支持系统版本:redhat7 ，centos7

一. 设置firewall规则

连接阻断在防火墙中有两种，一个是 drop，一个是 reject。

• drop 是直接丢弃请求，不返回任何数据，直到客户端连接尝试超时。
• reject 是直接断开，并返回 ICMP 错误信息包。

例1：对外暴露8080端口

firewall-cmd --permanent --add-port=8080/tcp

例2：使mysql服务的3306端口只允许192.168.1.1/24网段的服务器能访问

添加规则

启用IP名单firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.1/24" port protocol="tcp" port="3306" accept"#reload使生效firewall-cmd --reload删除IP名单firewall-cmd --zone=public --remove-rich-rule="rule family='ipv4' source address='192.168.1.1/24' port port="3306" protocol=tcp drop" --permanent

开启伪装IP

firewall-cmd --permanent --add-masquerade

配置端口转发

firewall-cmd --permanent --add-forward-port=port=3306:proto=tcp:toaddr=192.168.1.2:toport=13306注意：如果不开启伪装IP，端口转发会失败；其次，要确保源服务器上的端口（3306）和目标服务器上的端口（13306）是开启的。

二. firewall命令

1.启动, 停止, 重启firewalld

1. 停止systemctl stop firewalld.service
2. 启动 systemctl start firewalld.service
3. 重启 systemctl restart firewalld.service
4. 查看状态： systemctl status firewalld 5.禁止firewall开机启动 systemctl disable firewalld
5. 设置开机启用防火墙：systemctl enable firewalld.service

2.查看firewall规则与状态

1. 查看默认防火墙状态（关闭后显示notrunning，开启后显示running）firewall-cmd --state

2. 查看防火墙规则（只显示/etc/firewalld/zones/public.xml中防火墙策略）firewall-cmd --list-all

3. 查看所有的防火墙策略（即显示/etc/firewalld/zones/下的所有策略）firewall-cmd --list-all-zones

4. 重新加载配置文件 `firewall-cmd —reload

3.配置firewalld-cmd

查看版本： firewall-cmd --version查看帮助： firewall-cmd --help显示状态： firewall-cmd --state查看所有打开的端口： firewall-cmd --zone=public --list-ports更新防火墙规则： firewall-cmd --reload查看区域信息:  firewall-cmd --get-active-zones查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0拒绝所有包：firewall-cmd --panic-on取消拒绝状态： firewall-cmd --panic-off查看是否拒绝： firewall-cmd --query-panic

4. 那怎么开启一个端口呢

1. 添加（—permanent永久生效，没有此参数重启后失效）firewall-cmd --zone=public --add-port=80/tcp --permanent

2. 重新载入(修改规则后使其生效)firewall-cmd --reload

3. 查看 firewall-cmd --zone= public --query-port=80/tcp

4. 删除 firewall-cmd --zone= public --remove-port=80/tcp --permanent

因为在/usr/lib/firewalld/services/中事先定义了ssh.xml的相应的规则

5. 防火墙服务命令

systemctl是CentOS7的服务管理工具中主要的工具，它融合之前service和chkconfig的功能于一体。

启动一个服务：systemctl start firewalld.service关闭一个服务：systemctl stop firewalld.service重启一个服务：systemctl restart firewalld.service显示一个服务的状态：systemctl status firewalld.service在开机时启用一个服务：systemctl enable firewalld.service在开机时禁用一个服务：systemctl disable firewalld.service查看服务是否开机启动：systemctl is-enabled firewalld.service查看已启动的服务列表：systemctl list-unit-files|grep enabled查看启动失败的服务列表：systemctl --failed

更多运维交流请关注我