FirewallD详解

在CentOS7开始,默认是没有iptables的,而是使用了firewall防火墙.
与时俱进,简单的整理了一下firewall的使用方法.
关于详细的介绍参考官网,就不搬字了.这个网站有中文选项.可以直接看中文.关于CentOS7 非常多是资料这里面都能找到.
官方文档地址：
https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Security_Guide/sec-Using_Firewalls.html#sec-Introduction_to_firewalld

正文开始
FirewallD 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。

什么是动态防火墙?

什么是区域(zone)?

使用下面的命令分别列出所有支持的 zone 和查看当前的默认 zone：

区域(zone)说明如下:
iptables service 在 /etc/sysconfig/iptables 中储存配置
firewalld 将配置储存在 /usr/lib/firewalld/ 和 /etc/firewalld/ 中的各种 XML 文件里

在/etc/firewalld/的区域设定是一系列可以被快速执行到网络接口的预设定。列表并简要说明如下：

什么是服务?

每加载一项 service 配置就意味着开放了对应的端口访问，使用下面的命令分别列出所有支持的 service 和查看当前 zone 种加载的 service：

动态添加一条防火墙规则如下:
假设自定义的 ssh 端口号为 12222，使用下面的命令来添加新端口的防火墙规则：

如果需要使规则保存到 zone 配置文件，则需要加参数 –permanent
举例如下:

# 注意:防火墙配置文件也可以手动修改,修改后记得重载,重载方法请看下文.

#####firewalld命令#####

# 重读防火墙
# 以 root 身份输入以下命令，重新加载防火墙，并不中断用户连接，即不丢失状态信息：

# 以 root 身份输入以下信息，重新加载防火墙并中断用户连接，即丢弃状态信息：

# 注意:通常在防火墙出现严重问题时，这个命令才会被使用。比如，防火墙规则是正确的，但却出现状态信息问题和无法建立连接。

# 获取支持的区域(zone)列表

# 获取所有支持的服务

# 获取所有支持的ICMP类型

# 列出全部启用的区域的特性

# 输出区域 <zone> 全部启用的特性。如果生略区域，将显示默认区域的信息。
firewall-cmd [–zone=<zone>] –list-all

# 获取默认区域的网络设置

# 设置默认区域

# 注意:流入默认区域中配置的接口的新访问请求将被置入新的默认区域。当前活动的连接将不受影响。

# 获取活动的区域

# 根据接口获取区域
firewall-cmd –get-zone-of-interface=<interface>

## 以下关于区域和接口的操作,就不一一举例了,可以根据实际情况修改.
# 将接口增加到区域

# 如果接口不属于区域，接口将被增加到区域。如果区域被省略了，将使用默认区域。接口在重新加载后将重新应用。

# 修改接口所属区域

# 这个选项与 –add-interface 选项相似，但是当接口已经存在于另一个区域的时候，该接口将被添加到新的区域。

# 从区域中删除一个接口

# 查询区域中是否包含某接口

# 注意:返回接口是否存在于该区域。没有输出。

# 列举区域中启用的服务

# 这两条简单点说,就是断网和连网.
# 启用应急模式阻断所有网络连接，以防出现紧急状况

# 禁用应急模式

# 查询应急模式

# 启用区域中的一种服务

# 此举启用区域中的一种服务。如果未指定区域，将使用默认区域。如果设定了超时时间，服务将只启用特定秒数。如果服务已经活跃，将不会有任何警告信息。
# 例: 使区域中的 ipp-client 服务生效60秒:

# 例: 启用默认区域中的http服务:

# 禁用区域中的某种服务

# 此举禁用区域中的某种服务。如果未指定区域，将使用默认区域。
# 例: 禁止 home 区域中的 http 服务:

# 区域种的服务将被禁用。如果服务没有启用，将不会有任何警告信息。

# 查询区域中是否启用了特定服务

# 如果服务启用，将返回1,否则返回0。没有输出信息。

# 启用区域端口和协议组合

# 此举将启用端口和协议的组合。端口可以是一个单独的端口 <port> 或者是一个端口范围 <port>-<port> 。协议可以是 tcp 或 udp。

# 禁用端口和协议组合

# 查询区域中是否启用了端口和协议组合

# 如果启用，此命令将有返回值。没有输出信息。

# 启用区域中的 IP 伪装功能

# 此举启用区域的伪装功能。私有网络的地址将被隐藏并映射到一个公有IP。这是地址转换的一种形式，常用于路由。由于内核的限制，伪装功能仅可用于IPv4。

# 禁用区域中的 IP 伪装

# 查询区域的伪装状态

# 如果启用，此命令将有返回值。没有输出信息。

# 启用区域的 ICMP 阻塞功能

# 此举将启用选中的 Internet 控制报文协议 （ICMP） 报文进行阻塞。 ICMP 报文可以是请求信息或者创建的应答报文，以及错误应答。

# 禁止区域的 ICMP 阻塞功能

# 查询区域的 ICMP 阻塞功能

# 如果启用，此命令将有返回值。没有输出信息。
# 例: 阻塞区域的响应应答报文:

# 在区域中启用端口转发或映射

# 端口可以映射到另一台主机的同一端口，也可以是同一主机或另一主机的不同端口。端口号可以是一个单独的端口 <port> 或者是端口范围 <port>-<port> 。协议可以为 tcp 或udp 。目标端口可以是端口号 <port> 或者是端口范围 <port>-<port> 。目标地址可以是 IPv4 地址。受内核限制，端口转发功能仅可用于IPv4。

# 禁止区域的端口转发或者端口映射

# 查询区域的端口转发或者端口映射

# 如果启用，此命令将有返回值。没有输出信息。
# 例: 将区域 home 的 ssh 转发到 127.0.0.2

# 处理永久区域
# 永久选项不直接影响运行时的状态。这些选项仅在重载或者重启服务时可用。为了使用运行时和永久设置，需要分别设置两者。 选项 –permanent 需要是永久设置的第一个参数。

# 获取永久选项所支持的服务

# 获取永久选项所支持的ICMP类型列表

# 获取支持的永久区域

# 启用区域中的服务

# 此举将永久启用区域中的服务。如果未指定区域，将使用默认区域。

# 禁用区域中的一种服务

# 查询区域中的服务是否启用

# 如果服务启用，此命令将有返回值。此命令没有输出信息。
# 例: 永久启用 home 区域中的 ipp-client 服务

# 永久启用区域中的一个端口-协议组合

# 永久禁用区域中的一个端口-协议组合

# 查询区域中的端口-协议组合是否永久启用

# 如果服务启用，此命令将有返回值。此命令没有输出信息。

# 例: 永久启用 home 区域中的 https (tcp 443) 端口

# 永久启用区域中的伪装

# 此举启用区域的伪装功能。私有网络的地址将被隐藏并映射到一个公有IP。这是地址转换的一种形式，常用于路由。由于内核的限制，伪装功能仅可用于IPv4。

# 永久禁用区域中的伪装

# 查询区域中的伪装的永久状态

# 如果服务启用，此命令将有返回值。此命令没有输出信息。

# 永久启用区域中的ICMP阻塞

# 此举将启用选中的 Internet 控制报文协议 （ICMP） 报文进行阻塞。 ICMP 报文可以是请求信息或者创建的应答报文或错误应答报文。

# 永久禁用区域中的ICMP阻塞

# 查询区域中的ICMP永久状态

# 如果服务启用，此命令将有返回值。此命令没有输出信息。
# 例: 阻塞公共区域中的响应应答报文:

# 在区域中永久启用端口转发或映射

# 端口可以映射到另一台主机的同一端口，也可以是同一主机或另一主机的不同端口。端口号可以是一个单独的端口 <port> 或者是端口范围 <port>-<port> 。协议可以为 tcp 或udp 。目标端口可以是端口号 <port> 或者是端口范围 <port>-<port> 。目标地址可以是 IPv4 地址。受内核限制，端口转发功能仅可用于IPv4。

# 永久禁止区域的端口转发或者端口映射

# 查询区域的端口转发或者端口映射状态

# 如果服务启用，此命令将有返回值。此命令没有输出信息。
# 例: 将 home 区域的 ssh 服务转发到 127.0.0.2

## 直接选项
# 直接选项主要用于使服务和应用程序能够增加规则。 规则不会被保存，在重新加载或者重启之后必须再次提交。传递的参数 <args> 与 iptables, ip6tables 以及 ebtables 一致。
# 选项 –direct 需要是直接选项的第一个参数。
# 将命令传递给防火墙。参数 <args> 可以是 iptables, ip6tables 以及 ebtables 命令行参数。

# 为表 <table> 增加一个新链 <chain> 。

# 从表 <table> 中删除链 <chain> 。

# 查询 <chain> 链是否存在与表 <table>. 如果是，返回0,否则返回1.

# 如果启用，此命令将有返回值。此命令没有输出信息。

# 获取用空格分隔的表 <table> 中链的列表。

# 为表 <table> 增加一条参数为 <args> 的链 <chain> ，优先级设定为 <priority>。

# 从表 <table> 中删除带参数 <args> 的链 <chain>。

# 查询 带参数 <args> 的链 <chain> 是否存在表 <table> 中. 如果是，返回0,否则返回1.

# 如果启用，此命令将有返回值。此命令没有输出信息。

# 获取表 <table> 中所有增加到链 <chain> 的规则，并用换行分隔。

##########

#####通过配置文件来使用Firewalld的方法#####
系统本身已经内置了一些常用服务的防火墙规则,存放在/usr/lib/firewalld/services/
注意!
请勿编辑/usr/lib/firewalld/services/ ，只有 /etc/firewalld/services 的文件可以被编辑。

以下例子均以系统自带的public zone 为例子.

1. 如果想开放80端口供外网访问http服务,例子如下

1.1 将 http.xml复制到/etc/firewalld/services/下面,以服务形式管理防火墙,
# 这个cp命令其实是可以省略的,系统会优先去读取 /etc/firewalld 里面的文件,读取完毕后,会去/usr/lib/firewalld/services/ 再次读取.为了方便修改和管理,建议复制到/etc/firewalld

1.2 修改public.xml,加入http服务

1.3 重新载入 两条命令都可以的

以 root 身份输入以下命令，重新加载防火墙，并不中断用户连接，即不丢失状态信息：

以 root 身份输入以下信息，重新加载防火墙并中断用户连接，即丢弃状态信息：

注意:通常在防火墙出现严重问题时，这个命令才会被使用。比如，防火墙规则是正确的，但却出现状态信息问题和无法建立连接。

2. 修改防火墙ssh的端口方法
2.1 复制ssh.xml文件到/etc/firewalld/services/

2.2 修改ssh.xml文件 12222为ssh端口

2.3 重新载入 两条命令都可以的

以 root 身份输入以下命令，重新加载防火墙，并不中断用户连接，即不丢失状态信息：

以 root 身份输入以下信息，重新加载防火墙并中断用户连接，即丢弃状态信息：

注意:通常在防火墙出现严重问题时，这个命令才会被使用。比如，防火墙规则是正确的，但却出现状态信息问题和无法建立连接。

3. 指定ip访问ssh端口
3.1 修改/etc/firewalld/zones/

# rule字段内为要限制的ip和使用的服务

3.3 重新载入 两条命令都可以的

以 root 身份输入以下命令，重新加载防火墙，并不中断用户连接，即不丢失状态信息：

以 root 身份输入以下信息，重新加载防火墙并中断用户连接，即丢弃状态信息：

注意:通常在防火墙出现严重问题时，这个命令才会被使用。比如，防火墙规则是正确的，但却出现状态信息问题和无法建立连接。

4. 添加自定义服务 举例,添加8080端口为新的Service
4.1 添加新文件 8080.xml

4.2 编辑public.xml 文件,加入相应的Server

4.3 重新载入 两条命令都可以的

以 root 身份输入以下命令，重新加载防火墙，并不中断用户连接，即不丢失状态信息：

以 root 身份输入以下信息，重新加载防火墙并中断用户连接，即丢弃状态信息：

注意:通常在防火墙出现严重问题时，这个命令才会被使用。比如，防火墙规则是正确的，但却出现状态信息问题和无法建立连接。

#####

最后编辑：2015-12-24

作者：王, 帅

这个作者貌似有点懒，什么都没有留下。

站内专栏