Firewalld详解 原

Firewalld详解

端口映射

firewall-cmd --zone=external --add-port=5001/tcp --permanent 

firewall-cmd --add-forward-port=port=5001:proto=tcp:toaddr=192.168.0.150:toport=5001 --permanent

firewall-cmd --add-forward-port=port=13799:proto=tcp:toaddr=192.168.0.33:toport=3389 --permanent

firewall-cmd --remove-forward-port=port=13799:proto=tcp:toaddr=192.168.0.33:toport=3389 --permanent

firewall概述

动态防火墙后台程序 firewalld 提供了一个 动态管理的防火墙,用以支持网络 “ zones” ,以分配对一个网络及其相关链接和界面一定程度的信任。它具备对 IP v4 和 IP v6 防火墙

设置的支持。它支持以太网桥,并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。 系统提供了图像化的配置工具firewall-config(rhel7)、system-config-firewall(rhel6), 提供命令行客户 端firewall-cmd, 用于配置 firewalld永久性或非永久性运行时间的改变:它依次用 iptables 工具与执行数据包筛选的内核中的 Netfilter通信。 firewalld和iptables service 之间最本质的不同是: • iptables service 在 /etc/sysconfig/iptables 中储存配置,而 firewalld将配置储存在 /usr/lib/firewalld/ 和 /etc/firewalld/ 中的各种XML文件里. • 使用 iptables service每一个单独更改意味着清除所有旧有的规则和从 /etc/sysconfig/iptables里读取所有新的规则,然而使用 firewalld却不会再创建任何新的规 则;仅仅运行规则中的不同之处。因此,firewalld可以在运行时间内,改变设置而不丢失现 行连接。  基于用户对网络中设备和交通所给与的信任程度,防火墙可以用来将网络分割成不同的区域。

NetworkManager通知firewalld一个接口归属某个区域,新加入的接口被分配到默认区域。

管理防火墙 安装防火墙软件: # yum install -y firewalld firewall-config 启动和禁用防火墙: # systemctl start firewalld ; systemctl enable firewalld # systemctl disable firewalld ; systemctl stop firewalld 使用iptables服务（rhel7中需要自己安装iptables）: # yum install -y iptables-services # systemctl start iptables ; systemctl start iptables # systemctl enable iptables ; systemctl enable iptables 推荐使用firewalld服务

使用命令行接口配置防火墙 查看firewalld的状态: # firewall-cmd --state 查看当前活动的区域,并附带一个目前分配给它们的接口列表: # firewall-cmd --get-active-zones 查看默认区域: # firewall-cmd --get-default-zone 查看所有可用区域: # firewall-cmd --get-zones 列出指定域的所有设置: # firewall-cmd --zone=public --list-all 列出所有预设服务: # firewall-cmd --get-services (这样将列出 /usr/lib/firewalld/services/ 中的服务器名称。注意:配置文件是以服务本身命名的service-name. xml) 列出所有区域的设置: # firewall-cmd --list-all-zones 设置默认区域: # firewall-cmd --set-default-zone=dmz 设置网络地址到指定的区域: # firewall-cmd --permanent --zone=internal --add-source=192.168.122.0/24 (--permanent参数表示永久生效设置,如果没有指定--zone参数,那么会加入默认区域) 删除指定区域中的网路地址: # firewall-cmd --permanent --zone=internal --remove-source=192.168.122.0/24 添加、改变、删除网络接口: # firewall-cmd --permanent --zone=internal --add-interface=eth0 # firewall-cmd --permanent --zone=internal --change-interface=eth0 # firewall-cmd --permanent --zone=internal --remove-interface=eth0 添加、删除服务: # firewall-cmd --permanent --zone=public --add-service=smtp # firewall-cmd --permanent --zone=public --remove-service=smtp 列出、添加、删除端口: # firewall-cmd --zone=public --list-ports # firewall-cmd --permanent --zone=public --add-port=8080/tcp # firewall-cmd --permanent --zone=public --remove-port=8080/tcp 重载防火墙: # firewall-cmd --reload (注意:这并不会中断已经建立的连接,如果打算中断,可以使用 --complete-reload选项)

(adsbygoogle = window.adsbygoogle || []).push({});