linux firewalld防火墙常用操作

系统操作

	加入开机启动		
		systemctl enable firewalld
	
	启、停
		systemctl start firewalld
		systemctl stop firewalld
	
	重启、重载		
		systemctl restart firewalld
		firewall-cmd --reload
		firewalld 动态管理规则集，所以它不会破坏现有的连接和会话。

	查看运行状态		
		systemctl status firewall-cmd

	
	配置文件位置		
		/etc/firewalld/{services,zones}/*.xml    优先级最高，permanent模式生效的策略会放到这里
		/lib/firewalld/{services,zones}/*.xml   优先级要低些，是一些默认配置，可以当做模板使用
	
	每个预定义的区域、服务等都有一个对应的文件：
		/usr/lib/firewalld/{zones,services...}						

查看

	查看防火墙状态，是否是running   
	   firewall-cmd --state                           

	重新载入配置，比如添加规则之后，需要执行此命令   
	   firewall-cmd --reload                          

	列出支持的zone   
	   firewall-cmd --get-zones                                      

	查看当前使用的区
		firewall-cmd --get-default-zone			

	查看网卡所在区域：
		firewall-cmd --get-zone-of-interface=eth0			

	查看正在活动的区域：
		firewall-cmd --get-active-zones			

	查看所有规则明细：
		firewall-cmd --list-all			
		firewall-cmd --list-all-zones			
	
	查看端口添加的规则
		firewall-cmd --list-ports			

	查看ftp服务是否支持，返回yes或者no   
	   firewall-cmd --query-service ftp

	查看指定区域(public)的以端口方式添加的规则
		firewall-cmd --zone=public --list-ports			

	查看指定区域(public)的以服务名添加的规则
		firewall-cmd --zone=public --list-services			

	查看指定区域的所有规则
		firewall-cmd --zone=public --list-all			

	查看firewalldl默认支持的所有服务名列表
		firewall-cmd --get-services			

	查看只通过服务名添加的规则[默认当前激活的公共区域]
		firewall-cmd --list-services			

修改

	添加放行两种方式	
		1 runtime 临时配置 修改规则马上生效 但是重启则丢失		
		例如： 
			firewall-cmd --add-service=ftp 			
		2 permanent 持久配置 修改后需要reload 重载才生效	
		例如：			
			firewall-cmd --zone=public --add-port=80/tcp --permanent

	添加放行端口					
		firewall-cmd --add-port=8080/tcp 				
		firewall-cmd --add-port={8081,8082}/tcp				
		firewall-cmd --add-port={8090..8095}/tcp				
		firewall-cmd --zone=public --add-port=80/tcp --permanent				
		firewall-cmd --zone=public --add-port=4990-4999/udp   #添加4990-4999 udp端口				
		#添加常用端口，不指定--zone，默认会添加到默认的区域			
	
	添加放行的服务 （服务名称进行放行 --> 本质还是对应的端口)					
		firewall-cmd --add-service=http				
		firewall-cmd --add-service=ftp #开放 ftp 服务规则 				
		firewall-cmd --add-service=mysql # 开放mysql端口规则 				
		firewall-cmd --add-service=ssh # 开放ssh端口规则	

	删除端口					
		firewall-cmd --remove-port={8090..8095}/tcp				
		firewall-cmd --zone=public --remove-port=80/tcp --permanent				
	
	端口转发-本地					
		firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8000 --permanent				
	
	将同一台服务器上80端口的流量转发至8080			
		firewall-cmd --list-forward-ports				查看转发
		firewall-cmd --remove-forward-port=port=80:proto=tcp:toport=8000 --permanent				
		firewall-cmd --reload				重载生效

	端口转发-ip					
	将端口转发到另外一台服务器上,在需要的区域中激活 masquerade				
		firewall-cmd --zone=public --add-masquerade				
					
	将本地的80端口的流量转发到IP地址为:10.0.10.15 的远程服务器上的8080端口			
		。。。。。。
	
	
	伪装IP					
		firewall-cmd --query-masquerade    # 检查是否允许伪装IP 				
		firewall-cmd --add-masquerade      # 允许防火墙伪装IP 				
		firewall-cmd --remove-masquerade   # 禁止防火墙伪装IP				
	

	自定义一个服务名称					
		cd /usr/lib/firewalld/services/				
		cp http.xml nginx.xml				
		firewall-cmd --reload				
		firewall-cmd --add-service=nginx				
	
	修改服务当前所使用区域：					
		firewall-cmd --get-default-zone=public				
	修改默认区					
		firewall-cmd --set-default-zone=internal 				

	危险命令：[立即生效]		
		拒绝所有包：firewall-cmd --panic-on    
		取消拒绝状态： firewall-cmd --panic-off 
		查看是否拒绝： firewall-cmd --query-panic