Firewall基本概念

Firewall，對iptables防火牆的進一步封裝，沒有鏈與表的概念，只有區域的概念，比iptables操作簡單，但是底層還是調用Iptables。

• 系統服務：firewalld；
• 管理工具：firewall-cmd（命令）、firewall-config（圖形化界面）。

Firewall基本區域

Firewall包括四個基本區域，根據所在的網絡場所區分，預設保護規則集：

• public，僅允許訪問本機的Ssh/Dhcp/Ping等服務；
• trusted，允許任何網絡請求訪問；
• block，阻塞任何來訪請求（明確拒絕，有回應給客戶端）；
• drop，丟棄任何來訪請求（沒有回應，節省服務端資源)。

Firewall區域操作

## 列出所有區域；
[root@localhost ~]# firewall-cmd --get-zones
block dmz drop external home internal libvirt public trusted work

## 列出當前區域；
[root@localhost ~]# firewall-cmd --get-default-zone 
public

## 切換當前區域；
[root@localhost ~]# firewall-cmd --set-default-zone=trusted 
success

## 列出當前區域信息；
[root@localhost ~]# firewall-cmd --zone=trusted --list-all   
trusted (active)
  target: ACCEPT
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: 
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

## 重新加載防火牆所有配置；
[root@localhost ~]# firewall-cmd  --reload

## 添加指定服務允許網絡請求；
[root@localhost ~]# firewall-cmd --permanent --zone=public  --add-service='服務名'   

Firewall規則操作

## 查看防火牆端口；
[root@localhost ~]# firewall-cmd --zone=public --list-ports

## 重載防火牆配置；
[root@localhost ~]# firewall-cmd --reload

## 開放端口；
[root@localhost ~]# firewall-cmd --zone=public --add-port=100-500/tcp --permanent
[root@localhost ~]# firewall-cmd --zone=public --add-port=80/tcp --permanent

## 限制端口；
[root@localhost ~]# firewall-cmd --zone=public --remove-port=22/tcp --permanent

## 開發IP地址；
[root@localhost ~]# firewall-cmd  --permanent --add-source=192.168.1.0/24

## 禁止IP地址；
[root@localhost ~]# firewall-cmd  --permanent --add-source=192.168.1.0/24

## 添加複雜規則；
[root@localhost ~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4