FirewallD 快速使用文档
Posted huakai201
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了FirewallD 快速使用文档相关的知识,希望对你有一定的参考价值。
FirewallD简介
FirewallD是CentOS7系列上代替iptables管理netfilter的配置工具,提供图形化和命令行,使用python开发(新版中计划使用c++重写),提供图形化和命令行两种管理方式,接下来我们来介绍下FirewallD的特性:
动态性
firewalld既然是作为iptables的替代品,那就不得不拿出iptables来比较,在iptables中我们将新的iptables规则写入/etc/sysconfig/iptables中,必须要执行命令service iptables reload 使变更的规则生效,在这个命令背后包含着两个步骤,
一、对旧的防火墙规则进行了清空,
二、重新完整的加载所有新的防火墙规则。
那么接下来我们看firewalld是怎么做的,
只需要将变更部分保存并更新到运行中的防火墙之中即可
在繁忙的系统中,firewalld无异于大大减少了防火墙对系统造成的不良影响。
易用性
比如我们要开放http服务,我们来看都是如何操作的:
iptables
~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT
firewalld
~]# firewall-cmd —add-service=http
iptables中你要明白INPUT链、tcp协议、80端口 还有accept才能放行http服务,而firewalld你只需要添加http服务即可。
其它特性持续更新。。。
FirewallD上手
系统要求
CentOS 7 +
查看FirewallD状态
~ ]# firewall-cmd --state running
~]# systemctl status firewalld |grep
active Active: active (running)
以上都说明FIrewallD处于运行状态
查看FirewallD规则
查看当前系统对外开放的端口
~]# firewall-cmd --list-ports
20/tcp 21/tcp 22/tcp 80/tcp 8888/tcp 39000-40000/tcp 888/tcp
20/tcp:当前系统开放的端口有当前系统开放的有tcp协议的22端口,
39000-40000:当前系统开放的端口39000-40000之间的所有端口
查看当前区域的所有配置
~]# firewall-cmd --list-all
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0 eth1
sources: services: ssh dhcpv6-client
ports:20/tcp 21/tcp 22/tcp 80/tcp 8888/tcp 39000-40000/tcp 888/tcp
protocols:
masquerade: yes
forward-ports:
source-ports:
icmp-blocks:
rich rules:
rule family="ipv4" port port="80" protocol="tcp" accept
Ports 跟上一条命令执行结果相同
rich rules:是一些特殊的配置
其它我们在这里不做过多介绍
启动,关闭,重启
~]# systemctl start firewalld
~]# systemctl stop firewalld
~]# systemctl restart firewalld
Firewalld实战
放行http服务的三种方式
用过iptables的都知道,执行命令的规则如果没有save重启就会丢失,而firewall-cmd提供了—permanent来提供永久配置而不是重启就丢失
使用service
~]# firewall-cmd —add-service=http
修改配置文件方式
/etc/firewalld/zones/public.xml
<zone>
<service name="http"/>
</zone>此种配置方式适用于系统自带的服务
使用端口
~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" port port="80" protocol="tcp" accept"
修改配置文件方式
/etc/firewalld/zones/public.xml
<zone>
<port protocol="tcp" port="80"/>
</zone>此种配置方式适用于非系统自带的服务
使用自定义service
1.从自带的模版中复制一个模版
~ ]# cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/ftp1.xml
2.修改ftp1.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
<short>ftp1</short>
<description>zidingyi</description>
<port protocol="tcp" port="6666"/>
</service>
3.添加自定义服务
~]# firewall-cmd —add-service=ftp1
4.查看
]# firewall-cmd --list-all public target: default icmp-block-inversion: no interfaces: sources: services: dhcpv6-client ssh ftp1
放行192.168.1.0/24整个网段
放行192.168.1.0/24对80端口的访问
~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port port="80" protocol="tcp" accept"
放行192.168.1.1 对22端口访问
~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port port="22" protocol="tcp" accept"
nat代理上网稍后更新。
注意事项:
添加规则需要执行以下命令才能生效
firewall-cmd --reload
写此博客主要是为了记录CentOS7上FirewallD的一些常规用法,并整理出来提供给需要快速完成firewalld需求的用户。话不多说,直接开整。
以上是关于FirewallD 快速使用文档的主要内容,如果未能解决你的问题,请参考以下文章