Centos7的Firewalld防火墙基础命令详解

一、Linux防火墙的基础

Linux的防火墙体系主要工作在网络层，针对TCP/IP数据包实时过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。Linux系统的防火墙体系基于内核共存：firewalld、iptables、ebtables，默认使用firewalld来管理netfilter子系统。

1、firewalld概述

firewalld的作用是为包过滤机制提供匹配规则（或称为策略），通过各种不同的规则，告诉netfilter对来自指定源，前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙，firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。支持IPv4、IPv6防火墙设置以及以太网桥，并且拥有两种配置模式：

还支持服务或应用程序直接添加防火墙规则接口。

2、firewalld网络区域

firewalld将所有的网络数据流量划分为多个区域，从而简化防火墙管理。根据数据包的源IP地址或传入网络接口等条件，将数据流量转入相应区域的防火墙规则。

对于进入系统的数据包，首先检查的就是其源地址：

默认区域不是单独的区域，而是指向系统上定义的某个其他区域。默认情况下，默认区域是public，但是也可以更改默认区域。以上匹配规则，按照先后顺序，第一个匹配的规则胜出。在每个区域中都可以配置其要打开或者关闭的一系列服务或端口，firewalld的每个预定义的区域都设置了默认打开的服务。

3、firewalld预定义区域说明

二、firewalld防火墙的配置方法

在Centos 7系统中，可以使用三种方式配置firewalld防火墙：

一般情况下，不建议直接编辑配置文件；

1、firewalld-cmd的基础命令

[root@centos01 ~]# systemctl start firewalld  <!--启动firewalld-->[root@centos01 ~]# systemctl enable firewalld<!--设置开机自动启动firewalld-->[root@centos01 ~]# systemctl status firewalld <!--查看防火墙运行状态-->[root@localhost ~]# firewall-cmd --state <!--查看防火墙允许状态-->running[root@centos01 ~]# systemctl stop firewalld<!--停止firewalld-->[root@centos01 ~]# systemctl disable firewalld<!--设置开机不自动启动firewalld-->[root@centos01 ~]# firewall-cmd --get-zones <!--查看防火墙预定义的区域-->[root@centos01 ~]# firewall-cmd --get-service <!--查看防火墙支持的预定义服务类型-->[root@centos01 ~]# firewall-cmd --get-default-zone <!--查看系统的默认区域 -->[root@localhost /]# firewall-cmd --reload   <!--重载防火墙-->[root@centos01 ~]# firewall-cmd --get-active-zones <!--查看激活的区域-->[root@centos01 ~]# firewall-cmd --get-icmptypes <!--显示预定义的ICMP类型-->address-unreachable bad-header communication-prohibited destination-unreachable echo-reply echo-request fragmentation-needed host-precedence-violation host-prohibitedhost-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisementneighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachableprecedence-cutoff protocol-unreachable redirect required-option-missingrouter-advertisement router-solicitation source-quench source-route-failed time-exceededtimestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option