【CentOS7之防火墙命令】

1.CentOS7的发现带了很多行的指令和新的技术。并且在帮助的中文解释也增多了很多这意味着Linux在中国的发展越来越呈现普及。今天来介绍下CentOS7的新防火墙firewall.

更多的可查看：查看

至于它与iptables的区别在那里我这里就不过多介绍。

启动：systemclt start firewall.service

检测是否已经启动防火墙：

[root@localhost ~]# ps -ef |grep firewall
root       7636      1  0 17:07 ?        00:00:00 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid
root       8028   6461  0 17:22 pts/6    00:00:00 grep --color=auto firewall
[root@localhost ~]# firewall-cmd --state
running

查看防火墙启用的区域zone:

[root@localhost ~]# firewall-cmd --list-all
public (default, active)
  interfaces: eno16777736
  sources: 
  services: dhcpv6-client http ssh
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 

查看所有的区域zone的配置：

[root@localhost ~]# firewall-cmd --list-all-zones
##查看支持的所有区域zone:
[root@localhost ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
##查看现在使用的区域zone:
[root@localhost ~]# firewall-cmd --get-default-zone
public

设置区域选择区域：

[root@localhost ~]# firewall-cmd --set-default-zone=public

启用一个服务和禁用一个服务：

firewall-cmd --add-service=http
firewall-cmd [--zone=<zone>] --remove-service=<service>

例: 禁止home区域中的http服务:
firewall-cmd --zone=home --remove-service=http

查询区域中是否启用了特定服务
firewall-cmd [--zone=<zone>] --query-service=<service>

如果服务启用，将返回1,否则返回0。没有输出信息。
启用区域端口和协议组合
firewall-cmd [--zone=<zone>] --add-port=<port>[-<port>]/<protocol> [--timeout=<seconds>]

此举将启用端口和协议的组合。端口可以是一个单独的端口 <port> 或者是一个端口范围 <port>-<port> 。协议可以是 tcp 或 udp。

禁用端口和协议组合
firewall-cmd [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>

查询区域中是否启用了端口和协议组合
firewall-cmd [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>

启用区域中的IP伪装功能
firewall-cmd [--zone=<zone>] --add-masquerade
在区域中启用端口转发或映射
firewall-cmd [--zone=<zone>] --add-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }

端口可以映射到另一台主机的同一端口，也可以是同一主机或另一主机的不同端口。端口号可以是一个单独的端口 <port> 或者是端口范围 <port>-<port> 。协议可以为 tcp 或udp 。目标端口可以是端口号 <port> 或者是端口范围 <port>-<port> 。目标地址可以是 IPv4 地址。受内核限制，端口转发功能仅可用于IPv4。