firewalld 防火墙常用命令
防火墙状态命令
systemctl start firewalld #启动防火墙
systemctl stop firewalld #关闭防火墙
systemctl restart firewalld #重启防火墙
systemctl enable firewalld #设置开机自启
systemctl disable firewalld #禁用开机自启
systemctl status firewalld #查看防火墙状态
如下图显示active(runing)表示防火墙在运行状态
如下图显示inactiv(dead)表示防火墙处于停止的状态
还可以使用firewall-cmd查看
firewall-cmd --state #查看当前防火墙状态
如下图显示running表示防火墙处于运行的状态
如下图显示not running 表示防火墙处于停止的状态
查看现有区域及服务命令
查看防火墙默认区域
firewall-cmd --get-default-zone
如下图显示默认区域为public
查看当前防火墙所有可以使用的区域
firewall-cmd --get-zones
如下图当前可用区域有：block dmz docker drop external home internal public trusted work
查看预定义的服务列表
firewall-cmd --get-services
例如ssh服务、tftp服务等。
查看当前区域及网络接口
firewall-cmd --get-active-zones
如下图显示docker区域和public区域对应的网卡接口有docker0和ens32
查看区域配置命令
查看区域所有配置
练习场景：查看public区域的所有配置
firewall-cmd --zone=public --list-all
frewall-cmd 防火墙命令
–zone= 选择查看的区域；区域为：public
–list-all 列出所有配置的规则
如下图：
interfaces: ens32 网卡名
services: ssh dhcpv6-client 允许的服务
ports: 222/tpc 允许的端口222，协议tcp
关于服务配置命令
练习场景：将http服务加入防火墙
在防火墙添加服务
firewall-cmd --zone=public --add-service=http --permanent
–zone= 要配置的区域； 区域为：public
–add-service= 要添加的服务； 服务为：http
–permanent 永久生效
练习场景：将dhcpv6-client服务删除
删除服务
firewall-cmd --zone=public --remove-service=dhcpv6-client --permanent
–zone= 要配置的区域； 区域为：public
–remover-service= 要删除的服务； 服务为：dhcpv6-client
–permanent 永久生效
重新加载防火墙
firewall-cmd --reload
注意：每一次修改防火墙规则都要执行重新加载命令
查看当前开放的服务
firewall-cmd --zone=public --list-services
–zone= 要查看的区域； 区域为：pulic
–list-services 所有的服务
关于端口配置命令
练习场景：在public区域，添加555端口，协议为TCP
在防火墙添加端口
firewall-cmd --zone=public --add-port=555/tcp --permanent
–zone= 要配置的区域； 区域为：public
–add-port= 要添加的端口；端口为555，tcp协议
–permanent 永久生效
练习场景：在public区域，删除666端口，协议为TCP
在防火墙删除端口
firewall-cmd --zone=public --remove--port=666/tcp --permanent
–zone= 要配置的区域； 区域为：public
–remove–port= 要删除的端口；端口为：666，tcp协议
–permanent 永久生效
重新加载防火墙
firewall-cmd --reload
注意：每一次修改防火墙规则都要执行重新加载命令
查看当前开放的端口
firewall-cmd --list-ports
允许某个地址访问指定端口命令
练习场景：在public区域，允许192.168.1.20访问443端口
在防火墙上添加指定IP地址访问端口
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.20" port protocol="tcp" port="443" accept' --permanent
–zone= 要配置的区域； 区域为：public
–add-rich-rule= 添加自定义规则使用单引号将规则括起来
rule family=“ipv4” 指定IPV4地址
source address=“192.168.1.20” 指定源地址为：192.168.1.20
port protocol=“tcp” 指定协议为：TCP协议
port=“443” 指定端口为：443端口
accept 表示允许
–permanent 永久生效
firewall-cmd --reload 重新加载防火墙配置
如若删除此策略将–add-rich-rule修改为–remove-rich-rule
firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.1.20" port protocol="tcp" port="443" accept' --permanent
如禁止192.168.1.20访问443端口，将accept修改为reject
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.20" port protocol="tcp" port="443" reject' --permanent
重新加载防火墙
firewall-cmd --reload
注意：每一次修改防火墙规则都要执行重新加载命令
查看自定义防火墙配置
firewall-cmd --zone=public --list-rich-rules
