Linux中防火墙firewalld

一.防火墙firewalld

1.什么是防火墙

防火墙：防范一些网络攻击。有软件防火墙、硬件防火墙之分。防火墙选择让正常请求通过，从而保证网络安全性。

2.Linux中的防火墙分类

CentOS5、CentOS6 => 防火墙 => iptables防火墙
CentOS7 => 防火墙 => firewalld防火墙

注：firewalld = fire火 wall墙 daemon守护进程

3.firewalld防火墙

firewalld增加了区域(zone)的概念，所谓区域是指，firewalld预先准备了几套防火墙策略的集合，类似于策略的模板，用户可以根据需求选择区域。

案例：在Linux系统中安装httpd服务（Web服务），占用计算机的80端口。

# yum install httpd -y
# systemctl start httpd

安装启动完成后，在浏览器中，输入http://服务器的IP地址/即可访问httpd服务页面。

以上问题的原因在于：firewalld防火墙已经把httpd（80端口）屏蔽了，所以没有办法访问这台服务器的80端口（httpd服务）。

临时解决办法：

# systemctl stop firewalld

运行模式：此模式下，配置的防火墙策略立即生效，但是不写入配置文件
永久模式：此模式下，配置的防火墙策略写入配置文件，但是需要reload重新加载才能生效。

二.防火墙设置

1.防火墙的启动、停止以及查看运行状态

①查看运行状态

# systemctl status firewalld

②停止防火墙（学习环境任意操作，生产环境一定不要停止防火墙）

# systemctl stop firewalld

注：防火墙一旦停止，其设置的所有规则会全部失效！

③启动防火墙

# systemctl start firewalld

2.防火墙重启与重载操作

①重启操作

# systemctl restart firewalld

注：restart = stop + start，重启首先停止服务，然后在重新启动服务

②重载操作

# systemctl reload firewalld

注：我们对防火墙的配置文件做了更改（永久模式），需要使用reload进行重载让其立即生效。
reload并没有停止正在运行的防火墙服务，只是在服务的基础上变换了防火墙规则。

3.把防火墙设置为开机启动与开机不启动

①开机启动

# systemctl enable firewalld

②开机不启动

# systemctl disable firewalld

三.firewalld防火墙规则

1.firewalld管理工具

基本语法：

# firewall-cmd [选项1] [选项2] [...N]

2.查看防火墙默认的区域（zone）

# firewall-cmd --get-default-zone

3.查看所有支持的区域（zones）

# firewall-cmd --get-zones

注：为什么要有区域的概念：其实不同的区域就是不同的规则。

4.查看当前区域的规则设置

# firewall-cmd --list-all

5.查看所有区域的规则设置

# firewall-cmd --list-all-zones

6.添加允许通过的服务或端口（重点）

① 通过服务的名称添加规则

# firewall-cmd --zone=public --add-service=服务的名称
备注：服务必须存储在/usr/lib/firewalld/services目录中

案例①：把http服务添加到防火墙的规则中，允许通过防火墙

# firewall-cmd --zone=public --add-service=http

案例②：把http服务从防火墙规则中移除，不允许其通过防火墙

# firewall-cmd --zone=public --remove-service=http
# firewall-cmd --list-all

② 通过服务的端口号添加规则

# firewall-cmd --zone=public --add-port=端口号/tcp

案例①：把80/tcp添加到防火墙规则中，允许通过防火墙

# ss -naltp | grep httpd
httpd :::80
# 允许80端口通过firewalld防火墙
# firewall-cmd --zone=public --add-port=80/tcp

案例②：从firewalld防火墙中把80端口的规则移除掉

# firewall-cmd --zone=public --remove-port=80/tcp

7.永久模式permanent

在Linux的新版防火墙firewalld中，其模式一共分为两大类：运行模式（临时模式）+ 永久模式。
运行模式：不会把规则保存到防火墙的配置文件中，设置完成后立即生效。
永久模式：会把规则写入到防火墙的配置文件中，但是其需要reload重载后才会立即生效。

# 根据服务名称添加规则（永久）
# firewall-cmd --zone=public --add-service=服务名称 --permanent
# firewall-cmd --reload

# 根据端口号添加规则（永久）
# firewall-cmd --zone=public --add-port=服务占用的端口号 --permanent
# firewall-cmd --reload

案例①：把80端口添加到firewalld防火墙规则中，要求永久生效

# firewall-cmd --zone=public --add-port=80/tcp --permanent
# firewall-cmd --reload

# firewall-cmd --list-all