FirewallD防火墻

FirewallD是 iptables 的前端控制器，用于實現持久的網絡流量規則。它提供命令行和圖形界面，在大多數 Linux 發行版的倉庫中都有。與直接控制 iptables 相比，使用 FirewallD 有兩個主要區別：

1.    FirewallD 使用區域和服務而不是鏈式規則。

2.    它動態管理規則集，允許更新規則而不破壞現有會話和連接。

FirewallD 是 iptables 的一個封裝，可以讓你更容易地管理 iptables 規則 - 它并不是 iptables 的替代品。雖然 iptables 命令仍可用于 FirewallD，但建議使用 FirewallD 時僅使用 FirewallD 命令。

安裝與管理 FirewallD

CentOS 7 和 Fedora 20+ 已經包含了 FirewallD，但是默認沒有激活。可以像其它的 systemd 單元那樣控制它。

# 1. FirewallD服務管理
systemctl start firewalld
systemctl enable firewalld

systemctl stop firewalld
systemctl disable firewalld

firewall-cmd --state # 檢查防火墻狀態。輸出應該是 running 或者 not running。
systemctl status firewalld

firewall-cmd --reload # 重新加載 FirewallD 配置

防火墻的區域

區域”是針對給定位置或場景（例如家庭、公共、受信任等）可能具有的各種信任級別的預構建規則集。不同的區域允許不同的網絡服務和入站流量類型，而拒絕其他任何流量。 首次啟用 FirewallD 后，public 將是默認區域。

區域也可以用于不同的網絡接口。例如，要分離內部網絡和互聯網的接口，你可以在 internal 區域上允許 DHCP，但在external 區域僅允許 HTTP 和 SSH。未明確設置為特定區域的任何接口將添加到默認區域。

firewall-cmd --get-default-zone # 找到默認區域

firewall-cmd --set-default-zone=internal # 修改默認區域

firewall-cmd --get-active-zones # 查看你網絡接口使用的區域

firewall-cmd --zone=public --list-all # 得到特定區域的所有配置

sudo firewall-cmd --list-all-zones # 得到所有區域的配置

與服務一起使用

FirewallD 可以根據特定網絡服務的預定義規則來允許相關流量。你可以創建自己的自定義系統規則，并將它們添加到任何區域。 默認支持的服務的配置文件位于 /usr/lib/firewalld/services，用戶創建的服務文件在 /etc/firewalld/services 中。

firewall-cmd --get-services
firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --zone=public --remove-service=http --permanent

允許或者拒絕任意端口/協議

firewall-cmd --zone=public --add-port=12345/tcp --permanent
firewall-cmd --zone=public --remove-port=12345/tcp --permanent

端口轉發

# 范例：在同一臺服務器上將 80 端口的流量轉發到 12345 端口
firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=12345

# 要將端口轉發到另外一臺服務器上
# 在需要的區域中激活 masquerade
firewall-cmd --zone=public --add-masquerade
firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=123.456.78.9

# 要刪除規則，用 --remove 替換 --add
firewall-cmd --zone=public --remove-masquerade

富規則

豐富規則的語法有很多，但都完整地記錄在 firewalld.richlanguage(5) 的手冊頁中（或在終端中 man firewalld.richlanguage）。 使用 --add-rich-rule、--list-rich-rules 、 --remove-rich-rule 和 firewall-cmd 命令來管理它們。

# 范例1： 允許來自主機 192.168.0.14 的所有 IPv4 流量。
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address=192.168.0.14 accept'

# 范例2：拒絕來自主機 192.168.1.10 到 22 端口的 IPv4 的 TCP 流量。
firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject'

# 范例3：允許來自主機 10.1.0.3 到 80 端口的 IPv4 的 TCP 流量，并將流量轉發到 6532 端口上。 ?
firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 source address=10.1.0.3 forward-port port=80 protocol=tcp to-port=6532'

# 范例4：將主機 172.31.4.2 上 80 端口的 IPv4 流量轉發到 8080 端口（需要在區域上激活 masquerade）。
firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 forward-port port=80 protocol=tcp to-port=8080 to-addr=172.31.4.2'

# 列出你目前的豐富規則
firewall-cmd --list-rich-rules