firewall-cmd命令配置

1)启动、停止、查看firewalld服务在安装CentOS 7系统时，会自动安装firewalld和图形化工具firewall-config。执行以下命令可以启动firewalld并设置为开机自启动状态。

如果firewalld正在运行，通过systemctl status firewalld 或firewall-cmd 命令可以查看其运行状态。

或

如果想要禁用firewalld,执行以下命令即可实现。

2)获取预定义信息
firewall-cmd预定义信息主要包括三种:可用的区域、可用的服务以及可用的ICMP阻塞类型,具体的查看命令如下所示。

firewall-cmd --get-icmptypes 命令的执行结果中各种阻塞类型的含义分别如下所示。
➢destination-unreachable: 目的地址不可达。
➢echo-reply: 应答回应(pong).
➢parameter- - problem:参数问题。
➢redirect: 重新定向。
➢router-advertisement:路由器通告。
➢router-solicitation: 路由器征寻。
➢source- quench:源端抑制。
➢time-exceeded: 超时。
➢timestamp-reply:时间戳应答回应。
➢timestamp-request: 时间戳请求。
3)区域管理
使用firewall-cmd命令可以实现获取和管理区域，为指定区域绑定网络接口等功能。表2-2中列出了firewall-cmd命令的区域管理选项说明。

具体操作如”下所示。
(1) 显示当前系统中的默认区域。

(2)显示默认区域的所有规则。

(3) 显示网络接口ens33对应区域。

(4) 将网络接口ens33对应区域更改为internal区域。

(5) 显示所有激活区域。

4)服务管理

为了方便管理，firewalld 预先定义了很多服务，存放在，/usr/lib/firewalld/services/ 目录中,服务通过单个的XML配置文件来指定。这些配置文件则按以下格式命名: service- -name . xml,每个文件对应一项具体的网络服务，如ssh 服务等。与之对应的配置文件中记录了各项服务所使用的tcp/udp端口。在最新版本的firewalld 中默认已经定义了70多种服务供我们使用，对于每个网络区域，均可以配置允许访问的服务。当默认提供的服务不适用或者需要自定义某项服务的端口时，我们需要将service 配置文件放置在/etc/firewalld/services/ 目中。service 配置具有以下优点。

➢通过服务 名字来管理规则更加人性化。
➢通过服务来组织端口分组的模式更加高效，如果一个服务使用了若千个网络端口，则服务的配置文件就相当于提供了到这些端口的规则管理的批量操作快捷方式。
表2-3列出了firewall-cmd 命令区域中服务管理的常用选项说明。

(1) 为默认区域设置允许访问的服务。

(2)为internal区域设置允许访问的服务。

5)端口管理
在进行服务配置时,预定义的网络服务可以使用服务名配置,服务所涉及的端口就会自动打开。但是,对于非预定义的服务只能手动为指定的区域添加端口。例如，执行以下操作即可实现在internal区域打开443/TCP端口。

若想实现在internal区域禁止443/TCP端口访问，可执行以下命令

6)两种配置模式
前面提到firewall-cmd命令工具有两种配置模式:运行时模式(Runtimemode) 表示当前内存中运行的防火墙配置，在系统或firewalld服务重启、停止时配置将失效:永久模式(Permanent mode)表示重启防火墙或重新加载防火墙时的规则配置，是永久存储在配置文件中的。
firewall-cmd命令工具与配置模式相关的选项有三个。
➢-- -reload: 重新加载防火墙规则并保持状态信息，即将永久配置应用为运行时配置。
➢-- -permanent:带有此选项的命令用于设置永久性规则，这些规则只有在重新启动firewalld或重新加载防火墙规则时才会生效:若不带有此选项，表示用于设置运行时规则。
➢-- runtime- -to-permanent:将当前的运行时配置写入规则配置文件中,使之成为永久性配置。