Linux系统firewall指令使用详解

摘要：Firewall是CentOS7版本后的自带防火墙管理工具，与iptables不同，firewall是一款动态防火墙管理工具。所谓动态防火墙，是指firewall在运行时，任何规则的变更都不需要对防火墙规则列表进行重新加载，只需要将变更部分保存并更新运行即可。

文主要内容是Linux firewall防火墙基础知识介绍，详细内容参考下文。

一、登陆Linux系统

1、登陆Linux

2、查看Firewall运行状态

二、Firewall功能简介

1、Firewall区域介绍

说明：在firewall防火墙中，引入了区域的概念，所谓区域，有点像windows在选择网络时可以设置家用网络、公用网络等等，本质上是一系列数据包过滤的规则，firewall可以将网卡设置为一个指定的区域。在firewall中，一共有9种区域。

（1）、drop区域，即“丢弃”，任何接收到的数据包都会被丢弃，没有任何回复。

（2）、block区域，即“限制”，任何接收到的数据包会被拒绝，并且给予回复。

（3）、public区域，在公共区域使用，认为网络中可能存在其他的计算机对系统造成危害，因此只接受经过选取的链接。public区域是网卡所处的默认区域。

（4）、external区域，即“外部”，相比于public，external对网络的限制更为严格，设置为external的区域，会进行类似DNAT的伪装，并且只允许SSH链接通过。

（5）、dmz区域，即“非军事化区”，一般用于DMZ区域的主机，此区域可以公开访问，可以有限的进入内部链接，仅仅接收经过选择的链接。

（6）、work区域，用于工作区，对区域认为是基本安全的网络，但是也仅仅接收有选择的连接。

（7）、home区域，即“家庭”，相比于work，对该网络更加信任，但是也仅仅接收有选择的连接。

（8）、internal区域，即“内部”，相比于home，对该网络更加信任，可以接受更多的网络连接。

（9）、trusted区域，即“信任”，被认为可以完全信任该区域的计算机，可以接受任何网络连接。

备注：Fireall防火墙在引入了区域的配置后，我们就可以把一个网卡设置为某一区域，那么这个网卡就接受了该区域的规则了。

2、Firewall服务介绍

说明：在/usr/lib/firewalld/serivces/目录中，存在了firewall的服务配置文件，每个文件是以xml格式的，对应一项具体的服务，根据文件名称我们可以大致看出其所对应的服务。该目录下一共含有100多项默认服务。

执行指令# firewall-cmd --get-servies列举出firewall防火墙所支持的服务

备注：如果想自定义服务，或者是想修改上述服务的内容（事实上，对服务的修改是很常见的，比如如果web服务器开放的端口进行改变，就需要修改相应的服务），需要将新的自定义的服务或者是修改后的服务放在/etc/firewalld/目录下，而不是直接在/usr/lib/firewalld/serivces/目录下进行修改。事实上，firewall防火墙在读取服务时，也会优先查找/etc/firewalld/目录下的服务。

三、Firewall操作指令

1、Firewall的基础命令

（1）、执行指令# systemctl status firewall查看firewall运行状态

（2）、执行指令# systemctl stop firewall停止firewall

（3）、执行指令# systemctl start firewalld启动firewall

（4）、执行指令# systemctl enable firewalld 启用开机启动

（5）、执行指令# systemctl disable firewalld 禁用开机启动

2、Firewall的配置命令

（1）、执行指令# firewall-cmd --version查看配置命令的版本

（2）、执行指令# firewall-cmd --version 查看帮助

（3）、执行指令# firewall-cmd --state查看状态

（4）、执行指令# firewall-cmd --list-ports查看打开的端口

（5）、执行指令# firewall-cmd --reload更新防火墙的规则

（6）、执行指令# firewall-cmd --get-active-zones查看已激活的区域

（7）、执行指令# firewall-cmd --query-panic查看是否拒绝

（8）、执行指令# firewall-cmd --panic-on拒绝所有包

（9）、执行指令# firewall-cmd --panic-off取消拒绝状态

3、Firewall开启和关闭端口

说明：以下都是指在public的zone下的操作，不同的Zone只要改变Zone后面的值就可以了。

（1）、执行指令# firewall-cmd --zone=public --add-port=8080/tcp --permanent 添加8080端口

（2）、执行指令# firewall-cmd --zone=public --remove-port=8080/tcp --permanent 删除8080端口

4、Firewall开启和关闭服务

说明：以smtp为例，添加到work zone区域中。

（1）、执行指令# firewall-cmd --zone=work --add-service=smtp添加smtp服务

（2）、执行指令# firewall-cmd --zone=work --remove-service=smtp删除smtp服务

四、其他相关知识

说明：systemctl是CentOS7的服务管理工具中主要的工具，它融合之前service和chkconfig的功能于一体。

比如执行指令# systemctl list-unit-files|grep enabled查看已启动的服务列表