1.富規則語法
[root@web02 ~]# man firewalld.richlanguage rule [source] [destination] service|port|protocol|icmp-block|icmp-type|masquerade|forward-port|source-port [log] [audit] [accept|reject|drop|mark] rule [family="ipv4|ipv6"] source [not] address="address[/mask]"|mac="mac-address"|ipset="ipset" destination [not] address="address[/mask]" service name="service name" port port="port value" protocol="tcp|udp" protocol value="protocol value" forward-port port="port value" protocol="tcp|udp" to-port="port value" to-addr="addr
ess" source-port port="port value" protocol="tcp|udp" [accept|reject|drop|mark] #富語言規則相關命令 --add-rich-rule='<RULE>' #在指定的區域添加一條富語言規則 --remove-rich-rule='<RULE>' #在指定的區刪除一條富語言規則 --query-rich-rule='<RULE>' #找到規則返回0，找不到返回1 --list-rich-rules #列出指定區里的所有富語言規則
2.富規則實例一
允許10.0.0.1主機能夠訪問http服務，允許172.16.1.0/24能訪問111端口
#允許10.0.0.1主機能夠訪問http服務 [root@web02 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1 service name=http accept' success #允許172.16.1.0/24能訪問111端口 [root@web02 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 port port=111 protocol=tcp accept' success
3.富規則實例二
默認public區域對外開放所有人能通過ssh服務連接，但拒絕172.16.1.0/24網段通過ssh連接服務器
[root@web02 ~]# firewall-cmd --add-service=ssh #但拒絕172.16.1.0/24網段通過ssh連接服務器 1.方式一： [root@web02 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 service name=ssh reject' success #連接返回結果 [root@web01 ~]# ssh 172.16.1.8 22 ssh: connect to host 172.16.1.8 port 22: Connection refused 2.方式二： [root@web02 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 service name=ssh drop' success #連接返回結果 [root@web01 ~]# ssh 172.16.1.8 22 ssh: connect to host 172.16.1.8 port 22: Connection timed out #drop和reject區別 reject直接拒絕，返回拒絕 drop是丟棄，直到超時
4.富規則實例三
當用戶來源IP地址是10.0.0.1主機，則將用戶請求的5555端口轉發至后端172.16.1.7的22端口
[root@web02 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1 forward-port port=5555 protocol=tcp to-port=22 to-addr=172.16.1.7' success [root@web02 ~]# firewall-cmd --add-masquerade success
5.防火牆配置網站禁ping
[root@web02 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 protocol value=icmp drop' success
