firewall防火墙规则设置整理
在 CentOS 7 中，引入了一个新的服务，Firewalld，一个信任级别的概念来管理与之相关联的连接与接口，支持 ipv4 与 ipv6，并支持网桥，采用 firewall-cmd (command) 或 firewall-config (gui) 来动态的管理 kernel netfilter 的临时或永久的接口规则，并实时生效而无需重启服务。
安装firewalld：
yum install firewalld如果需要图形界面的话，则再安装
yum install firewall-configfirewalld 存放配置文件有两个目录，/usr/lib/firewalld 和 /etc/firewalld，前者存放了一些默认的文件，后者主要是存放用户自定义的数据，所以我们添加的service或者rule都在后者下面进行。
server 文件夹存储服务数据，就是一组定义好的规则。
zones 存储区域规则
firewalld.conf 默认配置文件，可以设置默认使用的区域，默认区域为 public，对应 zones目录下的 public.xml
在执行命令时，如果没有带 --permanent 参数表示配置立即生效，但是不会对该配置进行存储，相当于重启服务器就会丢失。如果带上则会将配置存储到配置文件，，但是这种仅仅是将配置存储到文件，却并不会实时生效，需要执行
firewall-cmd --reload 命令重载配置才会生效。一、常见命令：
启动, 停止, 重启firewalld
1、停止
systemctl stop firewalld.service
2、启动
systemctl start firewalld.service
3、重启
systemctl restart firewalld.service
4、查看状态：
systemctl status firewalld
5、禁止firewall开机启动
systemctl disable firewalld
6、设置开机启用防火墙：
systemctl enable firewalld.service
7、查看服务是否开机启动：
systemctl is-enabled firewalld.service
8、查看已启动的服务列表：
systemctl list-unit-files|grep enabled
9、查看启动失败的服务列表：
systemctl --failed二、查看firewall规则与状态
1. 查看默认防火墙状态（关闭后显示notrunning，开启后显示running）
firewall-cmd --state
2. 查看防火墙规则（只显示/etc/firewalld/zones/public.xml中防火墙策略）
firewall-cmd --list-all
3. 查看所有的防火墙策略（即显示/etc/firewalld/zones/下的所有策略）
firewall-cmd --list-all-zones
4. 重新加载配置文件
firewall-cmd --reload三、配置firewalld-cmd
查看版本： firewall-cmd --version
查看帮助： firewall-cmd --help
显示状态： firewall-cmd --state
查看所有打开的端口： firewall-cmd --zone=public --list-ports
更新防火墙规则： firewall-cmd --reload
查看区域信息: firewall-cmd --get-active-zones
查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0
拒绝所有包：firewall-cmd --panic-on
取消拒绝状态： firewall-cmd --panic-off
查看是否拒绝： firewall-cmd --query-panic四、设置firewall规则
1、对外暴露8000端口
firewall-cmd --permanent --add-port=8000/tcp
2、mysql服务的3306端口只允许192.168.1.1/24网段的服务器能访问
#添加规则
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.1/24" port protocol="tcp" port="3306" accept"
#reload使生效
firewall-cmd --reload
3、端口转发，将到本机的3306端口的访问转发到192.168.1.1服务器的3306端口
# 开启伪装IP
firewall-cmd --permanent --add-masquerade
# 配置端口转发
firewall-cmd --permanent --add-forward-port=port=3306:proto=tcp:toaddr=192.168.1.2:toport=13306
因为在/usr/lib/firewalld/services/中事先定义了ssh.xml的相应的规则
注意：如果不开启伪装IP，端口转发会失败；其次，要确保源服务器上的端口（3306）和目标服务器上的端口（13306）是开启的。
4、添加（--permanent永久生效，没有此参数重启后失效）
firewall-cmd --zone=public --add-port=80/tcp --permanent
5、重新载入(修改规则后使其生效)
firewall-cmd --reload
6、查看
firewall-cmd --zone= public --query-port=80/tcp
7、删除
firewall-cmd --zone= public --remove-port=80/tcp --permanent
8、开放指定端口（只允许指定IP访问）以“只允许192.168.1.1的主机连接3306端口”为例
firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol="tcp" port="3306" accept" --permanent
firewall-cmd --reload
移除规则（只允许指定IP访问的端口）
以“移除只允许192.168.1.1的主机连接3306端口”为例
firewall-cmd --remove-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol="tcp" port="3306" accept" --permanent
firewall-cmd --reload
9、移除默认的ssh服务
移除默认的ssh服务前，先确认是否已经额外开放了22端口，否则会导致无法使用ssh远程连接。
firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.255.55" port protocol="tcp" port="22" accept" --permanent #允许192.168.255.55的IP链接22端口
firewall-cmd --remove-service=ssh --permanent #移除默认的ssh服务
firewall-cmd --reload
10、其他常用命令
IP封禁
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='222.222.222.222' reject"
查看版本：firewall-cmd --version
查看帮助： firewall-cmd --help
查看状态： firewall-cmd --state
查看区域信息: firewall-cmd --get-active-zones
查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0
拒绝所有包：firewall-cmd --panic-on
取消拒绝状态： firewall-cmd --panic-off
查看是否拒绝： firewall-cmd --query-panic
应急命令
firewall-cmd --panic-on # 拒绝所有流量，远程连接会立即断开，只有本地能登陆
firewall-cmd --panic-off # 取消应急模式，但需要重启firewalld后才可以远程ssh
firewall-cmd --query-panic # 查看是否为应急模式via:
https://www.cnblogs.com/stulzq/p/9808504.html
https://www.cnblogs.com/straycats/p/10714257.html
https://www.cnblogs.com/tben/p/12144835.html
Tag标签:「防火墙 规则 firewall 区域 端口」更新时间:「2021-11-02 22:15:02」阅读次数:「736」