文章来源：https://www.linuxidc.com/Linux/2018-03/151218.htm 在CentOS7中，引入了一个显得服务，firewall，下面一张图让大家了解防火墙Firewall和iptables之间的联系与区别。 安装它，只需要
yum -y install firewall如果需要图形界面的换，则再安装
yum -y install firewall-config一， 介绍 防火墙守护filewalld服务引入了一个信任级别的概念来管理与之相关联的链接与接口。它支持ipv4和ipv6，并支持网桥，采用firewall-cmd(command) 或 firewall-config (gui) 来动态的管理 kernel netfilter 的临时或永久的接口规则，并实时生效而无需重启服务。
zone：
drop：丢弃所有进入的包，而不给任何响应block：拒绝所有外部发起的链接，运行内部发起的链接public：允许制定的进入链接external：同上，对伪装的进入链接，一般用于路由转发dmz：允许受限制的进入连接work：允许受信任的计算机被限制的进入连接，类似workgrouphome：同上，类似homegroupinternal：同上，范围针对所有互联网用户trusted：信任所有连接 过滤规则：source：根据源地址过滤interface：根据网卡过滤service：根据服务名过滤port：根据端口过滤icmp-block:icmp报文过滤，按照icmp类型配置masquerade：ip地址伪装forward-port：端口转发rule：自定义规则 其中，过滤规则的优先级遵循如下顺序 1.source 2.interface 3.firewalld.conf 二，使用方法 #systemctl start firewalld #启动 #systemctl enable firewalld #开机启动 #systemctl stop firewalld #关闭 #systemctl disable firewalld #取消开机启动 具体的规则管理，可以使用firewall-cmd,具体的使用方法可以 $firewall-cmd --help –zone=NAME #制定zone –permanent #永久修改，–reload后生效 –timeout=seconds #持续效果，到期后自动移除，用于调试，不能与 --permanent同时使用 1.查看规则 查看运行状态 $firewall-cmd --state 查看已被激活的Zone信息 $firewall-cmd --get-active-zones public interfaces:eth0 eth1 查看指定接口的Zone信息 $firewall-cmd --get-zone-of-interface=eth0 public 查看指定级别的接口 $firewall-cmd --zone=public --list-interfaces eth0 查看指定级别的所有信息，譬如 public$firewall-cmd --zone=public --list-all public(default,active) interfaces:eth0 sources: services:dhcpv6-client http ssh ports: masquerade:no forward-ports: icmp-blocks: rich rules: 查看所有级别被允许的信息 $firewall-cmd --get-service 查看重启后所有Zones级别中被允许的服务，即永久放行的服务 $firewall-cmd --get-service --permanent 2.管理规则 #firewall-cmd --panic-cn #丢弃 #firewall-cmd --panic-off #取消丢弃 #firewall-cmd --query-panic #查看丢弃状态 #firewall-cmd --reload #更新规则，不重启服务 #firewall-cmd --complete-reload #更新规则，重启服务 添加某接口至莫信任等级，譬如添加eth0至public，永久修改 #firewall-cmd --zone=public --add-interface=eth0 --permanent 设置public为默认的信任级别 #firewall-cmd --set-default-zone=public a.管理端口 列出dmz级别的被允许的进入端口 #firewall-cmd --zone=dmz --list-ports 允许tcp端口8080至dmz级别 #firewall-cmd --zone=dmz --add-port=8080/tcp 允许某范围的udp端口至public级别，并永久生效 #firewall-cmd --zone=public --add-port=5060-5059/dup --permanent b.网卡接口 列出public zone的所有网卡 #firewall-cmd --zone=public --list-interfaces 将eth0添加至public zone,永久 #firewall-cmd --zone=public --permanent --add-interface=eth0 eth0存在与public zone ，将该网卡添加至work zone,并将之public zone中删除 #firewall-cmd --zone=work --permanent --change-interfaces-eth0 删除public zone中的eth0，永久 #firewall-cmd --zone=public --permanent --remove-interface=eth0 c.管理服务 添加smtp服务至work zone #firewall-cmd --zone=work --add-service=smtp 移除work zone中的smtp服务 #firewall-cmd --zone=work --remove-service=smtp d.配置external zone中的ip地址伪装 查看 #firewall-cmd --zone=external --query-masquerade 打开伪装 #firewall-cmd --zone=exrernal --add-masquerade 关闭伪装 #firewall-cmd --zone=exrernal --remove-masquerade e.配置public zone的端口转发 要打开端口转发，则需要先 #firewall-cmd --zone=public --add-masquerade 然后转发tcp22端口到3753 #firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toport=3753 转发22端口数据至另一个ip的相同端口上 #firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toaddr=192.168.1.100 转发22端口数据至另一个ip的2055端口上 #firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toport=2055:toaddr=192.168.1.100 f.配置public zone的icmp 查看所有支持的icmp类型 #firewall-cmd --get-icmptypes destination-unreachable echo-reply echo-request parameter-problem redirect router-advertisement router-solicitation source-quench time-exceeded 列出 #firewall-cmd --zone=public --list-icmp-blocks 添加echo-request屏蔽 #firewall-cmd --zone=public --add-icmp-block=echo-request[–timeout=seconds] 移除echo-reply屏蔽 #firewall-cmd --zone=public --remove-icmp-block=echo-reply g.IP封禁 #firewall-cmd --permanent --add-rich-rule=“rule family=‘ipv4’ source address='222.222.222.222’reject”
