firewalld的使用教程

firewalld

相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同选择合适的策略集合，从而实现防火墙策略之间的快速切换。

firewalld中常用的区域名称及策略规则

终端管理工具

firewall-cmd是firewalld的防火墙配置管理工具的CLI（命令行）版本。他的参数一般是以长格式给出。

firewall-cmd命令中使用的参数以及作用

使用firewalld配置的防火墙策略默认为运行时模式，又称当前生效模式，而随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久模式，方法就是添加 --permanent参数。

例：查看firewalld服务当前使用的区域

		firewall-cmd --get-default-zone

查询enol6777728网卡在firewalld服务中的区域：

firewall-cmd --get-zone-of-interface=enol6777728

把firewalld服务中enol6777728网卡的默认区域修改为external，并在系统重启后生效。分别查看当前与永久模式下的区域名称：

firewall-cmd -permanent --zone=external --change-interface=enol6777728
#success
firewall-cmd --get-zone-of-interface=enol6777728
#public
firewall-cmd --permanent --get-zone-of-interface=enol6777728
#external

把firewalld服务的当前默认区域设置为public

firewall-cmd --set-default-zone=public

启动firewall防火墙服务的应急状况模式，阻断一切网络连接

firewall-cmd --panic-on

查询public区域是否允许请求ssh和https协议的流量

firewall-cmd --zone=public --query-service=ssh
#yes

把firewalld服务中请求https协议的流量设置为永久有效，并立即生效。

firewall-cmd  --zone=public --add-service=https
firewall-cdm  --permanent --zone=public --add-service=https
firewall-cmd  --reload

把firewalld服务中请求http协议的流量设置为永久拒绝，并立即生效

firewall-cmd --permanent  --zone=public --remove-service=http
#success
firewall-cmd --reload

把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅当前生效

firewall-cmd --zone=public --add-port=8080-8081/tcp
#success
firewall-cmd --zone=public --list-ports
#8080-8081/tcp

把原本访问本机端口888端口的流量转发到22端口，当前和长期有效

firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=目标ip地址