Firewalld防火墙维护和状态查询

Firewalld防火墙维护和状态查询

启动、停止、查看 firewalld服务

在安装CentOS7系统时,会自动安装firewalld和图形化工具firewall-config.执行以下命令可以启动firewalld并设置为开机自启动状态.

[root@hostname ~]# systemctl start firewalld		===>启动firewalld
[root@hostname ~]# systemctl enable firewalld	===>设置firewalld为开机自启动

如果firewalld正在运行,可以通过systemctl status firewalld 或 firewall-cmd 查看其运行状态

[root@hostname ~]# systemctl status firewalld	===>看看运行状态
或
[root@hostname ~]# firewall-cmd --state		===>查看运行状态

如果想要禁用firewalld,执行以下命令.

[root@hostname ~]# systemctl stop firewalld		===>停止firewalld

[root@hostname ~]# systemctl disable firewalld	===>设置firewalld开启不自启

获取预定义信息

firewall-cmd 预定义信息主要包括三种:可用的区域、可用的服务以及可用的ICMP阻塞类型,具体的查看命令如下所示.

[root@hostname ~]# firewall-cmd --get-zones	===>显示预定义的区域
[root@hostname ~]# firewall-cmd --get-service	===>显示预定义的服务
[root@hostname ~]# firewall-cmd --get-icmptypes	===>显示预定义的ICMP类型

firewall-cmd --get-icmptypes 命令的执行结果中各种阻塞类型的含义分别如下所示.

destination-unreachable:目的地址不可达.

echo-replay:应答回应(pong).

parameter-problem:参数问题.

redirect:重新定向.

router-advertisement:路由器通告.

router-solicitation:路由器征寻.

source-quench:源端抑制.

time-exceeded:超时.

timestamp-replay:时间戳应答回应.

timestamp-request:时间戳请求.

区域管理

使用firewall-cmd命令可以实现获取和管理区域,为指定区域绑定网络接口等功能.
firewall-cmd 区域管理的命令

[root@hostname ~]# firewall-cmd --get-default-zone	===>显示网络连接或接口的默认区域
[root@hostname ~]# firewall-cmd --get-default-zone=<zone>	===>设置网络连接或接口的默认区域
[root@hostname ~]# firewall-cmd --getactive-zones	===>显示已激活的所有区域
[root@hostname ~]# firewall-cmd --getzone-of-interface=<interface>	===>显示指定接口绑定的区域
[root@hostname ~]# firewall-cmd --zone=<zone> --add-interface=<interface>	===>为指定接口绑定区域
[root@hostname ~]# firewall-cmd --zone=<zone> --change-interface=<interface>	===>为指定的区域更改绑定的网络接口
[root@hostname ~]# firewall-cmd --zone=<zone> --remove-interface=<interface>	===>为指定的区域删除绑定的网络接口
[root@hostname ~]# firewall-cmd --zone=<zone> --list-all	===>显示所有区域及其规则(省略了"--zone=<zone>"表示显示所有指定区域的所有规则)

对默认区域操作命令

[root@hostname ~]# firewall-cmd --get-default-zone	===>显示当前系统中的默认区域
[root@hostname ~]# firewall-cmd --list-all	===>显示默认区域的所有规则
[root@hostname ~]# firewall-cmd --get-zone-of-interface=ens33		===>显示网络接口ens33对应区域
[root@hostname ~]# firewall-cmd --zone=<zone> --change-interface=ens33	===>将网络接口ens33对应区域更改为internal 区域
[root@hostname ~]# firewaall-cmd --get-active-zones		===>显示所有激活区域

服务管理

为了方便管理,firewalld预先定义了很多服务,存放在/usr/lib/firewalld/services/目录中,服务通过单个的XML配置文件来指定.这些配置文件则按以下格式命名:service-name.xml,每个文件对应以相具体的网络服务,如ssh服务等.与之对应的配置文件中记录了各项服务所使用的tcp/udp端口.在最新版本的firewalld中默认已经定义了70多种服务供我们使用,对于每个网络区域,均可以配置允许访问的服务.当默认提供的服务不适用或者需要自定义某项服务的端口时,我们需要将service配置文件放置在/etc/firewalld/services/目录中.service配置具有以下优点.

通过服务名字来管理规则更加人性化.

通过服务来组织端口分组的模式更加高效,如果一个服务使用了若干个网络端口,则服务的配置文件就相当于提供了到这些端口的规则服务管理的常用选项说明.

firewall-cmd 命令区域中服务管理的常用选项说明

[root@hostname ~]# firewall-cmd --zone=<zone> --list-services		===>显示指定区域内允许访问的所有服务
[root@hostname ~]# firewall-cmd --zone=<zone> --add-service=<service>		===>为指定区域设置允许访问的某项服务
[root@hostname ~]# firewall-cmd --zone=<zone> --remove-service=<service>		===>删除指定区域已设置的允许访问的某项服务
[root@hostname ~]# firewall-cmd --zone=<zone> --add-port=<portid>[-<portid>]/<protocol>		===>为指定区域设置允许访问的某个/某段端口号(包括协议号)
[root@hostname ~]# firewall-cmd --zone=<zone> --list-icmp-blocks	===>显示指定区域内拒绝访问的某项icmp类型
[root@hostname ~]# firewall-cmd --zone=<zone> --add-icmp-block=<icmptype>		===>为指定区域设置拒绝访问的某项icmp类型
[root@hostname ~]# firewall-cmd --zone=<zone> --remove-icmp-block=<icmptype>		===>删除指定区域已设置的拒绝访问的某项icmp类型,省略--zone=<zone>表示对默认区域操作

具体操作如下

[root@hostname ~]# firewall-cmd --list-services	===>显示默认区域内允许访问的所有服务
[root@hostname ~]# firewall-cmd --add-service=http	===>设置默认区域允许访问http服务
[root@hostname ~]# firewall-cmd --add-service=https	===>设置默认区域允许访问https服务

端口管理

在进行服务配置时,预定义的网络服务可以使用服务名配置,服务所涉及的端口就会自动打开.但是,对于非预定义的服务只能手动为指定的区域添加端口.

[root@hostname ~]# firewall-cmd --zone=internal --add-port=443/tcp	===>在internal区域打开443/TCP端口
[root@hostname ~]# firewall-cmd --zone=internal --remove-port=443/tcp	===>在internal区域禁止443/TCP端口访问

两种配置模式

前面提到firewall-cmd命令工具有两种配置模式:运行时模式(Runtime mode)表示当前内存中运行的防火墙配置,在系统或firewalld服务重启、停止时配置将失效:永久模式(Permanent mode)表示重启防火墙或重新加载防火墙时的规则配置,是永久存储在配置文件中的

firewall-cmd命令工具与配置模式相关的选项有三个.

[root@hostname ~]# firewall-cmd --reload:重新加载防火墙规则并保持状态信息,即将永久配置应用为运行时配置.
[root@hostname ~]# firewall-cmd --add-service=http --permanent:带有此选项的命令用于设置永久性规则,这些规则只有在重新启动firewalld或重新加载防火墙规则时才会生效;若不带有此选项,表示用于设置运行时规则.
[root@hostname ~]# firewall-cmd --runtime-to-permanent:将当前的运行时配置写入规则配置文件中,使之称为永久性配置