firewalld 防火墙配置

Posted 2021-01-26 danmiao

1. firewalld-cmd 命令中使用的参数以及作用
 
--get-default-zone 查询默认的区域名称
--set-default-zone=<区域名称> 设置默认的区域，使其永久生效
--get-zones 显示可用的区域
--get-services 显示预先定义的服务
--get-active-zones 显示当前正在使用的区域与网卡名称
--add-source= 将源自此 IP 或子网的流量导向指定的区域
--remove-source= 不再将源自此 IP 或子网的流量导向某个指定区域
--add-interface=<网卡名称> 将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称> 将某个网卡与区域进行关联
--list-all 显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service=<服务名> 设置默认区域允许该服务的流量
--add-port=<端口号/协议> 设置默认区域允许该端口的流量
--remove-service=<服务名> 设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量
--reload 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
--panic-on 开启应急状况模式
--panic-off 关闭应急状况模式

      与 Linux 系统中其他的防火墙策略配置工具一样，使用 firewalld 配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。

      如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用 firewall-cmd 命令正常设置防火墙策略时添加--permanent 参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个“不近人情”的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行 firewall-cmd --reload 命令。

 

2.实例：

（1）查看 firewalld 服务当前所使用的区域：
[[email protected] ~]# firewall-cmd --get-default-zone
public
（2）查询 eno16777728 网卡在 firewalld 服务中的区域：
[[email protected] ~]# firewall-cmd --get-zone-of-interface=eno16777728
public
（3）把 firewalld 服务中 eno16777728 网卡的默认区域修改为 external，并在系统重启后生效。分
别查看当前与永久模式下的区域名称：
[[email protected] ~]# firewall-cmd --permanent --zone=external --change-interface=
eno16777728
success
[[email protected] ~]# firewall-cmd --get-zone-of-interface=eno16777728
public
[[email protected] ~]# firewall-cmd --permanent --get-zone-of-interface=eno16777728
external