centos7  firewall防火墙操作

1：防火墙：centos7中firewalld是默认的防火墙,而不再是iptables。 防火墙firewall工具：

防火墙firewall工具：

  （1）：firewall-config 图形化工具（操作方便）

  （2）：firewall-cmd  命令工具（通过命令进行管理相比与iptables简化方便）

防火墙类型：firewalld、ipatbles、ebtables等。

拥有运行时配置和永久配置选项，支持直接添加防火墙规则。

2：firewalld的原则：一个原地址只能匹配一个区域。

匹配顺序：1、所经过的网卡接口。

  2、原地址，原区域。

      3、使用默认。

3：有效的区域。

1：丢弃区域Drop：任何进入的数据包将被丢弃。

2：阻塞区域Block：拒绝进入的网络连接，只有服务器已建立的连接会被通过。

3：公共区域Public：只接受那些被选中的连接，默认ssh和dhcpv6-client。

4：外部区域External：相当于路由器启用伪装，指定连接被接受。

5：隔离区域DMZ：只允许部分服务被外部访问。

6：信任区域Trusted：允许所有网络通过。

4：firewall-cmd基本命令。

1：查看状态：firewall-cmd--statc

2：重新加载：firewall-cmd--rcload

3：获取区域列表：firewall-cmd --get-zones

4：获取支持服务：firewall-cm--get-services

5：获取支持ICMP类型：firewall-cmd --get-icmptypes

6：列出全部启用区域：firewall-cmd -list-all-zones

7：查看指定区域：firewall-cmd --zone=[区域名称]  --list-all

8：查看默认区域：firewall-cmd  --get-default-zone

9：设置默认区域：firewall-cmd   --set-default-zone=[区域名]

10：查看活动区域：firewall-cmd--get-active-zones

11：查看接口绑定某个区域：firewall-cmd  --get-zone-of-ineterface

12：将接口添加到区域：firewall-cmd  [--zone=区域名] --add-interface=接口名

13：修改接口区域： firewall-cmd [--zone=区域名] --change-interface=接口名

14：从区域删除一个接口： firewall-cmd [--zone=区域名] --remove-interface=接口名

15：查看区域中是否包含接口： firewall-cmd [--zone] --qurey-interace=接口名

16：查看区域中启动服务：firewall-cmd [--zone区域名] --change-interface=接口名

17：启用应急模式：firewall-cmd  --panic-on

18：禁用应急模式：firewall-cmd  --panic-off

19：查询应急模式：firewall-cmd  --query-panic

    20：查询区域中启用的服务：firewall-cmd  --list-services

        如果区域被忽略，可以使用默认区域：firewall-cmd --list-services --zone=home

5：处理运行区域：重新加载失效。

1：给某个区域开启某个服务[可以设置秒数]：firewall-cmd --zone=区域名 --add-service=服务 --timeout=秒数    （秒数可选添加）

2：关闭区域某个服务： firewall-cmd --zone=区域 --remove-service=服务

3：查看区域是否启用服务： firewall-cmd  --zone=区域名 --query-service=服务名

4：启用区域端口或协议组合：firewall-cmd --zone=区域名 --add-port=端口号/协议

   查看区域内的端口号：firewall-cmd --zone=区域名 --list-all

5：禁用端口和协议： firewall-cmd zone=区域名 --remove-port=端口号/协议

6：查看区域是否启用端口和协议：firewall-cmd --zone=区域 --query-port=端口号/协                             议

7：启用区域中IP伪装：firewall-cmd  --zone=区域 --add-masquerade

8：禁止区域IP伪装：firewall-cmd  --zone=区域 --remove-masquerade

9：查看区域伪装状态：firewall-cmd  --zone=区域 --query-masquerade

10：启用区域的ICMP阻塞功能：firewall-cmd --zone=区域 --add-icmp-block=icmp类型

11：禁止ICMP：firewall-cmd --zone=区域 --remove-icmp-block=icmp类型

12：查看ICMP：firewall-cmd --zone=区域 --quert-icmp-block=icmp类型

6：处理永久区域：

1：获取永久选项所以支持服务：。firewall-cmd --permanent --get-services

2：支持的ICMP服务： firewall-cmd --permanent --get-icmptypes。

3：支持的永久区域：firewall-cmd --permanent --get-zones。

4：配置防火墙在public区域打开http协议，并保存重启生效

       firewall-cmd --permanent --zone=public --add -service=http

 查看永久模式下public区域是否打开http服务

 firewall-cmd --permanent --zone=public --query-service=http

5：开放8080端口在public区域：

   firewall-cmd --permanent --zone=public --add-port=8080/tcp

6：配置富规则：

       查看富规则：firewall-cmd --list-rich-rules

       创建富规则：firewall-cmd --add-rich-rule  'rule family=ipv4 source address=地址/子网掩码 service name=ftp log prefix="ftp" level=info accept ' --permanent

                 firewall-cmd --add-rich-rule  'rule family=ipv4 source address=地址/子网掩码port  port=80  protocol=tcp  log prefix="80" level=info accept ' --permanent

                  firewall-cmd --add-rich-rule  'rule family=ipv4 source address=地址/子网掩码 forward-port port="8080" protocol='tcp' to-port="80" to-addr="地址"

    富规则中使用伪装功能可以更精确详细的限制

      firewall-cmd --add-rich-rule 'rule family=ipv4 source address=地址/子网掩码 masquerade'

7：删除rich规则：firewall-cmd --permanent --zone=public --remove-rich-rule='rule family=ipv4 source address=地址/子网掩码 source name=服务 reject'

8：劲允许部分IP访问：：firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="地址/子网掩码" port portocol="协议" port="端口号" accept"

9：创建rich：firewall-cmd --permanent  --zone=public  --add-rich-rule="rule family="ipv4" source adress="地址/子网掩码" port  port=端口号 protocol="协议"  log  prefix=proxy  level=wraning  accept"

可以通过/var/log/messages查看日志文件