firewall-cmd 管理命令介绍

2021-08-04 0 By admin

firewall-cmd命令是 Firewalld 动态防火墙管理器服务的命令行终端。
它的参数一般都是以“长格式”来执行的,但同学们也不用太过于担心,因为红帽RHEL7系统非常酷的支持了部分命令的参数补齐,也正好包括了这条命令,也就是说现在除了能够用Tab键来补齐命令或文件名等等内容,还可以用Tab键来补齐下列长格式参数。

参数 作用
–get-default-zone 查询默认的区域名称。
–set-default-zone=[区域名称] 设置默认的区域,永久生效。
–get-zones 显示可用的区域。
–get-services 显示预先定义的服务。
–get-active-zones 显示当前正在使用的区域与网卡名称。
–add-source= 将来源于此IP或子网的流量导向指定的区域。
–remove-source= 不再将此IP或子网的流量导向某个指定区域。
–add-interface=[网卡名称] 将来自于该网卡的所有流量都导向某个指定区域。
–change-interface=[网卡名称] 将某个网卡与区域做关联。
–list-all 显示当前区域的网卡配置参数,资源,端口以及服务等信息。
–list-all-zones 显示所有区域的网卡配置参数,资源,端口以及服务等信息。
–add-service=[服务名] 设置默认区域允许该服务的流量。
–add-port=[端口号/协议] 允许默认区域允许该端口的流量。
–remove-service=[服务名] 设置默认区域不再允许该服务的流量。
–remove-port=[端口号/协议] 允许默认区域不再允许该端口的流量。
–reload 让“永久生效”的配置规则立即生效,覆盖当前的。

与Linux系统中其他的防火墙策略配置工具一样,使用 firewalld配置的防火墙策略默认为运行时(Runtime)模式,又称为当前生效模式,而且随着系统的重启会失效。
如果想让配置策略一直存在,就需要使用永久(Permanent)模式了,方法就是在用firewall-cmd命令正常设置防火墙策略时添加–permanent参数,这样配置的防火墙策略就可以永久生效了。
但是,永久生效模式有一个“不近人情”的特点,就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效,需要手动执行firewall-cmd –reload命令。

一、firewall-cmd 基本管理

1、拒绝所有包
[root@pencil ~]# firewall-cmd --panic-on
2、取消拒绝状态
[root@pencil ~]# firewall-cmd --panic-off
3、查看是否拒绝
[root@pencil ~]# firewall-cmd --query-panic
4、查看firewalld是否开启
[root@pencil ~]# systemctl is-enabled firewalld
5、重启加载防火墙
以 root 身份输入以下命令,重新加载防火墙,并不中断用户连接,即不丢失状态信息
[root@pencil ~]# firewall-cmd --reload
6、完全重启防火墙
以 root 身份输入以下命令,重新加载防火墙并中断用户连接,即丢弃状态信息
[root@pencil ~]# firewall-cmd --complete-reload
通常在防火墙出现严重问题时,这个命令才会被使用。比如,防火墙规则是正确的,但却出现状态信息问题和无法建立连接。
firewall-cmd –reload与firewall-cmd –complete-reload两者的区别就是:
第一个无需断开连接,就是firewalld特性之一动态添加规则,第二个需要断开连接,类似重启服务。

二、firewall-cmd 端口和服务管理

1、设置默认区域,立即生效无需重启
[root@pencil ~]# firewall-cmd --set-default-zone=XX

2.1、端口管理

1、查看XX区域打开的端口
[root@pencil ~]# firewall-cmd --zone=XX --list-ports
2、临时加一个端口到XX区域
[root@pencil ~]# firewall-cmd --zone=XX --add-port=8080/tcp
3、临时移除一个端口到XX区域
[root@pencil ~]# firewall-cmd --zone=XX --remove-port=8080/tcp

2.2、以服务形式管理端口

1、查看XX区域加载的服务
[root@pencil ~]# firewall-cmd --zone=XX --list-services
2、添加服务
[root@pencil ~]# firewall-cmd --zone=work --add-service=smtp
3、移除服务
[root@pencil ~]# firewall-cmd --zone=work --remove-service=smtp

2.3、接口 interface 管理

1、设置XX接口所属区域
[root@pencil ~]# firewall-cmd --get-zone-of-interface=XX
2、查询YY区域中是否包含XX接口
[root@pencil ~]# firewall-cmd --zone=YY --query-interface=XX
3、删除指定XX网卡所在的zone(以YY为例)
[root@pencil ~]# firewall-cmd --zone=YY --remove-interface=XX
4、临时修改XX接口为YY区域(永久修改加参数–permanent)
[root@pencil ~]# firewall-cmd --zone=YY --change-interface=XX