启动端口转发,例如把22端口转发到127.0.0.2:firewall-cmd –permanent –zone=home –add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2

以下是在CentOS7系统上操作Firewalld的方法。

查看firewalld是否开启

systemctl is-enabled firewalld

启动firewalld

systemctl start firewalld

停止firewalld

systemctl stop firewalld

查看firewalld状态

systemctl status firewalld

禁止firewall开机启动

systemctl disable firewalld.service

重新加载防火墙

firewall-cmd --reload

查看所有打开的端口

firewall-cmd --zone=public --list-ports

查看具体端口

firewall-cmd --zone= public --query-port=80/tcp

firewalld有zone和service的概念,每一个zone的规则不一样,默认有9个zone。centos7默认使用的zone是public。

firewalld的9个zone介绍

丢弃 drop : 任何流入网络的包都被丢弃,不作出任何响应。只允许流出的网络连接。

阻塞 block:任何进入的网络连接都被拒绝,并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。

公开 public:用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。

外部 external:用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。

隔离区dmz:用以允许隔离区(dmz)中的电脑有限地被外界网络访问。只接受被选中的连接。

工作 work:用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

家庭 home:用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

内部 internal:用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

受信任的 trusted:允许所有网络连接。

firewalld zone相关命令的用法

设置默认的zone:firewalld-cmd –set-default-zone=work

查看指定网卡所在的zone:firewall-cmd –get-zone-of-interface=eno16777736

设置指定网卡所在的zone:firewall-cmd –zone=public –add-interface=lo

更改指定网卡所在的zone:firewall-cmd –zone=dmz –change-interface=lo

删除指定网卡所在的zone:firewall-cmd –zone=dmz –remove-interface=lo

查看所有网卡所在的zone:firewall-cmd –get-active-zones

firewalld service介绍

在/usr/lib/firewalld/services/目录中,还保存了另外一类配置文件,每个文件对应一项具体的网络服务,如ssh服务等。

与之对应的配置文件中记录了各项服务所使用的tcp/udp端口,在最新版的firewalld中默认已经定义了70多种服务供我们使用。

zone就是调用了不同的service而实现了不同的效果。

列出所有的service:

firewall-cmd --get-services

列出当前zone下加载的service:

firewall-cmd --list-services

查看指定zone下面的service:

firewal-cmd --zone=public --list-services

给指定zone添加service:

firewall-cmd --zone=public --ad-service=http

这个改动不会保存到配置文件里,要想保存到配置文件里面,需要加上–permanent:

firewall-cmd --zone=public --add-service=http --permanent

既然可以增加,同样也可以删除,下面命令会从配置文件中永久删除public zone中的http服务:

firewall-cmd --zone=public --remove-service=http --permanent

原文出处:ziyuanniao -> http://www.ziyuanniao.com/post/96.html

  • 0
    点赞
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值