firewalld的使用詳解
轉：https://blog.csdn.net/solaraceboy/article/details/78342360
1、使用之前，幾個需要理解的概念。
在正式使用firewalld之前，有幾個概念我們必須了解一下。
由firewalld 提供的區域按照從不信任到信任的順序排序。
丟棄（drop）：任何流入網絡的包都被丟棄，不作出任何響應。只允許流出的網絡連接。
阻塞（block）：任何進入的網絡連接都被拒絕，並返回 IPv4 的 icmp-host-prohibited 報文或者 IPv6 的 icmp6-adm-prohibited 報文。只允許由該系統初始化的網絡連接。
公開（public）：用以可以公開的部分。你認為網絡中其他的計算機不可信並且可能傷害你的計算機。只允許選中的連接接入。（You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.）
外部（external）：用在路由器等啟用偽裝的外部網絡。你認為網絡中其他的計算機不可信並且可能傷害你的計算機。只允許選中的連接接入。
隔離區（dmz）：用以允許隔離區（dmz）中的電腦有限地被外界網絡訪問。只接受被選中的連接。
工作（work）：用在工作網絡。你信任網絡中的大多數計算機不會影響你的計算機。只接受被選中的連接。
家庭（home）：用在家庭網絡。你信任網絡中的大多數計算機不會影響你的計算機。只接受被選中的連接。
內部（internal）：用在內部網絡。你信任網絡中的大多數計算機不會影響你的計算機。只接受被選中的連接。
受信任的（trusted）：允許所有網絡連接。
2、常見問題FQA。
（1）我應該選用哪個區域?
例如，公共的 WIFI 連接應該主要為不受信任的，家庭的有線網絡應該是相當可信任的。根據與你使用的網絡最符合的區域進行選擇。
如何配置或者增加區域?
你可以使用任何一種 firewalld 配置工具來配置或者增加區域，以及修改配置。工具有例如 firewall-config 這樣的圖形界面工具， firewall-cmd 這樣的命令行工具，以及D-BUS接口。或者你也可以在配置文件目錄中創建或者拷貝區域文件。 @PREFIX@/lib/firewalld/zones 被用於默認和備用配置，/etc/firewalld/zones 被用於用戶創建和自定義配置文件。
（2）如何為網絡連接設置或者修改區域？
區域設置以 ZONE= 選項 存儲在網絡連接的ifcfg文件中。如果這個選項缺失或者為空，firewalld 將使用配置的默認區域。
如果這個連接受到 NetworkManager 控制，你也可以使用 nm-connection-editor 來修改區域。
（3）由 NetworkManager 控制的網絡連接
防火牆不能夠通過 NetworkManager 顯示的名稱來配置網絡連接，只能配置網絡接口。因此在網絡連接之前 NetworkManager 將配置文件所述連接對應的網絡接口告訴 firewalld 。如果在配置文件中沒有配置區域，接口將配置到 firewalld 的默認區域。如果網絡連接使用了不止一個接口，所有的接口都會應用到 fiwewalld。接口名稱的改變也將由 NetworkManager 控制並應用到firewalld。
如果一個接口斷開了， NetworkManager 也將告訴 firewalld 從區域中刪除該接口。當 firewalld 由 systemd 或者 init 腳本啟動或者重啟后，firewalld 將通知 NetworkManager 把網絡連接增加到區域。
3、使用firewalld防火牆
- 在不改變狀態的條件下重新加載防火牆：
firewall-cmd --reload
如果你使用 --complete-reload ，狀態信息將會丟失。這個選項應當僅用於處理防火牆問題時，例如，狀態信息和防火牆規則都正常，但是不能建立任何連接的情況。
- 獲取支持的區域列表
firewall-cmd --get-zones
這條命令輸出用空格分隔的列表。
- 獲取所有支持的服務
firewall-cmd --get-services
這條命令輸出用空格分隔的列表。
- 獲取所有支持的ICMP類型
firewall-cmd --get-icmptypes
這條命令輸出用空格分隔的列表。
- 列出全部啟用的區域的特性
firewall-cmd --list-all-zones
輸出格式是：
<zone> interfaces: <interface1> .. services: <service1> .. ports: <port1> .. forward-ports: <forward port1> .. icmp-blocks: <icmp type1> .. ..
- 輸出區域 <zone> 全部啟用的特性。如果生略區域，將顯示默認區域的信息。
firewall-cmd [--zone=<zone>] --list-all
- 獲取默認區域的網絡設置
firewall-cmd --get-default-zone
- 設置默認區域
firewall-cmd --set-default-zone=<zone>
流入默認區域中配置的接口的新訪問請求將被置入新的默認區域。當前活動的連接將不受影響。
- 獲取活動的區域
firewall-cmd --get-active-zones
這條命令將用以下格式輸出每個區域所含接口：
<zone1>: <interface1> <interface2> .. <zone2>: <interface3> ..
- 根據接口獲取區域
firewall-cmd --get-zone-of-interface=<interface>
這條命令將輸出接口所屬的區域名稱。
- 將接口增加到區域
firewall-cmd [--zone=<zone>] --add-interface=<interface>
如果接口不屬於區域，接口將被增加到區域。如果區域被省略了，將使用默認區域。接口在重新加載后將重新應用。
- 修改接口所屬區域
firewall-cmd [--zone=<zone>] --change-interface=<interface>
這個選項與 --add-interface 選項相似，但是當接口已經存在於另一個區域的時候，該接口將被添加到新的區域。
- 從區域中刪除一個接口
firewall-cmd [--zone=<zone>] --remove-interface=<interface>
- 查詢區域中是否包含某接口
firewall-cmd [--zone=<zone>] --query-interface=<interface>
返回接口是否存在於該區域。沒有輸出。
- 列舉區域中啟用的服務
firewall-cmd [ --zone=<zone> ] --list-services
- 啟用應急模式阻斷所有網絡連接，以防出現緊急狀況
firewall-cmd --panic-on
- 禁用應急模式
firewall-cmd --panic-off
在 0.3.0 之前的 FirewallD版本中, panic 選項是
--enable-panic 與
--disable-panic.
- 查詢應急模式
firewall-cmd --query-panic
此命令返回應急模式的狀態，沒有輸出。可以使用以下方式獲得狀態輸出：
firewall-cmd --query-panic && echo "On" || echo "Off"
處理運行時區域
運行時模式下對區域進行的修改不是永久有效的。重新加載或者重啟后修改將失效。
- 啟用區域中的一種服務
firewall-cmd [--zone=<zone>] --add-service=<service> [--timeout=<seconds>]
此舉啟用區域中的一種服務。如果未指定區域，將使用默認區域。如果設定了超時時間，服務將只啟用特定秒數。如果服務已經活躍，將不會有任何警告信息。
- 例: 使區域中的 ipp-client 服務生效60秒:
firewall-cmd --zone=home --add-service=ipp-client --timeout=60
- 例: 啟用默認區域中的http服務:
firewall-cmd --add-service=http
- 禁用區域中的某種服務
firewall-cmd [--zone=<zone>] --remove-service=<service>
此舉禁用區域中的某種服務。如果未指定區域，將使用默認區域。
- 例: 禁止 home 區域中的 http 服務:
firewall-cmd --zone=home --remove-service=http
區域種的服務將被禁用。如果服務沒有啟用，將不會有任何警告信息。
- 查詢區域中是否啟用了特定服務
firewall-cmd [--zone=<zone>] --query-service=<service>
如果服務啟用，將返回1,否則返回0。沒有輸出信息。
- 啟用區域端口和協議組合
firewall-cmd [--zone=<zone>] --add-port=<port>[-<port>]/<protocol> [--timeout=<seconds>]
此舉將啟用端口和協議的組合。端口可以是一個單獨的端口 <port> 或者是一個端口范圍 <port>-<port> 。協議可以是 tcp 或 udp。
- 禁用端口和協議組合
firewall-cmd [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>
- 查詢區域中是否啟用了端口和協議組合
firewall-cmd [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>
如果啟用，此命令將有返回值。沒有輸出信息。
- 啟用區域中的 IP 偽裝功能
firewall-cmd [--zone=<zone>] --add-masquerade
此舉啟用區域的偽裝功能。私有網絡的地址將被隱藏並映射到一個公有IP。這是地址轉換的一種形式，常用於路由。由於內核的限制，偽裝功能僅可用於IPv4。
- 禁用區域中的 IP 偽裝
firewall-cmd [--zone=<zone>] --remove-masquerade
- 查詢區域的偽裝狀態
firewall-cmd [--zone=<zone>] --query-masquerade
如果啟用，此命令將有返回值。沒有輸出信息。
- 啟用區域的 ICMP 阻塞功能
firewall-cmd [--zone=<zone>] --add-icmp-block=<icmptype>
此舉將啟用選中的 Internet 控制報文協議 （ICMP） 報文進行阻塞。 ICMP 報文可以是請求信息或者創建的應答報文，以及錯誤應答。
- 禁止區域的 ICMP 阻塞功能
firewall-cmd [--zone=<zone>] --remove-icmp-block=<icmptype>
- 查詢區域的 ICMP 阻塞功能
firewall-cmd [--zone=<zone>] --query-icmp-block=<icmptype>
如果啟用，此命令將有返回值。沒有輸出信息。
- 例: 阻塞區域的響應應答報文:
firewall-cmd --zone=public --add-icmp-block=echo-reply
- 在區域中啟用端口轉發或映射
firewall-cmd [--zone=<zone>] --add-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
端口可以映射到另一台主機的同一端口，也可以是同一主機或另一主機的不同端口。端口號可以是一個單獨的端口 <port> 或者是端口范圍 <port>-<port> 。協議可以為 tcp 或udp 。目標端口可以是端口號 <port> 或者是端口范圍 <port>-<port> 。目標地址可以是 IPv4 地址。受內核限制，端口轉發功能僅可用於IPv4。
- 禁止區域的端口轉發或者端口映射
firewall-cmd [--zone=<zone>] --remove-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
- 查詢區域的端口轉發或者端口映射
firewall-cmd [--zone=<zone>] --query-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
如果啟用，此命令將有返回值。沒有輸出信息。
- 例: 將區域 home 的 ssh 轉發到 127.0.0.2
firewall-cmd --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2
處理永久區域
永久選項不直接影響運行時的狀態。這些選項僅在重載或者重啟服務時可用。為了使用運行時和永久設置，需要分別設置兩者。 選項 --permanent 需要是永久設置的第一個參數。
- 獲取永久選項所支持的服務
firewall-cmd --permanent --get-services
- 獲取永久選項所支持的ICMP類型列表
firewall-cmd --permanent --get-icmptypes
- 獲取支持的永久區域
firewall-cmd --permanent --get-zones
- 啟用區域中的服務
firewall-cmd --permanent [--zone=<zone>] --add-service=<service>
此舉將永久啟用區域中的服務。如果未指定區域，將使用默認區域。
- 禁用區域中的一種服務
firewall-cmd --permanent [--zone=<zone>] --remove-service=<service>
- 查詢區域中的服務是否啟用
firewall-cmd --permanent [--zone=<zone>] --query-service=<service>
如果服務啟用，此命令將有返回值。此命令沒有輸出信息。
- 例: 永久啟用 home 區域中的 ipp-client 服務
firewall-cmd --permanent --zone=home --add-service=ipp-client
- 永久啟用區域中的一個端口-協議組合
firewall-cmd --permanent [--zone=<zone>] --add-port=<port>[-<port>]/<protocol>
- 永久禁用區域中的一個端口-協議組合
firewall-cmd --permanent [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>
- 查詢區域中的端口-協議組合是否永久啟用
firewall-cmd --permanent [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>
如果服務啟用，此命令將有返回值。此命令沒有輸出信息。
- 例: 永久啟用 home 區域中的 https (tcp 443) 端口
firewall-cmd --permanent --zone=home --add-port=443/tcp
- 永久啟用區域中的偽裝
firewall-cmd --permanent [--zone=<zone>] --add-masquerade
此舉啟用區域的偽裝功能。私有網絡的地址將被隱藏並映射到一個公有IP。這是地址轉換的一種形式，常用於路由。由於內核的限制，偽裝功能僅可用於IPv4。
- 永久禁用區域中的偽裝
firewall-cmd --permanent [--zone=<zone>] --remove-masquerade
- 查詢區域中的偽裝的永久狀態
firewall-cmd --permanent [--zone=<zone>] --query-masquerade
如果服務啟用，此命令將有返回值。此命令沒有輸出信息。
- 永久啟用區域中的ICMP阻塞
firewall-cmd --permanent [--zone=<zone>] --add-icmp-block=<icmptype>
此舉將啟用選中的 Internet 控制報文協議 （ICMP） 報文進行阻塞。 ICMP 報文可以是請求信息或者創建的應答報文或錯誤應答報文。
- 永久禁用區域中的ICMP阻塞
firewall-cmd --permanent [--zone=<zone>] --remove-icmp-block=<icmptype>
- 查詢區域中的ICMP永久狀態
firewall-cmd --permanent [--zone=<zone>] --query-icmp-block=<icmptype>
如果服務啟用，此命令將有返回值。此命令沒有輸出信息。
- 例: 阻塞公共區域中的響應應答報文:
firewall-cmd --permanent --zone=public --add-icmp-block=echo-reply
- 在區域中永久啟用端口轉發或映射
firewall-cmd --permanent [--zone=<zone>] --add-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
端口可以映射到另一台主機的同一端口，也可以是同一主機或另一主機的不同端口。端口號可以是一個單獨的端口 <port> 或者是端口范圍 <port>-<port> 。協議可以為 tcp 或udp 。目標端口可以是端口號 <port> 或者是端口范圍 <port>-<port> 。目標地址可以是 IPv4 地址。受內核限制，端口轉發功能僅可用於IPv4。
- 永久禁止區域的端口轉發或者端口映射
firewall-cmd --permanent [--zone=<zone>] --remove-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
- 查詢區域的端口轉發或者端口映射狀態
firewall-cmd --permanent [--zone=<zone>] --query-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
如果服務啟用，此命令將有返回值。此命令沒有輸出信息。
- 例: 將 home 區域的 ssh 服務轉發到 127.0.0.2
firewall-cmd --permanent --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2
直接選項
直接選項主要用於使服務和應用程序能夠增加規則。 規則不會被保存，在重新加載或者重啟之后必須再次提交。傳遞的參數 <args> 與 iptables, ip6tables 以及 ebtables 一致。
選項 --direct 需要是直接選項的第一個參數。
- 將命令傳遞給防火牆。參數 <args> 可以是 iptables, ip6tables 以及 ebtables 命令行參數。
firewall-cmd --direct --passthrough { ipv4 | ipv6 | eb } <args>
- 為表 <table> 增加一個新鏈 <chain> 。
firewall-cmd --direct --add-chain { ipv4 | ipv6 | eb } <table> <chain>
- 從表 <table> 中刪除鏈 <chain> 。
firewall-cmd --direct --remove-chain { ipv4 | ipv6 | eb } <table> <chain>
- 查詢 <chain> 鏈是否存在與表 <table>. 如果是，返回0,否則返回1.
firewall-cmd --direct --query-chain { ipv4 | ipv6 | eb } <table> <chain>
如果啟用，此命令將有返回值。此命令沒有輸出信息。
- 獲取用空格分隔的表 <table> 中鏈的列表。
firewall-cmd --direct --get-chains { ipv4 | ipv6 | eb } <table>
- 為表 <table> 增加一條參數為 <args> 的鏈 <chain> ，優先級設定為 <priority>。
firewall-cmd --direct --add-rule { ipv4 | ipv6 | eb } <table> <chain> <priority> <args>
- 從表 <table> 中刪除帶參數 <args> 的鏈 <chain>。
firewall-cmd --direct --remove-rule { ipv4 | ipv6 | eb } <table> <chain> <args>
- 查詢 帶參數 <args> 的鏈 <chain> 是否存在表 <table> 中. 如果是，返回0,否則返回1.
firewall-cmd --direct --query-rule { ipv4 | ipv6 | eb } <table> <chain> <args>
如果啟用，此命令將有返回值。此命令沒有輸出信息。
- 獲取表 <table> 中所有增加到鏈 <chain> 的規則，並用換行分隔。
firewall-cmd --direct --get-rules { ipv4 | ipv6 | eb } <table> <chain>