FirewallD 快速使用文档
FirewallD简介
FirewallD是CentOS7系列上代替iptables管理netfilter的配置工具，提供图形化和命令行，使用python开发（新版中计划使用c++重写），提供图形化和命令行两种管理方式，接下来我们来介绍下FirewallD的特性：
动态性
firewalld既然是作为iptables的替代品，那就不得不拿出iptables来比较，在iptables中我们将新的iptables规则写入/etc/sysconfig/iptables中，必须要执行命令service iptables reload 使变更的规则生效，在这个命令背后包含着两个步骤，
一、对旧的防火墙规则进行了清空，
二、重新完整的加载所有新的防火墙规则。
那么接下来我们看firewalld是怎么做的，
只需要将变更部分保存并更新到运行中的防火墙之中即可
在繁忙的系统中，firewalld无异于大大减少了防火墙对系统造成的不良影响。
易用性
比如我们要开放http服务，我们来看都是如何操作的：
iptables
~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT
firewalld
~]# firewall-cmd —add-service=http
iptables中你要明白INPUT链、tcp协议、80端口 还有accept才能放行http服务，而firewalld你只需要添加http服务即可。
其它特性持续更新。。。
FirewallD上手
系统要求
CentOS 7 +
查看FirewallD状态
~ ]# firewall-cmd --state running
~]# systemctl status firewalld |grep
active Active: active (running)
以上都说明FIrewallD处于运行状态
查看FirewallD规则
查看当前系统对外开放的端口
~]# firewall-cmd --list-ports
20/tcp 21/tcp 22/tcp 80/tcp 8888/tcp 39000-40000/tcp 888/tcp
20/tcp：当前系统开放的端口有当前系统开放的有tcp协议的22端口，
39000-40000:当前系统开放的端口39000-40000之间的所有端口
查看当前区域的所有配置
~]# firewall-cmd --list-all
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0 eth1
sources: services: ssh dhcpv6-client
ports:20/tcp 21/tcp 22/tcp 80/tcp 8888/tcp 39000-40000/tcp 888/tcp
protocols:
masquerade: yes
forward-ports:
source-ports:
icmp-blocks:
rich rules:
rule family="ipv4" port port="80" protocol="tcp" accept
Ports 跟上一条命令执行结果相同
rich rules：是一些特殊的配置
其它我们在这里不做过多介绍
启动，关闭，重启
~]# systemctl start firewalld
~]# systemctl stop firewalld
~]# systemctl restart firewalld
Firewalld实战
放行http服务的三种方式
用过iptables的都知道，执行命令的规则如果没有save重启就会丢失，而firewall-cmd提供了—permanent来提供永久配置而不是重启就丢失
使用service
~]# firewall-cmd —add-service=http
修改配置文件方式
/etc/firewalld/zones/public.xml
<zone>
<service name="http"/>
</zone>此种配置方式适用于系统自带的服务
使用端口
~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" port port="80" protocol="tcp" accept"
修改配置文件方式
/etc/firewalld/zones/public.xml
<zone>
<port protocol="tcp" port="80"/>
</zone>此种配置方式适用于非系统自带的服务
使用自定义service
1.从自带的模版中复制一个模版
~ ]# cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/ftp1.xml
2.修改ftp1.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
<short>ftp1</short>
<description>zidingyi</description>
<port protocol="tcp" port="6666"/>
</service>
3.添加自定义服务
~]# firewall-cmd —add-service=ftp1
4.查看
]# firewall-cmd --list-all public target: default icmp-block-inversion: no interfaces: sources: services: dhcpv6-client ssh ftp1
放行192.168.1.0/24整个网段
放行192.168.1.0/24对80端口的访问
~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port port="80" protocol="tcp" accept"
放行192.168.1.1 对22端口访问
~]# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port port="22" protocol="tcp" accept"
nat代理上网稍后更新。
注意事项：
添加规则需要执行以下命令才能生效
firewall-cmd --reload
将本地80转发到远程192.168.1.2
firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toaddr=192.168.1.2
将本地8000-9000转发到远程192.168.1.2
firewall-cmd --permanent --zone=public --add-forward-port=port=8000-9000:proto=tcp:toaddr=192.168.1.2
写此博客主要是为了记录CentOS7上FirewallD的一些常规用法，并整理出来提供给需要快速完成firewalld需求的用户。话不多说，直接开整。
