第十二节
Firewalld
firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。
firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。
firewalld中常见的区域名称（默认为public）以及相应的策略规则如表所示。
firewalld中常用的区域名称及策略规则
| 区域 | 默认规则策略 |
| trusted | 允许所有的数据包 |
| home | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量 |
| internal | 等同于home区域 |
| work | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量 |
| public | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量 |
| external | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 |
| dmz | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 |
| block | 拒绝流入的流量，除非与流出的流量相关 |
| drop | 拒绝流入的流量，除非与流出的流量相关 |
终端管理工具
firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本,它的参数一般都是以“长格式”来提供的。
firewall-cmd命令中常用的参数以及作用
| 参数 | 作用 |
| --get-default-zone | 查询默认的区域名称 |
| --set-default-zone=<区域名称> | 设置默认的区域，使其永久生效 |
| --get-zones | 显示可用的区域 |
| --get-services | 显示预先定义的服务 |
| --get-active-zones | 显示当前正在使用的区域与网卡名称 |
| --add-source= | 将源自此IP或子网的流量导向指定的区域 |
| --remove-source= | 不再将源自此IP或子网的流量导向某个指定区域 |
| --add-interface=<网卡名称> | 将源自该网卡的所有流量都导向某个指定区域 |
| --change-interface=<网卡名称> | 将某个网卡与区域进行关联 |
| --list-all | 显示当前区域的网卡配置参数、资源、端口以及服务等信息 |
| --list-all-zones | 显示所有区域的网卡配置参数、资源、端口以及服务等信息 |
| --add-service=<服务名> | 设置默认区域允许该服务的流量 |
| --add-port=<端口号/协议> | 设置默认区域允许该端口的流量 |
| --remove-service=<服务名> | 设置默认区域不再允许该服务的流量 |
| --remove-port=<端口号/协议> | 设置默认区域不再允许该端口的流量 |
| --reload | 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则 |
| --panic-on | 开启应急状况模式 |
| --panic-off | 关闭应急状况模式 |
使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且会随着系统的重启而失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。
查看当前有哪些域
[root@superwu10 ~]# firewall-cmd --get-zones block dmz drop external home internal libvirt public trusted work
查看firewalld服务当前所使用的区域。
[root@superwu10 ~]# firewall-cmd --get-default-zone public
查询指定网卡在firewalld服务中绑定的区域。
[root@superwu10 ~]# firewall-cmd --get-zone-of-interface=ens160 //在同一台服务器上可以为不同的网卡绑定不同的域 public
把网卡默认区域修改为external，并在系统重启后生效。
[root@superwu10 ~]# firewall-cmd --zone=external --change-interface=ens160 --permanent The interface is under control of NetworkManager, setting zone to 'external'. success [root@superwu10 ~]# firewall-cmd --get-default-zone public [root@superwu10 ~]# firewall-cmd --get-zone-of-interface=ens160 --permanent external
把firewalld服务的默认区域设置为public。
默认区域也叫全局配置，指的是对所有网卡都生效的配置，优先级较低。在下面的代码中可以看到，当前默认区域为public，而ens160网卡的区域为external。此时便是以网卡的区域名称为准。
[root@superwu10 ~]# firewall-cmd --set-default-zone=public Warning: ZONE_ALREADY_SET: public success [root@superwu10 ~]# firewall-cmd --get-default-zone public [root@superwu10 ~]# firewall-cmd --get-zone-of-interface=ens160 //此时网卡的域（external）优先级高于全局域（public） external
查询SSH和HTTPS协议的流量是否允许放行。
[root@superwu10 ~]# firewall-cmd --zone=public --query-service=ssh //query-service查询服务 yes [root@superwu10 ~]# firewall-cmd --zone=public --query-service=https no
把HTTPS协议的流量设置为永久允许放行，并立即生效。
[root@superwu10 ~]# firewall-cmd --zone=public --add-service=https --permanent success [root@superwu10 ~]# firewall-cmd --reload //加载配置文件，使永久生效的配置立即且永久生效 success [root@superwu10 ~]# firewall-cmd --zone=public --query-service=https yes
把HTTP协议的流量设置为永久拒绝，并立即生效。
[root@superwu10 ~]# firewall-cmd --zone=public --remove-service=http --permanent //--remove-service移除服务 Warning: NOT_ENABLED: http success [root@superwu10 ~]# firewall-cmd --reload success [root@superwu10 ~]# firewall-cmd --zone=public --query-service=http no
把访问8080和8085端口的流量策略设置为允许，永久且立即生效。
[root@superwu10 ~]# firewall-cmd --zone=public --add-port=8080-8085/tcp --permanent success [root@superwu10 ~]# firewall-cmd --reload success [root@superwu10 ~]# firewall-cmd --zone=public --list-ports 8080-8085/tcp
把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效（端口转发）。
端口转发格式：firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
[root@superwu10 ~]# firewall-cmd --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10 --permanent success [root@superwu10 ~]# firewall-cmd --reload success [root@superwu10 ~]# firewall-cmd --zone=public --list-forward-ports port=888:proto=tcp:toport=22:toaddr=192.168.10.10
富规则的设置
富规则也叫复规则，表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。
拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务（22端口）
[root@superwu10 ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject" success [root@superwu10 ~]# firewall-cmd --reload success [root@superwu10 ~]# firewall-cmd --zone=public --list-rich-rules rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject
firewalld防火墙的紧急模式
紧急模式会切断一切网络连接，因此在远程管理服务器时，在按下回车键前一定要三思。
[root@linuxprobe ~]# firewall-cmd --panic-on //启用紧急模式阻断一切网络 success [root@linuxprobe ~]# firewall-cmd --panic-off //若开启紧急模式后网络已经断开，关闭紧急模式只能本地登录关闭。 success
图形管理工具
firewall-config是firewalld防火墙配置管理工具的GUI（图形用户界面）版本，默认情况下系统并没有提供firewall-config命令，我们需要自行用dnf命令进行安装。
在使用firewall-config工具配置完防火墙策略之后，无须进行二次确认，因为只要有修改内容，它就自动进行保存。
安装图形管理工具
[root@superwu ~]# dnf install firewall-config
打开图形管理工具
[root@superwu ~]# firewall-config
放行public域中的http流量，且当前生效。
注意：勾选http后会马上生效。
放行public域中的8080-8088端口的(tcp)流量，立即生效且重启后依然生效。
还需要在Options菜单中单击Reload Firewalld命令，让配置的防火墙策略立即生效。
开启SNAT技术
端口转发，将本机888端口的流量转发到22端口，且要求当前和长期均有效
使用firewall-config配置富规则非常方便，例如在public域禁止192.168.10.0/24网段的主机使用ssh连接。
[root@superwu ~]# firewall-cmd --zone=public --list-rich-rules rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject
设置网卡和防火墙域的绑定（针对不同的网卡绑定不同的域）
注意：删除网卡和域的绑定需要使用firewall-cmd进行，图形化页面无法解绑。
[root@superwu ~]# firewall-cmd --get-zone-of-interface=ens192 work [root@superwu ~]# firewall-cmd --zone=work --remove-interface=ens192 success [root@superwu ~]# firewall-cmd --get-zone-of-interface=ens192 no zone
