防火牆是一種防火牆管理解決方案，可用於許多 Linux 發行版，它充當 Linux 內核提供的 iptables 數據包篩選系統的前端。在本指南中，將介紹如何為服務器設置防火牆，並向你展示使用管理工具管理防火牆的基礎知識
注：你可能正在使用比本指南發布時可用的較新版本的防火牆，或者你的服務器設置與本指南中使用的示例服務器略有不同。因此，本指南中解釋的一些命令的行為可能因你的特定配置而異。
防火牆中的基本概念
在我們開始介紹如何實際使用實用程序來管理防火牆配置之前，我們應該熟悉該工具介紹的一些基本概念。firewall-cmd
區域
守護進程使用稱為"區域"的實體管理規則組。區域基本上是一組規則，根據計算機連接到的網絡的信任級別，規定應允許哪些流量。網絡接口被分配一個區域，以指示防火牆應允許的行為。
無論你所處的網絡環境有多動態，熟悉每個預定義區域仍然很有用。從最不信任 到 最受信任的順序，中的預定義區域是
- drop（丟棄）：最低信任級別。所有傳入連接在沒有回復的情況下丟棄，並且只能進行傳出連接。
- block（限制）：與上述類似，但傳入請求不是簡單地丟棄連接，而是使用 或 消息被拒絕。icmp-host-prohibited icmp6-adm-prohibited
- public（公共）：表示公共、不受信任的網絡。您不信任其他計算機，但可能會根據情況允許選定的傳入連接。
- external（外部）：使用防火牆作為網關時的外部網絡。它配置為 NAT 偽裝，以便你的內部網絡保持私有但可訪問。
- internal（內部）：外部區域的另一側，用於網關的內部部分。計算機是相當值得信賴的，一些額外的服務是可用的。
- dmz： 用於位於 DMZ 中的計算機（無法訪問網絡其余部分的隔離計算機）。僅允許某些傳入連接。
- work（工作）：用於工作機器。信任網絡中的大多數計算機。可能允許使用更多服務。
- home（家）：家庭環境。它通常意味着你信任大多數其他計算機，並且將接受更多服務。
- trusted（受信任） ：信任網絡中的所有計算機。最開放的可用選項，應謹慎使用。
要使用防火牆，我們可以創建規則並更改區域的屬性，然后將網絡接口分配給最合適的區域。
永久性規則
在防火牆中，規則可以指定為永久規則或即時規則。如果添加或修改了規則，默認情況下，將修改當前運行的防火牆的行為。在下次啟動時，將恢復舊規則。
大多數操作都可以采取該標志來指示非臨時防火牆應作為目標。這將影響啟動時重新加載的規則集。這種分離意味着您可以在活動防火牆實例中測試規則，然后在出現問題時重新加載。還可以使用標志來構建一整組規則，這些規則將在發出重載命令時同時應用。firewall-cmd --permanent --permanent
安裝並啟用防火牆啟動
firewalld默認情況下安裝在某些 Linux 發行版上，包括 openEuler/CentOS 7 的許多映像。但是，您可能有必要自行安裝防火牆：
sudo yum install firewalld
sudo systemctl enable firewalld
sudo reboot
驗證防火牆服務是否正在運行：
sudo firewall-cmd --state
修改防火牆規則
在開始修改之前，我們應該熟悉守護進程提供的默認環境和規則。
瀏覽默認值
通過鍵入以下類型，我們可以看到當前選擇哪個區域為默認值：
firewall-cmd --get-default-zone
由於我們沒有給出任何指定區域的命令，並且我們的接口都沒有配置為綁定到另一個區域，因此該區域也將是唯一的"活動"區域（控制我們接口的流量的區域）。我們可以通過鍵入以下類型來驗證這一點：
firewall-cmd --get-active-zones
輸出：interfaces: eth0 eth1
我們可以看到，我們的示例服務器有兩個網絡接口由防火牆控制。它們目前都按照為公共區域定義的規則進行管理。
我們怎么知道哪些規則與公共區域相關？我們可以通過鍵入以下類型打印出默認區域的配置：
sudo firewall-cmd --list-all
輸出： public (default, active) target: default icmp-block-inversion: no interfaces: eth0 eth1 sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:
我們可以從輸出中判斷此區域是默認的和活躍的，並且和接口與此區域關聯，我們也可以看到，此區域允許與 DHCP 客戶端（用於 IP 地址分配）和 SSH（用於遠程管理）關聯的正常操作。
為你的接口選擇區域
除非已配置網絡接口，否則在啟動防火牆時，每個接口都將置於默認區域。
更改接口區域
可以在會話期間將接口與參數結合使用，在會話期間在區域之間轉換接口。與修改防火牆的所有命令一樣，您需要使用 。
例如，可以通過鍵入以下內容將接口轉換為"主"區域：eth0
sudo firewall-cmd --zone=home --change-interface=eth0
輸出：success
可以通過再次請求活動區域來驗證這是否成功：
firewall-cmd --get-active-zones
輸出： home interfaces: eth0 public interfaces: eth1
調整默認區域
如果所有接口由單個區域處理，則只需選擇最佳默認區域，然后將它用於配置可能更容易。
可以使用參數更改默認區域。這將立即更改已返回默認到新區域的任何接口：--set-default-zone=
sudo firewall-cmd --set-default-zone=home
輸出：success
為應用程序設置規則
向區域添加服務
最簡單的方法是將所需的服務或端口添加到您使用的區域。同樣，您可以使用以下選項獲取可用服務的列表：--get-services
firewall-cmd --get-services
輸出： RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
例如，如果我們運行一個為常規 HTTP 流量服務的 Web 服務器，我們可以通過鍵入以下方式，為此會話的"公共"區域中的接口允許此流量：
sudo firewall-cmd --zone=public --add-service=http
可以通過使用 或 操作驗證操作是否成功：--zone= --list-all --list-services
sudo firewall-cmd --zone=public --list-services
輸出：dhcpv6-client http ssh
測試到所有內容都正常工作后，如果想要修改永久防火牆規則，以便重新啟動后服務仍然可用。我們可以通過鍵入：
sudo firewall-cmd --zone=public --permanent --add-service=http
輸出：success
可以通過向操作添加標志來驗證這是否成功。需要用於任何操作：--permanent--list-servicessudo``--permanent
sudo firewall-cmd --zone=public --permanent --list-services
輸出：dhcpv6-client http ssh
現在你的"公共"區域現在將允許端口 80 上的 HTTP Web 流量。如果你的 Web 服務器配置為使用 SSL/TLS，還需要添加該服務。我們可以通過鍵入以下類型將其添加到當前會話和永久規則集中：https
sudo firewall-cmd --zone=public --add-service=https sudo firewall-cmd --zone=public --permanent --add-service=https
創建屬於自己的區域
雖然預定義區域對於大多數用戶來說可能已經足夠了，但定義自己的區域可以更描述其功能會很有幫助。
例如，你可能希望為 Web 服務器創建一個區域，稱為"公共網站"。但是，你可能希望為專用網絡上提供 DNS 服務配置其他區域。為此，需要建一個名為"私有 DNS"的區域。
添加區域時，必須將其添加到永久防火牆配置中。然后可以重新加載以將配置引入正在運行的會話中。例如，我們可以通過鍵入以下兩個區域來創建上面討論的兩個區域：
sudo firewall-cmd --permanent --new-zone=publicweb sudo firewall-cmd --permanent --new-zone=privateDNS
可以通過鍵入以下類型來驗證這些配置是否存在於永久配置中：
sudo firewall-cmd --permanent --get-zones
輸出：block dmz drop external home internal privateDNS public publicweb trusted work
如之前所述，這些在防火牆的當前實例中尚不可用：
firewall-cmd --get-zones
輸出：block dmz drop external home internal public trusted work
需要重新加載防火牆以將這些新區域引入活動配置：
sudo firewall-cmd --reload firewall-cmd --get-zones
輸出：block dmz drop external home internal privateDNS public publicweb trusted work
現在，你可以開始為區域分配適當的服務和端口。通過調整活動實例，然后在測試后將這些更改傳輸到永久配置。例如，對於"公共 web"區域，如果你需要添加 SSH、HTTP 和 HTTPS 服務：
sudo firewall-cmd --zone=publicweb --add-service=ssh sudo firewall-cmd --zone=publicweb --add-service=http sudo firewall-cmd --zone=publicweb --add-service=https sudo firewall-cmd --zone=publicweb --list-all
輸出： publicweb target: default icmp-block-inversion: no interfaces: sources: services: ssh http https ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:
同樣，我們可以將 DNS 服務添加到我們的"私有 DNS"區域：
sudo firewall-cmd --zone=privateDNS --add-service=dns
sudo firewall-cmd --zone=privateDNS --list-all
輸出： privateDNS interfaces: sources: services: dns ports: masquerade: no forward-ports: icmp-blocks: rich rules:
然后，我們可以將接口更改為這些新區域以測試它們：
sudo firewall-cmd --zone=publicweb --change-interface=eth0 sudo firewall-cmd --zone=privateDNS --change-interface=eth1
來測試運行配置。調試完成后(即符合自己的要求)需要向永久配置添加相同的規則。可以通過使用標志重新應用規則來做到這一點：--permanent
sudo firewall-cmd --zone=publicweb --permanent --add-service=ssh sudo firewall-cmd --zone=publicweb --permanent --add-service=http sudo firewall-cmd --zone=publicweb --permanent --add-service=https sudo firewall-cmd --zone=privateDNS --permanent --add-service=dns
永久應用這些規則后，重啟防火牆服務：
sudo systemctl restart network
sudo systemctl reload firewalld
驗證是否分配了正確的區域：
firewall-cmd --get-active-zones
輸出：
privateDNS
interfaces: eth1
publicweb
interfaces: eth0
並驗證兩個區域都提供相應的服務：
sudo firewall-cmd --zone=publicweb --list-services
輸出：http https ssh
sudo firewall-cmd --zone=privateDNS --list-services
輸出：dns
這是就成功地設置了自己的區域，如果要使這些區域之一成為其他接口的默認區域之一，請記住使用這個參數配置該行為：--set-default-zone=
sudo firewall-cmd --set-default-zone=publicweb
總結
防火牆服務允許你配置可維護的規則和規則集，這些規則和規則集可以考慮你的網絡環境。你可以通過使用區域在不同防火牆策略之間無縫切換，並允許管理員將端口管理抽象為更友好的服務。