CentOS：Firewall

CentOS：Firewall

1. 基本使用

1.1. 基本命令

# 启动
systemctl start firewalld

# 停止
systemctl stop firewalld

# 状态
systemctl status firewalld

# 重启
firewall-cmd --reload

# 开机自启
systemctl enable firewalld

# 禁止开机自启
systemctl disable firewalld

1.2. 权限（Zone）

• drop（丢弃）：任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。
• block（限制）： 任何接收的网络连接都被 IPv4 的 icmp-host-prohibited 信息和 IPv6 的 icmp6-adm-prohibited 信息所拒绝。
• public（公共）：在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成危害，只能接收经过选取的连接。
• external（外部）：特别是为路由器启用了伪装功能的外部网。您不能信任来自网络的其他计算，不能相信它们不会对您的计算机造成危害，只能接收经过选择的连接。
• dmz（非军事区）：用于您的非军事区内的电脑，此区域内可公开访问，可以有限地进入您的内部网络，仅仅接收经过选择的连接。
• work（工作）：用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接。
• home（家庭）：用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接。
• internal（内部）：用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算机。仅仅接受经过选择的连接。
• trusted（信任）：可接受所有的网络连接。

1.3. 端口管理

1.3.1. 查看开放端口

# 查看全部public端口
firewall-cmd --zone=public --list-ports

# 查看8080端口是否开放，返回yes开放、no未开放
firewall-cmd --zone=public --query-port=8080/tcp

1.3.2. 开放端口

注意修改需要重新加载或重启生效

# --permanent表示永久生效
firewall-cmd --zone=public --add-port=8080/tcp --permanent

# 批量添加
firewall-cmd --zone=public --add-port=8080-9000/tcp --permanent

1.3.3. 关闭端口

注意修改需要重新加载或重启生效

# --permanent表示永久生效
firewall-cmd --zone=public --remove-port=8080/tcp --permanent

1.3.4. 重新加载

 firewall-cmd --reload

2. 富规则

2.1. 基本命令

# 查看权限为public的富规则
firewall-cmd --zone=public --list-rich-rules

2.2. IP访问控制

修改必须加载才能生效

2.2.1. 指定IP访问所有端口

# 允许IP 192.168.1.10访问所有端口
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" accept' --permanent

# 允许IP 192.168.2.0/24(0-255)访问所有端口
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.2.0/24" accept' --permanent

2.2.2. 移除IP访问所有端口

# 移除IP 192.168.1.10访问所有端口
firewall-cmd --zone=public --remove-rich-rule 'rule family="ipv4" source address="192.168.1.10" accept' --permanent

2.2.3. 允许指定IP允许访问指定端口

# 允许192.168.1.10访问22端口
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject' --permanent

2.2.4. 移除指定IP允许访问指定端口

firewall-cmd --zone=public --remove-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject' --permanent

3. 参考

• Linux防火墙Firewall和Iptables的使用
• Firewalld 使用指南
• CentOS 7 firewall防火墙屏蔽除指定IP外的所有IP
• RedHat官网文档