11、firewall 防火墙命令

firewalld是centos7中的防火墙命令，打开或关闭服务器指定监听端口

firewall-cmd 是 firewalld的字符界面管理工具，firewalld是centos7的一大特性，最大的好处有两个：

　　（1）支持动态更新，不用重启服务；

　　（2）就是加入了防火墙的“zone”概念。

语法：

firewall-cmd [ 选项 ]

firewall-cmd命令中使用的参数以及作用

参数	作用
-h, --help	显示帮助信息
-V, --version	显示版本信息. （这个选项不能与其他选项组合）
-q, --quiet	不打印状态消息
--state	显示firewalld的状态
--reload	不中断服务的重新加载，更新防火墙规则
--complete-reload	中断所有连接的重新加载，更新防火墙规则，类似重启服务
--runtime-to-permanent	将当前防火墙的规则永久生效
--permanent	永久生效
--check-config	检查配置正确性
--get-log-denied	获取记录被拒绝的日志
--set-log-denied=<value>	设置记录被拒绝的日志，只能为'all','unicast','broadcast','multicast','off' 其中的一个
--get-active-zones	查看所有区域firewalld信息
--get-zone-of-interface=<网卡名称>	查看指定接口所属区域
--panic-on	拒绝所有包
--panic-off	取消拒绝状态
--query-panic	查看是否拒绝
-–get-default-zone	查访默认的区域名称
-–set-default-zone=<区域名称>	设置默认的接口区域，使其永久生效
-–get-zones	显示可用的区域
-–get-services	显示预定义的服务
-–get-active-zones	显示当前正在使用的区域、来源地址和网卡名称
--zone=<区域名称>	查询指定区域
-–add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域（将接口添加到指定区域）
-–change-interface=<网卡名称>	将某个网卡与区域进行关联（修改指定区域的对应接口）
--list-ports	接口查询
-–add-port=<端口号/协议>	设置默认区域允许该端口的流量（添加指定端口）
-–remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量（删除指定端口）
-–add-service=<服务名>	设置默认区域允许该服务的流量（打开指定服务）
-–remove-service=<服务名>	设置默认区域不再允许该服务的流量（关闭指定服务）
-–list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息
-–list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
-–add-source=	将源自此IP或子网的流量导向指定的区域
-–remove-source=	不再将源自此IP或子网的流量导向这个区域

 

配置文件

/usr/lib/firewalld/services：存放定义好的网络服务和端口参数，系统参数，不能修改。

/etc/firewalld/：用户可以通过修改配置文件的方式添加端口，也可以通过命令的方式添加端口，修改的内容会在/etc/firewalld/ 目录下的配置文件中还体现。

1、防火墙基本使用
yum -y install firewalld     ##安装firewalld
systemctl start firewalld.service     ##打开防火墙，或者 systemctl start firewalld.service，可以使用tab键补齐
systemctl status firewalld.service    ##查看防火墙状态
systemctl stop firewalld.service     ##关闭防火墙
systemctl restart firewalld.service     ##重启防火墙
systemctl enable firewalld.service     ##开机启用
systemctl disable firewalld.service     ##开机禁用
systemctl is-enabled firewalld.service     ##查看服务是否开机启动
systemctl list-unit-files|grep enabled      ##查看已启动的服务列表
systemctl --failed           ##查看启动失败的服务列表

2、打开端口和服务
firewall-cmd --zone=public --add-port=80/tcp --permanent       ##永久打开tcp 80端口，加--permanent表示永久
firewall-cmd --zone=public --add-port=8080-8081/tcp         ##打开8080-8081端口，不加--permanent表示临时
firewall-cmd --zone=public --add-service=https --permanent      ##永久打开https服务
firewall-cmd --reload                                                                   ##更新防火墙规则，修改防火墙规则后，需要重新载入
firewall-cmd --zone=public --query-port=80/tcp                          ##查看tcp 80端口
firewall-cmd --zone=public --remove-port=80/tcp --permanent     ##删除打开的端口
firewall-cmd --zone=public --list-ports       ##查看所有打开的端口
firewall-cmd --zone=public --list-services     ##查看所有打开的服务，也可加--permanent
firewall-cmd --get-services              ##查看还有哪些服务可以打开
##防火墙预定义的服务配置文件是xml文件，目录在 /usr/lib/firewalld/services/，每个服务对应一个端口
##在配置ntp服务的时候需要打开udp 123端口，建议先打开防火墙的123端口，再启动ntp，当然关闭防火墙肯定也可以

firewalld中常用的区域zone名称及策略规则

区域（zone）	默认策略规则
trusted(信任区域)	允许所有的传入流量（一般用于内网）
home（家庭区域）	允许与ssh、mdns、ipp-client、samba-client与dhcpv6-client服务匹配的传入流量，其余都拒绝，
Internal（内部区域）	等同于home区域
work（工作区域）	允许与ssh、ipp-client与dhcpv6-client服务匹配的传入流量，其余都拒绝，
public（公共区域）	允许与ssh、dhcpv6-client服务相匹配的传入流量，其余都拒绝，是新添加的网络端口的默认区域
external（外部区域）	允许与ssh服务匹配的传入流量，其余都拒绝，默认将通过此区域转发的IP v4传出流量进行地址伪装，用于路由器启用了伪装功能的外部网络
dmz（隔离区域或非军事区域）	允许与ssh服务匹配的传入流量，其余都拒绝，
block（限制区域）	拒绝所有的传入流量
drop（丢弃区域）	丢弃所有传入流量，并且不产生包含ICMP的错误相应

public区域是默认区域，包含所有接口(网卡)

3、查看信息
firewall-cmd --version ##查看版本
firewall-cmd --help ##查看帮助
firewall-cmd --state ##显示状态
firewall-cmd --get-active-zones ##查看区域信息
firewall-cmd --get-service ##获取所有支持的服务
firewall-cmd --get-zone-of-interface=eth0 ##查看指定接口所属区域
firewall-cmd --panic-on ##拒绝所有包
firewall-cmd --panic-off ##取消拒绝状态
firewall-cmd --query-panic ##查看是否拒绝

4、应急模式
firewall-cmd --panic-on ##开启应急模式
firewall-cmd --panic-off ##关闭应急模式
firewall-cmd --query-panic #查询应急模式