CentOS7下Firewall一些基本常用命令
yum install firewalld
- 1
如果需要圖形介面的話,則再安裝
yum install firewall-config
- 1
一、介紹
防火牆守護 firewalld 服務引入了一個信任級別的概念來管理與之相關聯的連線與介面。它支援 ipv4 與 ipv6,並支援網橋,採用 firewall-cmd (command) 或 firewall-config (gui) 來動態的管理 kernel netfilter 的臨時或永久的介面規則,並實時生效而無需重啟服務。
Firewall 能將不同的網路連線歸類到不同的信任級別,Zone 提供了以下幾個級別
drop: 丟棄所有進入的包,而不給出任何響應
block: 拒絕所有外部發起的連線,允許內部發起的連線
public: 允許指定的進入連線
external: 同上,對偽裝的進入連線,一般用於路由轉發
dmz: 允許受限制的進入連線
work: 允許受信任的計算機被限制的進入連線,類似 workgroup
home: 同上,類似 homegroup
internal: 同上,範圍針對所有網際網路使用者
trusted: 信任所有連線
二、使用方法
systemctl start firewalld # 啟動,
systemctl enable firewalld # 開機啟動
systemctl stop firewalld # 關閉
systemctl disable firewalld # 取消開機啟動
- 1
- 2
- 3
- 4
具體的規則管理,可以使用 firewall-cmd,具體的使用方法可以
firewall-cmd --help
- 1
檢視執行狀態
firewall-cmd --state
- 1
檢視已被啟用的 Zone 資訊
firewall-cmd --get-active -zones
public
interfaces: eth0 eth1
- 1
- 2
- 3
檢視指定介面的 Zone 資訊
firewall-cmd --get-zone-of-interface=eth0
public
- 1
- 2
檢視指定級別的介面
firewall-cmd --zone=public --list-interfaces
eth0
- 1
- 2
檢視指定級別的所有資訊,譬如 public
firewall-cmd --zone=public --list-all
public (default, active)
interfaces: eth0
sources:
services: dhcpv6-client http ssh
ports:
masquerade: no
forward-ports :
icmp-blocks:
rich rules:
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
檢視所有級別被允許的資訊
firewall-cmd --get-service
- 1
檢視重啟後所有 Zones 級別中被允許的服務,即永久放行的服務
firewall-cmd --get-service --permanent
- 1
三、管理規則
firewall-cmd --panic-on # 丟棄
firewall-cmd --panic-off # 取消丟棄
firewall-cmd --query-panic # 檢視丟棄狀態
firewall-cmd --reload # 更新規則,不重啟服務
firewall-cmd --complete-reload # 更新規則,重啟服務
- 1
- 2
- 3
- 4
- 5
新增某介面至某信任等級,譬如新增 eth0 至 public,再永久生效
firewall-cmd --zone=public --add-interface=eth0 --permanent
- 1
設定 public 為預設的信任級別
firewall-cmd --set-default-zone=public
- 1
四、管理埠
列出 dmz 級別的被允許的進入埠
firewall-cmd --zome=dmz --list-ports
- 1
允許 tcp 埠 8080 至 dmz 級別
firewall-cmd --zone=dmz --add-port=8080/tcp
firewall-cmd --reload
- 1
- 2
允許某範圍的 udp 埠至 public 級別,並永久生效
firewall-cmd --zome=public --add-port=5060-5059/udp --permanent
- 1
五、管理服務
新增 smtp 服務至 work zone
firewall-cmd --zone=work --add-service=smtp
- 1
移除 work zone 中的 smtp 服務
firewall-cmd --zone=work --remove-service=smtp
- 1
六、配置 ip 地址偽裝
檢視
firewall-cmd --zone=external --query-masquerade
- 1
開啟偽裝
firewall-cmd --zone=external --add-masquerade
- 1
關閉偽裝
firewall-cmd --zone=external --remove-masquerade
- 1
七、埠轉發
要開啟埠轉發,則需要先
firewall-cmd --zone=external --add-masquerade
- 1
轉發 22 埠資料至另一 ip 的 2055 埠上
firewall-cmd --zone=external --add-forward-port=port=22:proto=tcp:toport=2055:toaddr=192.168.1.100
然後轉發 tcp 22 埠至 3753
firewall-cmd --zone=external --add-forward-port=port=22:proto=tcp:toport=3753
- 1
轉發 22 埠資料至另一個 ip 的相同埠上
firewall-cmd --zone=external --add-forward-port=port=22:proto=tcp:toaddr=192.168.1.100
- 1