CentOS7 Firewalld笔记

最新推荐文章于 2024-07-17 20:41:49 发布
最新推荐文章于 2024-07-17 20:41:49 发布
阅读量437 收藏
点赞数
分类专栏： Linux 文章标签： firewall linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xueguan_luo/article/details/94462498
版权

文章目录

初识firewalld

Firewalld是一种防火墙管理解决方案，充当Linux内核提供的iptables包过滤系统的前端。centos7版本对防火墙进行加强，不再使用原来的iptables命令进行管理，启用firewalld管理防火墙规则。

  • firewalld管理防火墙规则的模式（动态）的好处: iptables每一个更改都需要先清除所有旧有的规则，然后重新加载所有的规则；而firewalld任何规则的变更都不需要对整个防火墙规则重新加载，只需要将变更部分保存并更新到运行中的iptables即可。
  • firewalld默认出口是全放开的。
  • firewall daemon无法解析由iptables(针对IP层)和ebtables(针对数据链路层)命令行工具添加的防火墙规则。
  • firewalld有命令行和图形界面配置工具，它仅仅是替代了iptables service部分，其底层还是使用iptables作为防火墙规则管理入口。
  • firewalld和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter。

安装

CentOS7默认已自带,如需要自行安装，可直接用yum安装。

yum -y install firewalld
yum -y install firewall-config #图形界面使用

注意: firewalld跟iptables不能同时使用，所以在使用firewalld之前首先需要将iptables停用。

相关文件

  • firewalld配置文件**/etc/firewalld/**
    • /etc/firewalld/firewalld.conf 主配置文件，只有五个配置项
      • DefaultZone：默认使用的zone;
      • MinimalMark：使用标记mark的数量限制;
      • CleanuupOnExit：退出后是否清除防火墙规则;
      • Lockdown：是否限制别的程序通过D-BUS接口直接操作firewalld；
      • IPv6_rpfilter：判断所接受到的包是否是伪造的
    • /etc/firewalld/zones: 保存zone配置文件，可在文件中直接改动，改完后需要进行重启服务。
    • /etc/firewalld/services: 保存service配置文件，默认为空。
    • /etc/firewalld/icmptypes: 保存和icmp类型相关的配置文件，默认为空。
  • 模板配置文件在/usr/lib/firewalld/service/和/usr/lib/firewalld/zones/，注意这只是模块，与更改后的配置不一定相同。
  • firewall-config是图形化工具
  • firewall-cmd是命令行工具

基础概念

zone的概念

zone区域: 区域基本上是一组规则，规定应允许哪些流量，具体取决于您在计算机所连接的网络中的信任级别。为网络接口分配一个区域，以指示防火墙应允许的行为。在某一个Zone里，具体定义了service、prots、protocols、masquerading、port/packet forwarding、icmp filters和rich rules等细节。

简单来说，Zone是防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。这对于可能经常在网络之间移动的计算机（如笔记本电脑），这种灵活性提供了一种根据您的环境更改规则的好方法，例如在公共WiFi网络上运行时，您可能有严格的规则禁止大多数流量，而连接到家庭网络时允许更宽松的限制。对于服务器，这些区域不是那么重要，因为网络环境很少发生变化。

默认有9个Zone包括，其中默认的Zone是public:

  • drop(丢弃)：最低级别的信任。删除所有传入连接而不进行回复，只能进行传出连接。

  • block(限制)：与上面类似，但不是简单地删除连接，而是使用icmp-host-prohibited或icmp6-adm-prohibited消息拒绝传入的请求。

  • public(公共)：代表公共的，不受信任的网络。您不信任其他计算机，但可能会根据具体情况允许选定的传入连接。

  • external(外部)：如果您使用防火墙作为网关，则为外部网络。它配置为NAT伪装，以便您的内部网络保持私有但可访问。

  • internal(内部)：外部区域的另一侧，用于网关的内部部分。计算机相当值得信赖，并提供一些额外的服务。

  • dmz(非军事区)：用于位于DMZ中的计算机（无法访问网络其余部分的独立计算机）。仅允许某些传入连接。

  • work(工作)：使用在公司环境，信任网络中的大多数计算机，可能会允许更多服务。

  • home(家庭)：使用在家庭环境，它通常意味着您信任大多数其他计算机，并且将接受更多服务。

  • trusted(信任)：信任网络中的所有计算机。最开放的可用选项，应谨慎使用。

    说明: 要使用防火墙，我们可以创建规则并更改区域的属性，然后将网络接口分配给最合适的区域。

查看Zone的模板文件：

[root@localhost ~]# cat /usr/lib/firewalld/zones/public.xml 
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
</zone>
[root@localhost ~]#

zone的优先级

对于一个接受到的请求具体使用哪个zone，firewalld是通过三种方法来判断的：

  1. source，也就是源地址，相同的source节点只可以在一个zone中进行配置
  2. interface，接收请求的网卡
  3. firewalld.conf中配置的默认zone

这三个的优先级按顺序依次降低，也就是说如果按照source可以找到就不会再按interface去查找，如果前两个都找不到才会使用第三个。

interface接口

Interfaces （接口）是系统中的硬件和虚拟的网络适配器的名字。所有的活动的接口都将被分配到区域，要么是默认的区域，要么是用户指定的一个区域。但是，一个接口不能被分配给多于一个的区域。

除非您已经配置了网络接口，否则在引导防火墙时，每个接口都将被置于默认区域中。

在缺省配置中，firewalld 设置所有接口为 public 区域，并且不对任何区域设置源。其结果是，public 区域是唯一的活动区域。

source源

Sources （源）是入站 IP 地址的范围，它也可以被分配到区域。一个源（或重叠的源）不能被分配到多个区域。这样做的结果是产生一个未定义的行为，因为不清楚应该将哪些规则应用于该源。

因为指定一个源不是必需的，任何包都可以通过接口匹配而归属于一个区域，而不需要通过源匹配来归属一个区域。Firewalld通过使用优先级方式，优先到达多个指定的源区域，

常用命令

firewalld服务维护

systemctl start firewalld               #启动
systemctl status firewalld              #查状态
systemctl stop firewalld                #停止
systemctl enable firewalld              #设置开机时启用服务
systemctl disable firewalld             #设置开机时禁用服务
systemctl is-enabled firewalld          #查看服务是否开机启动
systemctl list-unit-files|grep enabled  #查看已启动的服务列表
systemctl --failed                      #查看启动失败的服务列表
firewall-cmd --version                  #查看版本
firewall-cmd --help                     #查看帮助
firewall-cmd --state                    #查看防火墙状态

firewalld临时或永久修改配置

下面的的临时修改将在下次重新加载时被覆盖：

firewall-cmd <some modification>

以下的改变在重加载后会永久保存：

firewall-cmd --permanent <some modification> #--permanent 存储到配置文件中，但不会立即生效
firewall-cmd --reload                   #更新防火墙规则
firewall-cmd --complete-reload          #重新加载防火墙，中断用户的连接

注意: 查询的命令中，不加–permanent选项时，只列出已生效的设置项。如果需要列出永久配置的设置项(不管是否生效)，需要加上–permanent选项。

查看firewalld的信息

#整体的信息
firewall-cmd --get-zones                     #查看所有区域
firewall-cmd --get-services                  #查看当前区域支持的所有服务
firewall-cmd --get-icmptypes                 #查看支持的所有ICMP类型
#当前区域信息
firewall-cmd --list-all                      #查看此区域内的所有配置，类似与iptables -L -n
firewall-cmd --list-services                 #查看当前区域已启动的服务列表
firewall-cmd --list-rich-rules               #查看rich规则列表
firewall-cmd --query-masquerade              #查询SNAT的状态， yes/no
firewall-cmd --query-interface=ens33         #确定该网卡接口是否存在于此区域， yes/no

管理Zone

绑定Source和interface

##Source绑定
firewall-cmd --add-source=192.168.10.1/24 --zone=drop  #作用在指定区域
firewall-cmd --add-source=192.168.1.13  			#作用在默认区域
firewall-cmd --remove-source=192.168.1.13  			#取消源IP为192.168.1.12的包作用在drop区域
firewall-cmd --get-zone-of-source=192.168.10.1/24   #反向查询source所属的zone(不能网段里的单个ip查)
firewall-cmd --list-sources --zone=drop             #用于列出指定zone的所有绑定的source地址
firewall-cmd --get-active-zones                     #查看active zone信息
##Interface绑定
firewall-cmd --change-interface=ens33 [--zone=zone] #设置zone绑定的网卡，同时会使该zone激活
firewall-cmd --zone=drop -add-interface=ens33   #作用在指定区域，和上面类似
firewall-cmd --add-interface=ens33   			#作用在默认区域
firewall-cmd --remove-interface=ens33  			#禁止ens33网卡作用在drop区域
firewall-cmd --get-zone-of-interface=interface  #反向查询interface所属的zone
##综合查询状态
firewall-cmd --get-active-zones                 #查看当前起作用的zone
firewall-cmd --list-all                         #查看此区域内的所有配置

注意:

  • 除非您已经配置了网络接口，否则在引导防火墙时，每个接口都将被置于默认区域中。
  • 对于双网卡，可能通过绑定到不同区域，使内网网卡不受防火墙限制，例如外网卡在public而内网卡在trusted区域。
  • 对于永久绑定网卡到Zone，有两个可以配置的位置：zone所对应的xml配置文件，或者网卡配置文件（也就是ifcfg-*文件）
    ifcfg-*文件加上如下配置，相当于firewall-cmd --zone=public --change-interface=ens33
ZONE=public

或使用nm-connection-editor工具:

nmcli connection modify conn_name connection.zone zone_name

切换区域

通过firewalld.conf配置文件的DefaultZone配置项来配置的，也可以使用firewall-cmd命令来配置

firewall-cmd --zone=public --change-interface=ens33  #把网卡切换到另一个Zone
firewall-cmd --get-zones                             #查看所有区域
firewall-cmd --get-active-zones                      #查看当前正在使用的区域及绑定的interface
firewall-cmd --get-default-zone                      #查看当前的默认区域
firewall-cmd --set-default-zone=home		         #设置默认区域

target

zone规则中首先最重要的是target的设置，target主要用于接受，拒绝或丢弃与任何规则不匹配的每个数据包，即该区域对每个数据包匹配不到的规则时的默认行为。
在xml文件中target是zone节点的一个属性，有四个取值: default、ACCEPT、%%REJECT%%、DROP。

firewall-cmd --permanent [--zone=zone] --get-target #获取该Zone的target值
firewall-cmd --permanent [--zone=zone] --set-target=<target> #设置该Zone的target值
firewall-cmd --reload                   #更新防火墙规则

panic模式

firewall-cmd --list-ports --zone=public #查看public区域所有打开的端口
firewall-cmd --panic-on                 #紧急模式，强制关闭所有网络连接
firewall-cmd --panic-off                #关闭紧急模式
firewall-cmd --query-panic              #查看是否在紧急模式

管理规则

端口或服务规则

iptables使用端口号来匹配规则，需要记住端口与服务的对应关系，当某一个服务的端口号改变了，同时要更改对应的iptable的规则，配置比较麻烦也不方便阅读理解。而使用服务则大大简化了配置。
服务的定义在/usr/lib/firewalld/services/下，注意修改模板文件并加载后就改变该服务的规则。模板如下例:

[root@localhost ~]# cat /usr/lib/firewalld/services/ssh.xml 
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>
[root@localhost ~]#

service相应的配置命令:

firewall-cmd --get-services                 #列出所有services
firewall-cmd [--zone=zone] --list-services  #列出该Zone当前加载的service
firewall-cmd [--permanent] [--zone=zone] --add-service=service [--timeout=seconds]
firewall-cmd [--permanent] [--zone=zone] --remove-service=service
firewall-cmd [--permanent] [--zone=zone] --query-service=service

注意: --add-service中的–timeout的含义是这样的：添加一个服务，但是不是一直生效而是生效一段时间，过期之后自动删除。
另外，使用port可以不通过service而直接对端口进行设置

firewall-cmd [--permanent] [--zone=zone] --list-ports
firewall-cmd [--permanent] [--zone=zone] --add-port=portid[-portid]/protocol [--timeout=seconds]
firewall-cmd [--permanent] [--zone=zone] --remove-port=portid[-portid]/protocol
firewall-cmd [--permanent] [--zone=zone] --query-port=portid[-portid]/protocol

添加端口或服务规则

##服务
firewall-cmd --zone=public --add-service=https        #在区域开放https服务
firewall-cmd --zone=public --remove-service=https     #取消开放https服务，即禁止https服务
firewall-cmd --zone=public --query-service=https		#查询区域是否允许https服务的流量
##端口(本次)
firewall-cmd --zone=public --add-port=22/tcp          #开放22端口
firewall-cmd --zone=public --remove-port=22/tcp       #取消开放22端口
firewall-cmd --zone=public --add-port=8080-8081/tcp   #开放8080和8081端口
firewall-cmd --zone=public --list-ports               #查询区域开放了哪些端口
##端口(永久)
firewall-cmd --zone=public --add-port=8080/tcp --permanent
firewall-cmd --zone=public --add-port=3306/tcp --permanent
firewall-cmd --reload  # 重新加载后才能生效
firewall-cmd --zone=public --query-port=3306/tcp
firewall-cmd --zone=public --query-port=8080/tcp
##协议
firewall-cmd --zone=public --add-protocol=icmp        #允许icmp协议流量，即允许ping
firewall-cmd --zone=public --remove-protocol=icmp     #取消允许icmp协议的流量，即禁ping
firewall-cmd --zone=public --list-protocols           #查询区域开放了哪些协议
##查询状态
firewall-cmd --get-active-zones                       #查看当前起作用的zone
firewall-cmd --list-all                               #查看此区域内的所有配置，类似与iptables -L -n

端口转发forward-port

进行端口转发的，比如我们要将在80~82端口接收到tcp请求转发到本机8080端口可以使用下面的命令

firewall-cmd --add-forward-port=port=80-82:proto=tcp:toport=8080

相应的配置命令:

firewall-cmd [--permanent] [--zone=zone] --list-forward-ports
firewall-cmd [--permanent] [--zone=zone] --add-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]][--timeout=seconds]
firewall-cmd [--permanent] [--zone=zone] --remove-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]]
firewall-cmd [--permanent] [--zone=zone] --query-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]]

例子:

#将原本访问本机888端口的流量转发到本机22端口
firewall-cmd --zone=public --add-forward-port=port=888:proto=tcp:toport=22
#将原本访问本机888端口的流量转发到ip为192.168.2.208的主机的22端口，需要开启masquerade
firewall-cmd --zone=public --add-masquerade
firewall-cmd --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.2.208

伪装masquerade(SNAT)

ip地址伪装，也就是NAT转发中的一种，具体处理方式是将接收到的请求的源地址设置为转发请 求网卡的地址

firewall-cmd [--permanent] [--zone=zone] --add-masquerade [--timeout=seconds]
firewall-cmd [--permanent] [--zone=zone] --remove-masquerade
firewall-cmd [--permanent] [--zone=zone] --query-masquerade

例子:

##将来自局域网192.168.2.0/24网段访问外网的流量映射为网络出口公网IP，即修改源IP地址
firewall-cmd --zone=work --add-masquerade
firewall-cmd --zone=work --add-rich-rule="rule family=ipv4 source address=192.168.2.0/24 masquerade"
firewall-cmd --zone=work --query-masquerade

报文阻塞icmp-block

icmp-block是按照icmp的类型进行设置阻塞，比如我们不想接受ping报文就可以使用下面的命令来设置

firewall-cmd --add-icmp-block=echo-request

相应的配置命令:

firewall-cmd [--permanent] [--zone=zone] --list-icmp-blocks
firewall-cmd [--permanent] [--zone=zone] --add-icmp-block=icmptype [--timeout=seconds]
firewall-cmd [--permanent] [--zone=zone] --remove-icmp-block=icmptype
firewall-cmd [--permanent] [--zone=zone] --query-icmp-block=icmptype

专家模式direct rules

对于熟悉iptables的专家，firewalld 提供了一个直接direct接口，通过 firewall-cmd 工具,可以使用 --direct 选项在运行时间里传递原始 iptables 命令。
如果不熟悉 iptables ,使用直接接口非常危险,因为您可能无意间导致防火墙被入侵。直接端口模式适用于服务或者程序,以便在运行时间内增加特定的防火墙规则。直接端口模式添加的规则优先应用。
注意: direct接口规则不是持久的，除非使用 --permanent。

##添加规则
firewall-cmd --direct --remove-rule ipv4 filter IN_public_allow 0 -p tcp --dport 80 -j ACCEPT
##删除规则
firewall-cmd --direct --remove-rule ipv4 filter IN_public_allow 10 -p tcp --dport 80 -j ACCEPT
##列出规则:
firewall-cmd --direct --get-all-rules
##列出所有chains
firewall-cmd --direct --get-all-chains

修改iptables中的链

##设置ip伪装
firewall-cmd --zone=internal --add-masquerade --permanent
firewall-cmd --reload
firewall-cmd --direct --add-rule ipv4 nat POSTROUTING 0 -o eth1 -j MASQUERADE 
firewall-cmd --direct --add-rule ipv4 filter FORWARD 0 -i eth0 -o eth1 -j ACCEPT 
firewall-cmd --direct --add-rule ipv4 filter FORWARD 0 -i eth1 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
##将某个IP范围列入黑名单
firewall-cmd --direct --add-chain ipv4 raw blacklist
firewall-cmd --direct --add-rule ipv4 raw PREROUTING 0 -s 192.168.0.0/24 -j blacklist
firewall-cmd --direct --add-rule ipv4 raw blacklist 0 -m limit --limit 1/min -j LOG 00log-prefix "blacklisted"
firewall-cmd --direct --add-rule ipv4 raw blacklist 1 DROP

富规则rich rule

rich rule相当于iptables的一条规则，其中操作命令如下:

firewall-cmd [--permanent] [--zone=zone] --list-rich-rules
firewall-cmd [--permanent] [--zone=zone] --add-rich-rule='rule' [--timeout=seconds]
firewall-cmd [--permanent] [--zone=zone] --remove-rich-rule='rule'
firewall-cmd [--permanent] [--zone=zone] --query-rich-rule='rule'

说明: 结合–timeout参数，可以用于自动化脚本
其模板定义如下:

<zone>
    <rule [family="ipv4|ipv6"]>
               [ <source address="address[/mask]" [invert="bool"]/> ]
               [ <destination address="address[/mask]" [invert="bool"]/> ]
               [
                 <service name="string"/> |
                 <port port="portid[-portid]" protocol="tcp|udp"/> |
                 <protocol value="protocol"/> |
                 <icmp-block name="icmptype"/> |
                 <masquerade/> |
                 <forward-port port="portid[-portid]" protocol="tcp|udp" [to-port="portid[-portid]"] [to-addr="address"]/>
               ]
               [ <log [prefix="prefixtext"] [level="emerg|alert|crit|err|warn|notice|info|debug"]/> [<limit value="rate/duration"/>] </log> ]
               [ <audit> [<limit value="rate/duration"/>] </audit> ]
               [ <accept/> | <reject [type="rejecttype"]/> | <drop/> ]
     </rule>
</zone>

例子:

##把1.1.1.1的souce全部drop掉
firewall-cmd --add-rich-rule='rule family="ipv4" source address="1.1.1.1" drop'
##将源192.168.2.2地址加入白名单，以允许来自这个源地址的所有连接
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.2.2" accept'
##拒绝来自public区域中IP地址为192.168.0.11的所有流量
firewall-cmd --zone=public --add-rich-rule='rule family=ipv4 source address=192.168.0.11/32 reject'
##在192.168.1.0/24子网的dmz区域中，接收端口7900--1905的所有TCP包
firewall-cmd --zone=dmz --add-rich-rule='rule family=ipv4 source address=192.168.1.0/24 port port=7900-1905 protocol=tcp accept'
##在接下来的5min内，拒绝从默认区域中的子网192.168.2.0/24到DNS的新连接，并且拒绝的连接将记录到audit系统，且每小时最多一条消息
firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.2.0/24 service name=dns audit limit value="1/h" reject' --timeout=300
#查看规则
firewall-cmd --list-rich-rules #列出当前生效的(reload后)
firewall-cmd --permanent --list-rich-rules #列出生效与不生效的

IP封禁

使用rich rule进行封禁

firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='222.222.222.222' drop"  #封禁单个IP
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='222.222.222.0/24' drop" #封禁IP段
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=192.168.1.2 port port=80  protocol=tcp  drop" #封禁单个IP的某个端口
firewall-cmd --reload
firewall-cmd --list-rich-rules #列出当前生效的(reload后)

利用ipset进行封禁
注: ipset相当于iptable的扩展，它和iptable 处理方式，iptable通过链表线性存储然后遍历来实现匹配。而ipset通过通过索引的数据结构设计达到快速匹配。这种设计使得当set配置比较庞大的时候，也可以高效地进行匹配。

firewall-cmd --get-ipset-types 
#单IP
firewall-cmd --permanent --zone=public --new-ipset=blacklist --type=hash:ip
firewall-cmd --permanent --zone=public --ipset=blacklist --add-entry=222.222.222.222
firewall-cmd --permanent --zone=public --add-rich-rule='rule source ipset=blacklist drop'
#网段
firewall-cmd --permanent --zone=public --new-ipset=blacklistnet --type=hash:net
firewall-cmd --permanent --zone=public --ipset=blacklistnet --add-entry=222.222.222.0/24
firewall-cmd --permanent --zone=public --add-rich-rule='rule source ipset=blacklistnet drop'
#删除条目
firewall-cmd --permanent --ipset=blacklist --remove-entry=222.222.222.222
#查询
firewall-cmd --reload #生效
firewall-cmd --get-ipsets
firewall-cmd --info-ipset=blacklist
ls -l /etc/firewalld/ipsets
#删除ipset
firewall-cmd --permanent --delete-ipset=blacklist

其他

创建一个新的Zone

firewall-cmd --get-zones                   #查看所有区域
firewall-cmd --get-services                #查看当前区域支持的服务
#增加新的Zone
firewall-cmd --permanent --new-zone=test   #增加新Zone
firewall-cmd --reload					   #生效
#添加持久性的 HTTP 和 HTTPS 规则：
firewall-cmd --zone=test --add-service=ssh --permanent
firewall-cmd --list-all --zone=test 
#开启端口25(SMTP)和端口465 (SMTPS) ：
firewall-cmd --zone=test --add-service=smtp  --permanent
firewall-cmd --zone=test --add-service=smtps --permanent
#开启 IMAP、IMAPS、POP3和POP3S端口：
firewall-cmd --zone=test --add-service=imap  --permanent
firewall-cmd --zone=test --add-service=imaps --permanent
firewall-cmd --zone=test --add-service=pop3  --permanent
firewall-cmd --zone=test --add-service=pop3s --permanent
#绑定source
firewall-cmd --zone=test --permanent --add-source=192.168.1.12  #作用在指定区域
#配置生效
firewall-cmd --reload	#生效
firewall-cmd --get-default-zone #默认区域为public
#网卡切换
firewall-cmd --change-interface=ens33 --zone=test   #把网卡切换到另一个区域
firewall-cmd --get-active-zones						#test区域已为活动状态
firewall-cmd --get-default-zone                     #查看当前的默认区域, 仍为public

定义一个新的服务

最简单的方法是将现有脚本（找到/usr/lib/firewalld/services）复制到/etc/firewalld/services防火墙查找非标准定义的目录。

cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml

然后，编辑该元数据文件，需要更改<short>标记内服务的短名称，这是一个可读的服务名称。您还应该添加说明，以便在需要审核服务时获得更多信息。实际影响服务功能所需的唯一配置可能是端口定义，您可以在其中标识要打开的端口号和协议。

cat /etc/firewalld/services/example.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>Example Service</short>
  <description>This is just an example service.  It probably shouldn't be used on a real system.</description>
  <port protocol="tcp" port="7777"/>
  <port protocol="udp" port="8888"/>
</service>

最后，重载生效:

firewall-cmd --reload
firewall-cmd --get-services
学贯
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Firewalld——防火墙基础
weixin_45683092的博客
12-20 165
Firewalld简介 支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具 支持IPv4、IPv6防火墙设置以及以太网桥 支持服务或应用程序直接添加防火墙规则接口 拥有两种配置模式 运行时配置 永久配置 Firewalld和iptables的关系 netfilter 位于Linux内核中的包过滤功能体系 称为Linux防火墙的"内核态" Firewalld/iptables Cent...
CentOS7防火墙
编程的本质是数学问题
08-16 886
CentOS 7.0，启用iptables防火墙 1、关闭firewall： 停止firewall # systemctl stop firewalld.service 禁止firewall开机启动 # systemctl disable firewalld.service 2、安装iptables防火墙 # yum install iptables-se
Centos7的Firewalld防火墙基础命令详解
09-14
主要介绍了Centos7的Firewalld防火墙基础命令详解，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
firewall命令
qq_41904061的博客
09-03 409
[--permanent] [--zone=zone] --list-protocols List protocols added for zone as a space separated list. If zone is omitted, default zone will be used. [--permanent] [--zone...
firewalld高级防火墙规则-Direct Rules
Vic的博客
07-12 3892
1.查看防火墙上设置的规则 2.添加高级规则 通过如下测试来理解高级规则： 1）开启httpd服务并且httpd服务不添加进火墙策略 2）添加规则：允许172.25.254.77通过80端口访问172.25.254.110的httpd服务 3） 添加这条规则之后，172.25.254.10可以访问110的http服务 而其他主机不可以访问110的http服务 1）添加规则：只允许172.25.254.77通过22端口访问主机位为110的ssh服务 2）添加上述规则之后， 只有172.25.
19 CentOS7 防火墙firewall使用
jssd的博客
12-18 887
fileWall使用 转自: https://blog.51cto.com/andyxu/2137046 介绍 众所周知，在RHEL7系统中，firewalld防火墙取代了iptables防火墙。我们都知道iptables的防火墙策略是交由内核层面的netfilter网络过滤器来处理的，而firewalld则是交由内核层面的nftables包过滤框架来处理。 相较于iptables防火墙而言，...
学习笔记（八）：FIREWALL配置与使用
徐金宝的博客
10-24 2384
防火墙借助硬件和软件在内部和外部网络之间产生一种保护屏障，防火墙配置好且启用的情况下，将是不同网络或网络安全域之间信息的唯一出入口，能够设置安全策略控制网络的信息流，保障内部网络的安全。 本文对防火墙原理以及防火墙工具做了介绍
CentOS 7 笔记
tg5156的专栏
06-08 1009
安装源：http://mirrors.163.com/centos/7/os/x86_64/
Linux笔记-centos7源码安装Mysql5.6（图解详细）
01-09
关闭centos7防火墙 查看防火墙命令及关闭防火墙及永久关闭防火墙 systemctl status firewalld.service systemctl stop firewalld.service systemctl disable firewalld.service Linux上创建一个mysql的用户名和组 ...
狂神说Linux课堂笔记.rar
02-05
【狂神说Linux课堂笔记】是一份详细的Linux学习资料，主要涵盖了CentOS 7.0这一版本的操作系统。这份笔记PDF版旨在帮助读者深入理解和掌握Linux操作系统的核心概念、常用命令及系统管理技能。 Linux是开源的类UNIX...
linux学习笔记
11-20
1. Linux发行版：Linux有许多不同的发行版，如Ubuntu、CentOS、Debian等，它们各自拥有不同的特点和适用场景。了解各个发行版的区别有助于选择适合自己的系统。 2. Linux目录结构：Linux遵循FHS（Filesystem ...
linux_linux个人学习笔记_
09-29
以下是对“Linux Linux个人学习笔记”内容的详细解释： 一、Linux指令集 在Linux中，命令行是进行日常操作的主要工具。学习Linux首先要掌握基本的命令，如ls（列出目录内容）、cd（切换目录）、pwd（显示当前工作...
Linux 学习笔记，基于《鸟哥的 Linux 私房菜 第四版（CentOS7）》以及各种的网络资源.zip
04-29
《鸟哥的Linux私房菜》是一本非常受欢迎的Linux入门书籍，第四版则针对CentOS 7进行了详细的讲解。这篇学习笔记结合了该书的内容以及网络上的各种资源，旨在帮助读者深入理解和掌握Linux操作系统的核心概念和技术。 ...
Centos7 Firewalld 自定义规则
FUYY'S BLOG
09-27 1473
以下只是针对自定义规则的简单说明和举例，其实也就是帮助文档里面的东西；详细的说明自行参考 firewall-cmd --help 传递的参数 与 iptables, ip6tables 以及 ebtables 一致！ Centos7 Firewall 用户操作接口依然调用系统内核的iptables模块来设定规则！ 直接选项 –direct需要是直接选项的第一个参数。 将命令传递给防火墙。参数 ...
如何关闭CentOS7上的firewall防火墙
ChenTao_Ji的博客
08-22 475
1、执行“systemctl stop firewalld.service”，停止系统中的firewall服务，“systemctl disable firewalld.service” ，禁止firewall开机启动 2、通过yum来安装iptables，执行命令“yum install iptables-services”，也可以使用命令“yum -y install iptables-se
firewalld防火墙基本配置
qq_57258570的博客
11-16 3951
firewalld防火墙基本配置 1、firewalld的结构 与iptables一样，分为内核态和用户态，firewalld代替了iptables，是iptables的功能增强版。 比iptables增强的功能： 1.增强了对IPv6的支持 2.增加了9个基本安全区域，使基本配置更简单。 3.向下兼容iptables的语法。 4.支持图形化界面配置 2、firewalld数据处理流程 1.将数据包中的源IP地址，定义到指定的安全区域，先执行安全区域的规则。 2.如果源地址未...
firewall-cmd --direct
11-24 2543
直接选项 直接选项可以更直接地访问防火墙。这些选项要求用户知道基本的iptables概念，即table（filter / mangle / nat / ...），chain（INPUT / OUTPUT / FORWARD / ...），命令（-A / -D / -I / .. 。），参数（-p / -s / -d / -j / ...）和目标（ACCEPT / DROP / REJECT / ...）。直接选项应该仅作为最后的手段，当它不可能使用时诸如--add-service=‘service’或--
linux防火墙全放通,Linux防火墙配置
weixin_36023192的博客
05-13 434
Linux放火墙配置文件位于/etc/sysconfig/iptables内容示例如下：# Firewall configuration written by system-config-firewall# Manual customization of this file is not recommended.*filter:INPUT ACCEPT [0:0]:FORWARD ACCEPT [...
Linux中的环境变量
最新发布
qhy850716的博客
07-17 536
我们思考这样一个问题：指令也是可执行程序，我们写好的编译好的c语言也是程序，为什么我们在执行c语言程序时要./a.out带上当前路径，而ls这种指令就不要带路径呢？这就是环境变量PATH的作用，Linux中存在一些全局设置，表明命令行解释器应该去哪个路径下寻找可执行程序。系统中的很多配置在我们登录Linux时就已经被加载到bash中了，也就是内存。
centos7 FirewallD is not running
12-07
要检查CentOS 7上的FirewallD是否正在运行，可以使用以下命令： ```shell systemctl status firewalld ``` 如果FirewallD未运行，则可以使用以下命令启动它： ```shell systemctl start firewalld ``` 如果您想在...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值