一. 設定firewall規則

例1：對外暴露8080埠

firewall-cmd --permanent --add-port=8080/tcp

例2：使mysql服務的3306埠只允許192.168.1.1/24網段的伺服器能訪問

#新增規則
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.1/24" port protocol="tcp" port="3306" accept"

#reload使生效
firewall-cmd --reload

例3：埠轉發，將到本機的3306埠的訪問轉發到192.168.1.1伺服器的3306埠

# 開啟偽裝IP
firewall-cmd --permanent --add-masquerade
# 配置埠轉發
firewall-cmd --permanent --add-forward-port=port=3306:proto=tcp:toaddr=192.168.1.2:toport=13306

注意：如果不開啟偽裝IP，埠轉發會失敗；其次，要確保源伺服器上的埠（3306）和目標伺服器上的埠（13306）是開啟的。

二. firewall命令

1.啟動, 停止, 重啟firewalld

1. 停止
systemctl stop firewalld.service 

2. 啟動
systemctl start firewalld.service 

3. 重啟
systemctl restart firewalld.service

4. 檢視狀態： 
systemctl status firewalld 

5.禁止firewall開機啟動
systemctl disable firewalld

6. 設定開機啟用防火牆：
systemctl enable firewalld.service
 

2.檢視firewall規則與狀態

1. 檢視預設防火牆狀態（關閉後顯示notrunning，開啟後顯示running）
firewall-cmd --state              

2. 檢視防火牆規則（只顯示/etc/firewalld/zones/public.xml中防火牆策略）
firewall-cmd --list-all           

3. 檢視所有的防火牆策略（即顯示/etc/firewalld/zones/下的所有策略）
firewall-cmd --list-all-zones     

4. 重新載入配置檔案
firewall-cmd --reload             

 

3.配置firewalld-cmd

檢視版本： firewall-cmd --version

檢視幫助： firewall-cmd --help

顯示狀態： firewall-cmd --state

檢視所有開啟的埠： firewall-cmd --zone=public --list-ports

更新防火牆規則： firewall-cmd --reload

檢視區域資訊:  firewall-cmd --get-active-zones

檢視指定介面所屬區域： firewall-cmd --get-zone-of-interface=eth0

拒絕所有包：firewall-cmd --panic-on

取消拒絕狀態： firewall-cmd --panic-off

檢視是否拒絕： firewall-cmd --query-panic

4. 那怎麼開啟一個埠呢

1. 新增（--permanent永久生效，沒有此引數重啟後失效）
firewall-cmd --zone=public --add-port=80/tcp --permanent

2. 重新載入(修改規則後使其生效)
firewall-cmd --reload

3. 檢視
firewall-cmd --zone= public --query-port=80/tcp

4. 刪除
firewall-cmd --zone= public --remove-port=80/tcp --permanent
 
因為在/usr/lib/firewalld/services/中事先定義了ssh.xml的相應的規則

5. systemctl是CentOS7的服務管理工具中主要的工具，它融合之前service和chkconfig的功能於一體。

啟動一個服務：systemctl start firewalld.service
關閉一個服務：systemctl stop firewalld.service
重啟一個服務：systemctl restart firewalld.service
顯示一個服務的狀態：systemctl status firewalld.service
在開機時啟用一個服務：systemctl enable firewalld.service
在開機時禁用一個服務：systemctl disable firewalld.service
檢視服務是否開機啟動：systemctl is-enabled firewalld.service
檢視已啟動的服務列表：systemctl list-unit-files|grep enabled
檢視啟動失敗的服務列表：systemctl --failed

作者：Joncc
連結：https://www.jianshu.com/p/4a9958d2e859
來源：簡書
簡書著作權歸作者所有，任何形式的轉載都請聯絡作者獲得授權並註明出處。