本文共 2425 字，大约阅读时间需要 8 分钟。

一、firewall-cmd基本命令

1. 系统ctl相关

# 查看防火墙状态systemctl status firewalld# 开启防火墙systemctl start firewalld# 停止防火墙systemctl stop firewalld#禁用防火墙systemctl disable firewalld# 设置开机自启systemctl enable firewalld# 检查服务状态systemctl is-enabled firewalld.service

2. firewall-cmd信息查询

# 查看当前防火墙配置firewall-cmd --list-all# 查看防火墙版本firewall-cmd --version# 查看帮助文档firewall-cmd --help# 查询防火墙状态firewall-cmd --state# 查询当前默认区域firewall-cmd --get-default-zone# 列出所有区域firewall-cmd --get-zones# 修改默认区域firewall-cmd --set-default-zone=区域名称# 查看开放的端口firewall-cmd --zone=公网区域 --list-ports# 查询特定端口状态firewall-cmd --zone=公网区域 --query-port=80/tcp# 查看可用的服务firewall-cmd --list-services# 查询支持的服务类型firewall-cmd --get-service# 查看是否启用了伪装IP功能firewall-cmd --query-masquerade# 启用伪装IP功能firewall-cmd --add-masquerade# 禁用伪装IP功能firewall-cmd --remove-masquerade# 查看活动区域firewall-cmd --get-active-zones# 查看特定接口所属区域firewall-cmd --get-zone-of-interface=eth0# 拒绝所有数据包firewall-cmd --panic-on# 停止拒绝状态firewall-cmd --panic-off# 查询防火墙是否处于拒绝状态firewall-cmd --query-panic# 查看公网区域中的规则firewall-cmd --zone=公网区域 --list-rich-rules

3. firewall-cmd基本配置

# permanent Fluxclild Firewall规则以配置文件形式存储在 /etc/firewalld/zones/区域名称.xml

# 添加端口

firewall-cmd --zone=公网区域 --add-port=80/tcp --permanent

firewall-cmd --zone=公网区域 --add-port=100-500/tcp --permanent

firewall-cmd --zone=公网区域 --remove-port=80/tcp --permanent

firewall-cmd --zone=公网区域 --remove-port=100-500/tcp --permanent

# 添加服务

firewall-cmd --zone=公网区域 --add-service=http --permanent

firewall-cmd --zone=公网区域 --remove-service=http --permanent

# 转发流量

firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080

firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1

firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1:toport=8080

#限制访问规则

firewall-cmd --permanent --zone=公网区域 --add-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept'

firewall-cmd --permanent --zone=公网区域 --remove-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept'

firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'

firewall-cmd --permanent --remove-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'

firewall-cmd --permanent --add-source=172.25.254.102 --zone=信任区域

# 重新加载防火墙规则

firewall-cmd --reload

firewall-cmd --complete-reload

firewall-cmd --runtime-to-permanent

转载地址：http://ohbaz.baihongyu.com/