FirewallD防火墻

FirewallD是 iptables 的前端控制器，用于實(shí)現(xiàn)持久的網(wǎng)絡(luò)流量規(guī)則。它提供命令行和圖形界面，在大多數(shù) Linux 發(fā)行版的倉(cāng)庫(kù)中都有。與直接控制 iptables 相比，使用 FirewallD 有兩個(gè)主要區(qū)別：

1.    FirewallD 使用區(qū)域和服務(wù)而不是鏈?zhǔn)揭?guī)則。

2.    它動(dòng)態(tài)管理規(guī)則集，允許更新規(guī)則而不破壞現(xiàn)有會(huì)話和連接。

FirewallD 是 iptables 的一個(gè)封裝，可以讓你更容易地管理 iptables 規(guī)則 - 它并不是 iptables 的替代品。雖然 iptables 命令仍可用于 FirewallD，但建議使用 FirewallD 時(shí)僅使用 FirewallD 命令。

安裝與管理 FirewallD

CentOS 7 和 Fedora 20+ 已經(jīng)包含了 FirewallD，但是默認(rèn)沒(méi)有激活?？梢韵衿渌?systemd 單元那樣控制它。

# 1. FirewallD服務(wù)管理
systemctl start firewalld
systemctl enable firewalld

systemctl stop firewalld
systemctl disable firewalld

firewall-cmd --state # 檢查防火墻狀態(tài)。輸出應(yīng)該是 running 或者 not running。
systemctl status firewalld

firewall-cmd --reload # 重新加載 FirewallD 配置

防火墻的區(qū)域

區(qū)域”是針對(duì)給定位置或場(chǎng)景（例如家庭、公共、受信任等）可能具有的各種信任級(jí)別的預(yù)構(gòu)建規(guī)則集。不同的區(qū)域允許不同的網(wǎng)絡(luò)服務(wù)和入站流量類(lèi)型，而拒絕其他任何流量。 首次啟用 FirewallD 后，public 將是默認(rèn)區(qū)域。

區(qū)域也可以用于不同的網(wǎng)絡(luò)接口。例如，要分離內(nèi)部網(wǎng)絡(luò)和互聯(lián)網(wǎng)的接口，你可以在 internal 區(qū)域上允許 DHCP，但在external 區(qū)域僅允許 HTTP 和 SSH。未明確設(shè)置為特定區(qū)域的任何接口將添加到默認(rèn)區(qū)域。

firewall-cmd --get-default-zone # 找到默認(rèn)區(qū)域

firewall-cmd --set-default-zone=internal # 修改默認(rèn)區(qū)域

firewall-cmd --get-active-zones # 查看你網(wǎng)絡(luò)接口使用的區(qū)域

firewall-cmd --zone=public --list-all # 得到特定區(qū)域的所有配置

sudo firewall-cmd --list-all-zones # 得到所有區(qū)域的配置

與服務(wù)一起使用

FirewallD 可以根據(jù)特定網(wǎng)絡(luò)服務(wù)的預(yù)定義規(guī)則來(lái)允許相關(guān)流量。你可以創(chuàng)建自己的自定義系統(tǒng)規(guī)則，并將它們添加到任何區(qū)域。 默認(rèn)支持的服務(wù)的配置文件位于 /usr/lib/firewalld/services，用戶(hù)創(chuàng)建的服務(wù)文件在 /etc/firewalld/services 中。

firewall-cmd --get-services
firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --zone=public --remove-service=http --permanent

允許或者拒絕任意端口/協(xié)議

firewall-cmd --zone=public --add-port=12345/tcp --permanent
firewall-cmd --zone=public --remove-port=12345/tcp --permanent

端口轉(zhuǎn)發(fā)

# 范例：在同一臺(tái)服務(wù)器上將 80 端口的流量轉(zhuǎn)發(fā)到 12345 端口
firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=12345

# 要將端口轉(zhuǎn)發(fā)到另外一臺(tái)服務(wù)器上
# 在需要的區(qū)域中激活 masquerade
firewall-cmd --zone=public --add-masquerade
firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=123.456.78.9

# 要?jiǎng)h除規(guī)則，用 --remove 替換 --add
firewall-cmd --zone=public --remove-masquerade

富規(guī)則

豐富規(guī)則的語(yǔ)法有很多，但都完整地記錄在 firewalld.richlanguage(5) 的手冊(cè)頁(yè)中（或在終端中 man firewalld.richlanguage）。 使用 --add-rich-rule、--list-rich-rules 、 --remove-rich-rule 和 firewall-cmd 命令來(lái)管理它們。

# 范例1： 允許來(lái)自主機(jī) 192.168.0.14 的所有 IPv4 流量。
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address=192.168.0.14 accept'

# 范例2：拒絕來(lái)自主機(jī) 192.168.1.10 到 22 端口的 IPv4 的 TCP 流量。
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject'

# 范例3：允許來(lái)自主機(jī) 10.1.0.3 到 80 端口的 IPv4 的 TCP 流量，并將流量轉(zhuǎn)發(fā)到 6532 端口上。 ?
firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 source address=10.1.0.3 forward-port port=80 protocol=tcp to-port=6532'

# 范例4：將主機(jī) 172.31.4.2 上 80 端口的 IPv4 流量轉(zhuǎn)發(fā)到 8080 端口（需要在區(qū)域上激活 masquerade）。
firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 forward-port port=80 protocol=tcp to-port=8080 to-addr=172.31.4.2'

# 列出你目前的豐富規(guī)則
firewall-cmd --list-rich-rules