CentOS7使用firewalld打开关闭防火墙与端口

admin

1、firewalld的基本使用
, N' _; B5 J2 D启动： systemctl start firewalld
, f% o, H! u% X9 Q8 a. q5 h查看状态： systemctl status firewalld
  a' H0 y2 _7 Q7 T1 W# c( T停止： systemctl disable firewalld
禁用： systemctl stop firewalld
# h" n& q& D7 d4 f1 ?# _
2.systemctl是CentOS7的服务管理工具中主要的工具，它融合之前service和chkconfig的功能于一体。
启动一个服务：systemctl start firewalld.service
关闭一个服务：systemctl stop firewalld.service
重启一个服务：systemctl restart firewalld.service
5 @9 w. S* e* [# N% x/ J7 p' a6 d显示一个服务的状态：systemctl status firewalld.service
% K& d9 ^: V/ `% s9 z在开机时启用一个服务：systemctl enable firewalld.service
在开机时禁用一个服务：systemctl disable firewalld.service
查看服务是否开机启动：systemctl is-enabled firewalld.service
查看已启动的服务列表：systemctl list-unit-files|grep enabled
查看启动失败的服务列表：systemctl --failed

, \9 J) Y, \; |3.配置firewalld-cmd
7 v+ k7 L5 W$ v4 I& }$ t2 M
: x% v" o( q; t+ z查看版本： firewall-cmd --version
2 n1 h/ w! d5 U1 b5 V8 l2 E7 l查看帮助： firewall-cmd --help
显示状态： firewall-cmd --state
# E/ l1 K3 T  D/ \% ~- \+ s查看所有打开的端口： firewall-cmd --zone=public --list-ports
+ W0 C; _$ \$ Z0 w9 B7 @更新防火墙规则： firewall-cmd --reload
. F7 ~/ q9 }8 S' ?& N2 S3 z: p) j查看区域信息:  firewall-cmd --get-active-zones
查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0 ,  firewall-cmd --get-zone-of-interface=eno16777736
拒绝所有包：firewall-cmd --panic-on
取消拒绝状态： firewall-cmd --panic-off
& `7 p2 U  b8 Y  g! j查看是否拒绝： firewall-cmd --query-panic
, L, R& o2 z1 t: X" K7 _, x
6 v% s4 ]# F; s. q3 k  D. `那怎么开启一个端口呢
添加
) m  ~* w& I9 q$ `! K  @0 `+ q& F4 Jfirewall-cmd --zone=public --add-port=80/tcp --permanent   ,  firewall-cmd --zone=public --add-port=22/tcp --permanent（--permanent永久生效，没有此参数重启后失效）
" c  f8 K" |. Q" D; A- y% B4 L重新载入
9 P0 r# T) g( M" |0 i6 o, {firewall-cmd --reload
查看
! q4 L# f9 [! L5 k; p! sfirewall-cmd --zone= public --query-port=80/tcp
  _5 ^7 s2 M4 F2 q# {/ X# V删除
) _6 X. R8 O- d  j( Q+ C, {# b: i; Cfirewall-cmd --zone= public --remove-port=80/tcp --permanent

admin

查看firewall是否运行,下面两个命令都可以
+ I# m+ I& f) q# M
systemctl status firewalld.service
) F5 K; L; [2 u! e  B/ A9 S
8 c$ [3 O6 t; e1 P+ B3 Y' _firewall-cmd --state

2 F! L1 U/ u: v( ?( m  Q! q, a

查看当前开了哪些端口

: O  u6 U7 q' C$ [5 ~7 s其实一个服务对应一个端口，每个服务对应/usr/lib/firewalld/services下面一个xml文件。

firewall-cmd --list-services




; [% z1 _% A" Y, A
9 Z3 p  g7 y' r. D查看还有哪些服务可以打开

0 w! |4 Z9 i6 \3 Z/ Xfirewall-cmd --get-services
! W6 V9 }3 N& p: p

9 R5 r; A7 I. `# n& p: Y

5 H% u( t  k/ O
查看所有打开的端口：

firewall-cmd --zone=public --list-ports

& g( P1 z. v  c0 ?( B0 Y. s7 V9 o
. ~* Y5 n2 d- r- O2 t
+ k8 f' V0 a4 h


/ h9 s$ ]( `! m+ I
7 i, T) x1 j; [( ^更新防火墙规则：

, s; O  V3 J' c8 }firewall-cmd --reload

admin

[root@dockerserver ~]# firewall-cmd --zone=public --list-ports
. r! N! j& i2 ^3 N+ F* n# P+ {$ o$ I, K22/tcp
+ t5 ]$ L. r' u/ V  _6 `
8 k' ]" T+ Q: M6 C8 {) T[root@dockerserver ~]# firewall-cmd --zone=public --add-port=80/tcp --permanent
success
% b$ J" |6 @$ C- e# z; \- t[root@dockerserver ~]# firewall-cmd --zone=public --list-ports
22/tcp
[root@dockerserver ~]# firewall-cmd --reload
  W9 i  x- z3 E! p' {& m/ {success
[root@dockerserver ~]# firewall-cmd --zone=public --list-ports
80/tcp 22/tcp
  Y  P. [0 p' [

admin

下面的是对特定ip允许访问8080端口（你也可以自己改）
" O* l( K2 b0 G% ]- s$ ifirewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.4/24" port protocol="tcp" port="8080" accept"

admin

1.drop禁止特定ip连接ssh/22服务

6 d% ^1 I" y; i' E3 k( lfirewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address=‘x.x.x.x/24‘ service name=‘ssh‘ drop"
' P5 f$ a9 D4 zfirewall-cmd --reload
    ##重新加载防火墙配置，不然firewall-cmd --list-all-zones不会显示刚加上的规则

: G8 h' T. e% z) {
2.reject禁止特定ip连接ssh/22服务

firewall-cmd --permanent --zone=public --add-rich-rule="rule family=‘ipv4‘ source address=‘x.x.x.x/24‘ service name=‘ssh‘ reject"
- P/ j& A1 I. p% h1 i$ dfirewall-cmd --permanent --zone=public --add-rich-rule="rule family=‘ipv4‘ source address=‘x.x.x.x/24‘ port port=22 protocol=tcp reject"
firewall-cmd --reload
8 c# p+ j) M3 \* k" W) S    ##重新加载防火墙配置，不然firewall-cmd --list-all-zones不会显示刚加上的规则
7 S' X8 p& n, U7 M9 @& ~+ |

) _, X; [( i1 t$ n3 a' Y3.accept运行特定ip连接ssh/22服务
- `$ O; O3 N- o9 g6 V
) z# ~& Z6 v' N; C5 G! Pfirewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address=‘x.x.x.x/24‘ port port=22 procotol=tcp accept"
$ w0 |4 {+ f/ s1 yfirewall-cmd --reload
9 |1 O  ]3 h; z" F

防火墙内的策略动作有DROP和REJECT两种，区别如下：
6 n. W4 A5 R7 n, O* N1、DROP动作只是简单的直接丢弃数据，并不反馈任何回应。需要Client等待超时，Client容易发现自己被防火墙所阻挡。
1 n* v/ u3 J5 z. O) u2、REJECT动作则会更为礼貌的返回一个拒绝(终止)数据包(TCP FIN或UDP-ICMP-PORT-UNREACHABLE)，明确的拒绝对方的连接动作。连接马上断开，Client会认为访问的主机不存在。REJECT在IPTABLES里面有一些返回参数，参数如下：ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset（这个封包会要求对方关闭联机），进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。

; k. L# S( O" G" E/ ]+ w/ j; g至于使用DROP还是REJECT更合适一直未有定论，因为的确二者都有适用的场合。REJECT是一种更符合规范的处理方式，并且在可控的网络环境中，更易于诊断和调试网络/防火墙所产生的问题；而DROP则提供了更高的防火墙安全性和稍许的效率提高，但是由于DROP不很规范(不很符合TCP连接规范)的处理方式，可能会对你的网络造成一些不可预期或难以诊断的问题。因为DROP虽然单方面的中断了连接，但是并不返回任何拒绝信息，因此连接客户端将被动的等到tcp session超时才能判断连接是否成功，这样早企业内部网络中会有一些问题，例如某些客户端程序或应用需要IDENT协议支持(TCP Port 113, RFC 1413)，如果防火墙未经通知的应用了DROP规则的话，所有的同类连接都会失败，并且由于超时时间，将导致难以判断是由于防火墙引起的问题还是网络设备/线路 故障。
; Y3 W( @" v+ h. ~
一点个人经验，在部署防火墙时，如果是面向企业内部(或部分可信任网络)，那么最好使用更绅士REJECT方法，对于需要经常变更或调试规则的网络也是如此；而对于面向危险的Internet/Extranet的防火墙，则有必要使用更为粗暴但是安全的DROP方法，可以在一定程度上延缓黑客攻击的进度(和难度，至少，DROP可以使他们进行TCP-Connect方式端口扫描时间更长)。

admin

查看firewalld的状态：
& d% w% \5 J3 F9 q1 T$ p[root@lockey Desktop]# firewall-cmd --state
查看当前活动的区域，并附带一个目前分配给它们的接口列表：
1 R) v/ u1 w/ a# ]; H1 j" b9 f[root@lockey Desktop]# firewall-cmd --get-active-zones
" ]6 H; Q: n$ C查看默认区域：
[root@lockey Desktop]# firewall-cmd --get-default-zone
查看所有可用区域：
[root@lockey Desktop]# firewall-cmd --get-zones
列出指定域的所有设置：
8 h' g$ |7 D& K, b8 V[root@lockey Desktop]# firewall-cmd --zone=public --list-all
列出所有预设服务：
! W% }( u  G  \" L" F7 s) p7 b3 `' {[root@lockey Desktop]# firewall-cmd --get-services
（这样将列出 /usr/lib/firewalld/services/ 中的服务器名称。注意：配置文件是以服务本身命名的service-name. xml）
列出所有区域的设置：
[root@lockey Desktop]# firewall-cmd --list-all-zones
0 C0 [8 }, Y: S, q设置默认区域：
[root@lockey Desktop]# firewall-cmd --set-default-zone=dmz
$ }) k" M6 v  `* Y0 j设置网络地址到指定的区域：
[root@lockey Desktop]# firewall-cmd --permanent --zone=internal --add-source=172.25.254.0/24
（--permanent参数表示永久生效设置，如果没有指定--zone参数，那么会加入默认区域）
# Q; G* [' K3 p- Y. F删除指定区域中的网路地址：
5 g8 V0 O& u% Y5 ][root@lockey Desktop]# firewall-cmd --permanent --zone=internal --remove-source=172.25.254.0/24
3 F  o0 w: Q1 S+ i$ c" i8 ]0 X8 l5 B- ]. I添加、改变、删除网络接口：
[root@lockey Desktop]# firewall-cmd --permanent --zone=internal --add-interface=eth0
[root@lockey Desktop]# firewall-cmd --permanent --zone=internal --change-interface=eth0
[root@lockey Desktop]# firewall-cmd --permanent --zone=internal --remove-interface=eth0
添加、删除服务：
- t: d% V7 I/ Y[root@lockey Desktop]# firewall-cmd --permanent --zone=public --add-service=smtp
: X2 A) D  u/ t, t( K: o% @" Z[root@lockey Desktop]# firewall-cmd --permanent --zone=public --remove-service=smtp
列出、添加、删除端口：
4 @- o8 M) g9 h& Y# s$ v[root@lockey Desktop]# firewall-cmd --zone=public --list-ports
[root@lockey Desktop]# firewall-cmd --permanent --zone=public --add-port=8080/tcp
[root@lockey Desktop]# firewall-cmd --permanent --zone=public --remove-port=8080/tcp
' K) Q+ E2 X! D5 N8 b重载防火墙：
0 N+ w: t# y8 N+ a6 K2 R1 L& X; [[root@lockey Desktop]# firewall-cmd --reload
, O: B) H% K; \) N% g" U- r(注意:这并不会中断已经建立的连接,如果打算中断,可以使用 --complete-reload选项)