Firewalld动态防火墙管理器服务（Dynamic Firewall Manager of Linux systems）是目前默认的防火墙管理工具，同时拥有命令行终端和图形化界面的配置工具，即使是对Linux命令并不熟悉的也能快速入门。相比于传统的防火墙管理工具还支持了动态更新技术并加入了“zone区域”的概念，简单来说就是为用户预先准备了几套防火墙策略集合（策略模板），然后可以根据生产场景的不同而选择合适的策略集合，实现了防火墙策略之间的快速切换。
常见的zone区域名称及应用如下（默认为public）:
区域名称 默认规则策略
trusted 允许所有的数据包。
home 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、 ipp-client、samba-client与dhcpv6-client服务相关，则允许流量
internal 等同于home区域
work 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与 dhcpv6-client服务相关，则允许流量
public 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block 拒绝流入的流量，除非与流出的流量相关
drop 拒绝流入的流量，除非与流出的流量相关
终端管理工具：firewall-cmd命令是Firewalld动态防火墙管理器服务的命令行终端
参数 （支持tab键补齐） 作用
--get-default-zone 查询默认的（当前的）区域名称。
--set-default-zone=<区域名称> 设置默认的区域，永久生效。
--get-zones 显示可用的区域。
--get-services 显示预先定义的服务。
--get-active-zones 显示当前正在使用的区域与网卡名称。
--query-service= 查询是否允许某个服务的流量，后接服务，例如： ssh、https等
--get-zone-of-interface= 查询当前网卡在firewalld服务中的区域，后接网卡名
--add-source= 将来源于此IP或子网的流量导向指定的区域。
--remove-source= 不再将此IP或子网的流量导向某个指定区域。
--add-interface=<网卡名称> 将来自于该网卡的所有流量都导向某个指定区域。
--change-interface=<网卡名称> 将某个网卡与区域做关联。
--list-all 显示当前区域的网卡配置参数，资源，端口以及服务等信息。
--list-all-zones 显示所有区域的网卡配置参数，资源，端口以及服务等信息。
--list-ports 显示配置了流量策略的端口
--add-service=<服务名> 设置默认区域允许该服务的流量。
--add-port=<端口号/协议> 设置默认区域允许该端口的流量。协议代表tcp\udp\icmp
--remove-service=<服务名> 设置默认区域不再允许该服务的流量。
--remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量
--reload 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
--panic-on 开启应急状况模式
--panic-off 关闭应急状况模式
--zone= 添加区域参数，后接区域。例如： --zone=public
Firewalld服务对防火墙策略的配置默认是当前生效模式（RunTime），配置信息会随着计算机重启而失效，如果想要让配置的策略一直存在，就要使用永久生效模式（Permanent），方法是在正常的命令中加入--permanent参数就可以代表针对于永久生效模式的命令，但是使用永久模式设置的策略需要重启后才能自动生效，如果想让配置的策略立即生效的话需要手动执行一下如下指令：
[root@linuxprobe ~]# firewall-cmd --reload
例如：查看firewalld服务当前所使用的区域
firewall-cmd --get-default-zone
查询eno16777728网卡在firewalld服务中的区域
firewall-cmd --get-zone-of-interface=eno16777728
把firewalld服务中eno16777728网卡的默认区域修改为external，并在系统重启后生效， 分别查看当前与永久模式下的区域名称：
firewall-cmd --permanent --zone=external --change-interface=eno16777728
firewall-cmd --get-zone-of-interface=eno16777728
firewall-cmd --permanent --get-zone-of-interface=eno16777728
把firewalld服务的当前默认区域设置为public：
firewall-cmd --set-default-zone=public
启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）
firewall-cmd --panic-on
firewall-cmd --panic-off
查询public区域是否允许请求SSH和HTTPS协议的流量
firewall-cmd --zone=public --query-service=ssh
firewall-cmd --zone=public --query-service=https
把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效：
firewall-cmd --zone=public --add-service=https
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --reload
把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效：
firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload
把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：
firewall-cmd --zone=public --add-port=8080-8081/tcp
firewall-cmd --zone=public --list-ports 8080-8081/tcp
启动/关闭Firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用。）：
firewall-cmd --panic-on
firewall-cmd --panic-off
流量转发命令格式：firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
例如：把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效：
firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22
:toaddr=192.168.10.10
firewall-cmd --reload
在客户端使用ssh命令尝试访问192.168.10.10主机的888端口：
ssh -p 888 192.168.10.10 可以用ssh联机成功，说明转发到22端口成功
firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有正对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。
例如：配置一条富规则，使其拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务（22端口）
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
firewall-cmd --reload
之后使用ssh连接即会失败
参数 --add-rich-rule="" 表示增加富规则
firewall-config命令是管理Firewalld防火墙策略的图形化工具：
Firewall-config图形化管理工具在配置策略后，不需要点击保存或完成按钮，只要有修改内容工具就会自动保存好
在Options菜单中单击Reload Firewalld命令，让配置的防火墙策略立即生效；这与在命令行中执行--reload参数的效果一样
SNAT源地址转换协议是为了解决IP地址资源匮乏问题而设计的技术协议，SNAT技术能够使得多个内网用户通过一个外网IP地址上网。
iptables命令实现SNAT技术：在firewall-config图形配置工具中的Masquerading选项下的
Masquerade zone 是开启SNAT的，勾选即可