基于linux的FIREWALLD火墙管理（部分）

Firewalld 概述

1.动态防火墙后台程序 firewalld 提供了一个 动态管理的防火墙
, 用以支持网络 “ zones” , 以分配对一个网络及其相关链接
和界面一定程度的信任。它具备对 IP v4 和 IP v6 防火墙设
置的支持。它支持以太网桥 , 并有分离运行时间和永久性配置选
择。它还具备一个通向服务或者应用程序以直接增加防火墙规则
的接口
系统提供了图像化的配置工具 firewall-config 、 system-
config-firewall, 提供命令行客户端 firewall-cmd, 用于配
置 firewalld 永久性或非永久性运行时间的改变 : 它依次用
iptables 工具与执行数据包筛选的内核中的 Netfilter 通信

firewalld 和 iptables service

firewalld 和 iptables service 之间最本质的不同是 :
iptables service 在 /etc/sysconfig/iptables 中储存配
置
firewalld 将配置储存在 /usr/lib/firewalld/ 和
/etc/firewalld/ 中的各种 XML 文件里 .

2.域
  home（家庭）：用于家庭网络，仅接受dhcpv6-client、ipp-client、mdns、samba-client、ssh服务
  internal（内部）：用于内部网络，仅接受dhcpv6-client、ipp-client、mdns、samba-client、ssh服务
  public（公共）：用于公共区域使用，仅接受dhcpv6-client、ssh服务
  trusted（信任）：接受所有网络连接
  work（工作）：用于工作区，仅接受dhcpv6-client、ipp-client、ssh服务
  block（限制）：拒绝所有网络连接
  dmz（非军事区）：仅接受ssh服务连接
  drop（丢弃）：任何接收的网络数据包都被丢弃，没有任何回复
  external（外部）：出去的ipv4网络连接通过此区域伪装和转发，仅接受ssh服务连接

firewalld管理
(1).

systemctl stop  iptables  ##关闭iptables
systemctl disable iptables  ###设置开机不启动iptables
systemctl start firewalld   ###打开firewalld
systemctl enable firewalld   ##设置开机自启动
firewall-cmd --state   ###查看火墙状态

firewall-cmd --get-active-zones  ###查看火墙正在使用的域

firewall-cmd --get-default-zone   ###查看火墙的默认域
firewall-cmd --get-zones    ###查看火墙所有的域

firewall-cmd --zone=public --list-all   ###查看public域的信息

firewall-cmd --get-services  

firewall-cmd --list-all-zones   ###查看所有域的状态  

firewall-cmd --set-default-zone=trusted   ###修改火墙的默认域
firewall-cmd --get-default-zone   ###查看火墙的默认域

(2)

firewall-cmd --add-source=172.25.254.70 --zone=trusted ###添加172.25.254.70这个访问源，域设置为trusted
在真机网站测试

firewall-cmd --remove-source=172.25.254.70 --zone=trusted  ###移除172.25.254.70访问源

firewall-cmd --list-interfaces  ###查看网络接口 
firewall-cmd --get-zone-of-interface=eth0  ####查看eth0的域

firewall-cmd --change-interface=eth0 --zone=public  ####更改eth0的域为public
firewall-cmd --get-zone-of-interface=eth0   ###查看eth0的域

firewall-cmd --remove-interface=eth0 --zone=trusted   ###移除eth0的域
firewall-cmd --get-zone-of-interface=eth0  ###查看eth0的域

firewall-cmd --add-interface=eth0 --zone=trusted     ###添加eth0的域为trusted
firewall-cmd --get-zone-of-interface=eth0   ###查看eth0的域
firewall-cmd --get-zone-of-interface=eth1    ###查看eth1的域

(3)

firewall-cmd --add-port=8080/tcp --zone=public  ###添加8080tcp端口
firewall-cmd --list-all

firewall-cmd --remove-service=ssh   ###移除ssh服务(暂时的)
firewall-cmd --reload     ###重新加载
firewall-cmd --list-all   ###ssh会恢复

firewall-cmd --permanent --remove-service=ssh  ###永久移除ssh服务
firewall-cmd --reload     ###当有主机已经连接时，不会断开
firewall-cmd --list-all   ###ssh不会出现
firewall-cmd --complete-reload  ####当有主机连接时，会被断开