2. 程式人生 > 實用技巧 >CENTOS 7 firewalld詳解，新增刪除策略

CENTOS 7 firewalld詳解，新增刪除策略

阿新 • • 發佈：2020-12-22

一、CENTOS7中FIREWALL防火牆

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 修改防火牆配置檔案之前，需要對之前防火牆【/etc/firewalld/zones/public.xml】做好備份 重啟防火牆後，需要確認防火牆狀態和防火牆規則是否載入，若重啟失敗或規則載入失敗，則所有請求都會被防火牆。 1.firewall-cmd --state#檢視firewall的狀態 firewall-cmd --list-all#檢視防火牆規則（只顯示/etc/firewalld/zones/public.xml中防火牆策略）
firewall-cmd --list-all-zones#檢視所有的防火牆策略（即顯示/etc/firewalld/zones/下的所有策略） firewall-cmd --reload#重新載入配置檔案 2、關閉firewall： systemctl stop firewalld.service#停止firewall systemctl disable firewalld.service#禁止firewall開機啟動 firewall-cmd --state#檢視預設防火牆狀態（關閉後顯示notrunning，開啟後顯示running） 3、firewalld的基本使用 啟動： systemctl start firewalld
檢視狀態： systemctl status firewalld 停止： systemctl disable firewalld 禁用： systemctl stop firewalld 4.systemctl是CentOS7的服務管理工具中主要的工具，它融合之前service和chkconfig的功能於一體。 啟動一個服務：systemctl start firewalld.service 關閉一個服務：systemctl stop firewalld.service 重啟一個服務：systemctl restart firewalld.service 顯示一個服務的狀態：systemctl status firewalld.service
在開機時啟用一個服務：systemctlenablefirewalld.service 在開機時禁用一個服務：systemctl disable firewalld.service 檢視服務是否開機啟動：systemctl is-enabled firewalld.service 檢視已啟動的服務列表：systemctl list-unit-files|grepenabled 檢視啟動失敗的服務列表：systemctl --failed 5.配置firewalld-cmd 檢視版本： firewall-cmd --version 檢視幫助： firewall-cmd --help 顯示狀態： firewall-cmd --state 檢視所有開啟的埠： firewall-cmd --zone=public --list-ports 更新防火牆規則： firewall-cmd --reload 檢視區域資訊: firewall-cmd --get-active-zones 檢視指定介面所屬區域： firewall-cmd --get-zone-of-interface=eth0 拒絕所有包：firewall-cmd --panic-on 取消拒絕狀態： firewall-cmd --panic-off 檢視是否拒絕： firewall-cmd --query-panic

二、防火牆配置檔案

[root@node ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_direct  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_IN_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_IN_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_OUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_OUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
OUTPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD_IN_ZONES (1 references)
target     prot opt source               destination         
FWDI_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 
FWDI_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 

Chain FORWARD_IN_ZONES_SOURCE (1 references)
target     prot opt source               destination         

Chain FORWARD_OUT_ZONES (1 references)
target     prot opt source               destination         
FWDO_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 
FWDO_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 

Chain FORWARD_OUT_ZONES_SOURCE (1 references)
target     prot opt source               destination         

Chain FORWARD_direct (1 references)
target     prot opt source               destination         

Chain FWDI_public (2 references)
target     prot opt source               destination         
FWDI_public_log  all  --  0.0.0.0/0            0.0.0.0/0           
FWDI_public_deny  all  --  0.0.0.0/0            0.0.0.0/0           
FWDI_public_allow  all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           

Chain FWDI_public_allow (1 references)
target     prot opt source               destination         

Chain FWDI_public_deny (1 references)
target     prot opt source               destination         

Chain FWDI_public_log (1 references)
target     prot opt source               destination         

Chain FWDO_public (2 references)
target     prot opt source               destination         
FWDO_public_log  all  --  0.0.0.0/0            0.0.0.0/0           
FWDO_public_deny  all  --  0.0.0.0/0            0.0.0.0/0           
FWDO_public_allow  all  --  0.0.0.0/0            0.0.0.0/0           

Chain FWDO_public_allow (1 references)
target     prot opt source               destination         

Chain FWDO_public_deny (1 references)
target     prot opt source               destination         

Chain FWDO_public_log (1 references)
target     prot opt source               destination         

Chain INPUT_ZONES (1 references)
target     prot opt source               destination         
IN_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 
IN_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 

Chain INPUT_ZONES_SOURCE (1 references)
target     prot opt source               destination         

Chain INPUT_direct (1 references)
target     prot opt source               destination         

Chain IN_public (2 references)
target     prot opt source               destination         
IN_public_log  all  --  0.0.0.0/0            0.0.0.0/0           
IN_public_deny  all  --  0.0.0.0/0            0.0.0.0/0           
IN_public_allow  all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           

Chain IN_public_allow (1 references)
target     prot opt source               destination         
ACCEPT     tcp  --  172.17.134.13        0.0.0.0/0            tcp dpt:2181 ctstate NEW
ACCEPT     all  --  172.17.134.13        0.0.0.0/0           
ACCEPT     all  --  172.17.172.236       0.0.0.0/0         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22 ctstate NEW
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:8715 ctstate NEW
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 ctstate NEW

Chain IN_public_deny (1 references)
target     prot opt source               destination         

Chain IN_public_log (1 references)
target     prot opt source               destination         

Chain OUTPUT_direct (1 references)
target     prot opt source               destination 

[root@node ~]# cat /etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <port protocol="tcp" port="8715"/>
  <port protocol="tcp" port="80"/>
  <rule family="ipv4">
    <source address="172.17.134.13"/>
    <port protocol="tcp" port="2181"/>
    <accept/>
  </rule>
  <rule family="ipv4">
    <source address="172.17.134.13"/>
    <accept/>
  </rule>
  <rule family="ipv4">
    <source address="172.17.172.236"/>
    <accept/>
  </rule>
</zone>

三、CENTOS7的FIREWALLD開啟埠/IP、遮蔽IP

1 2 3 4 5 6 7 8 9 10 11 12 13 14 開啟防火牆：systemctl start firewalld 檢視開放的埠和服務以及遮蔽的IP：firewall-cmd --zone=public --list-all 檢視系統中檢視系統中可用的服務：firewall-cmd --get-services 新增埠：firewall-cmd --zone=public --add-port=8080/tcp--permanent (--permanent永久生效，沒有此引數重啟後失效) 檢視：firewall-cmd --zone= public --query-port=80/tcp 新增埠段：firewall-cmd --zone=public --add-port=5060-5061/udp--permanent 新增IP+埠：firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="0.0.0.0/24" port protocol="tcp" port="10050" accept" 刪除埠：firewall-cmd --permanent --zone=public --remove-port=8080/tcp 刪除IP+埠：firewall-cmd --permanent --zone=public --remove-rich-rule="rule family="ipv4" source address="10.0.5.0/24" port protocol="tcp" port="10050" accept" 遮蔽IP(reject)：firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=43.229.53.61 reject" 遮蔽IP(drop) : firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' drop" 熱載入才能生效：firewall-cmd --reload 檢視遮蔽結果：firewall-cmd --list-rich-rules 因為在/usr/lib/firewalld/services/中事先定義了ssh.xml的相應的規則

四、FIREWALLD防火牆 禁止/限制 特定使用者的IP訪問，DROP和REJECT區別

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 1.drop禁止特定ip連線ssh/22服務 firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' service name='ssh' drop" firewall-cmd --reload##重新載入防火牆配置，不然firewall-cmd --list-all-zones不會顯示剛加上的規則 2.reject禁止特定ip連線ssh/22服務 firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='x.x.x.x/24' service name='ssh' reject" firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='x.x.x.x/24' port port=22 protocol=tcp reject" firewall-cmd --reload 3.accept執行特定ip連線ssh/22服務 firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' port port=22 procotol=tcp accept" firewall-cmd --reload 防火牆內的策略動作有DROP和REJECT兩種，區別如下： 1、DROP動作只是簡單的直接丟棄資料，並不反饋任何迴應。需要Client等待超時，Client容易發現自己被防火牆所阻擋。 2、REJECT動作則會更為禮貌的返回一個拒絕(終止)資料包(TCP FIN或UDP-ICMP-PORT-UNREACHABLE)，明確的拒絕對方的連線動作。連線馬上斷開，Client會認為訪問的主機不存在。REJECT在IPTABLES裡面有一些返回引數， 引數如下：ICMP port-unreachable、ICMPecho-reply 或是 tcp-reset（這個封包會要求對方關閉聯機），進行完此處理動作後，將不再比對其它規則，直接中斷過濾程式。 至於使用DROP還是REJECT更合適一直未有定論，因為的確二者都有適用的場合。REJECT是一種更符合規範的處理方式，並且在可控的網路環境中，更易於診斷和除錯網路/防火牆所產生的問題；而DROP則提供了更高 的防火牆安全性和稍許的效率提高，但是由於DROP不很規範(不很符合TCP連線規範)的處理方式，可能會對你的網路造成一些不可預期或難以診斷的問題。因為DROP雖然單方面的中斷了連線，但是並不返回任何拒絕資訊，因 此連線客戶端將被動的等到tcp session超時才能判斷連線是否成功，這樣早企業內部網路中會有一些問題，例如某些客戶端程式或應用需要IDENT協議支援(TCP Port 113, RFC 1413)，如果防火牆未經通知的應用了DROP規則 的話，所有的同類連線都會失敗，並且由於超時時間，將導致難以判斷是由於防火牆引起的問題還是網路裝置/線路 故障。 一點個人經驗，在部署防火牆時，如果是面向企業內部(或部分可信任網路)，那麼最好使用更紳士REJECT方法，對於需要經常變更或除錯規則的網路也是如此；而對於面向危險的Internet/Extranet的防火牆，則有必 要使用更為粗暴但是安全的DROP方法，可以在一定程度上延緩******的進度(

相關推薦

CENTOS 7 firewalld詳解，新增刪除策略

一、CENTOS7中FIREWALL防火牆 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 修改防火牆配置檔案之前，需要對之前防火牆【/etc/firewalld/zones/p

tp5.1 框架資料庫常見操作詳解【新增、刪除、更新、查詢】

本文例項講述了tp5.1 框架資料庫常見操作。分享給大家供大家參考，具體如下：

Kotlin-高階函式詳解，inline, noinline, crossinline關鍵字解析（第一行程式碼Kotlin學習筆記7）

技術標籤：Kotlin程式語言kotlin 目錄 1. 高階函式定義2. 行內函數inline3. noinline與crossinline3.1 noinline3.2 crossinline

2.7角色夜蘭＋久岐忍第一版技能詳解，或成為第二行秋！2.7部分內容爆料

閱讀須知：本文含有大量官方未爆出內容，不喜請止步，本文內容僅供參考 一.夜蘭–蘭生幽谷⭐⭐⭐⭐⭐

Java連結串列中元素刪除的實現方法詳解【只刪除一個元素情況】

本文例項講述了Java連結串列中元素刪除的實現方法。分享給大家供大家參考，具體如下：

詳解ES6新增字串擴張方法includes()、startsWith()、endsWith()

當有人問到用來確定一個字串是否包含在另一個字串中有哪些方法時，我們會不假思索回答道：indexOf方法。其實，ES6 又提供了三種新方法includes()、startsWith()、endsWith()，也是比較好用的。

JS 前序遍歷、中序遍歷、後序遍歷、層序遍歷詳解，深度優先與廣度優先區別，附leetcode例題題解答案

壹 ❀ 引 按照一天一題的速度，不知不覺已經刷了快兩多月的leetcode了，因為本人較為笨拙，一道簡單的題有時候也會研究很久，看著提交了兩百多次，其實也才解決了70來道簡單題，對於二分法，雙指標等也只是有個初步概

CentOS 7配置網路卡資訊，並設定yum為阿里雲的映象源

一、問題場景 　　使用virtualbox建立的centos 7版本的linux虛擬機器器，使用ping mirrors.aliyun.com有返回，但是wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo報超時。

列舉類詳解，使用方法

理解列舉型別 列舉顧明思議:"一個一個舉出來".列舉是一種特殊的資料型別，之所以特殊又比類型別多了特殊的約束，但正是這些學術早就了列舉的簡潔，安全以及便捷

Mysql探索之索引詳解，又能和麵試官互扯了~

前言 索引是什麼？有什麼利弊？一旦在面試中被問道，對於新入門的小白可能是個棘手的問題。

Centos 7下安裝nginx，使用yum install nginx，提示沒有可用的軟體包

Centos 7下安裝nginx，使用yum install nginx，提示沒有可用的軟體包 　　Centos 7下安裝nginx，使用yum install nginx，提示沒有可用的軟體包。

Docker對映詳解，沒問題了！

點選藍色“程式設計師的時光”關注我，標註“星標”，及時閱讀最新技術文章

實驗三：現狀業務序列圖（圖解，多圖，新手，詳解，詳細）

業務現狀序列圖 1. 新增新業務物件（銀行櫃員、銀行系統）2. 繪製現狀業務序列圖改名：

RS-485埠EMC保護方案詳解，看完就明白了

在工業、電力、自動化及儀器儀表實際應用中，RS-485匯流排標準是目前業內應用最廣泛的物理層匯流排設計標準之一。為了確保資料埠能夠在極其惡劣的電磁環境中正常執行，RS-485埠防護方案必須符合相關的電磁相

汽車匯流排CAN BUS靜電保護設計方案詳解，看完就明白了

眾所周知，靜電放電事件（ESD）、電氣過載事件（EOS）以及電性快速瞬時事（EFT）是會經常出現在汽車執行過程中，這對於行駛中的汽車來說，就是一個潛在的威脅。為此，CAN收發晶片在設計的時候，就需要考慮靜

高併發秒殺系統架構詳解，不是所有的秒殺都是秒殺！

寫在前面 很多小夥伴反饋說，高併發專題學了那麼久，但是，在真正做專案時，仍然不知道如何下手處理高併發業務場景！甚至很多小夥伴仍然停留在只是簡單的提供介面（CRUD）階段，不知道學習的併發知識如何運

UI設計工作流程步驟詳解，讓你快速瞭解UI設計！

本文由：“學設計上兔課網”原創，圖片素材來自網路，僅供學習分享 UI設計工作流程步驟詳解，讓你快速瞭解UI設計！其實在實際的工作中，ui設計師拿到專案後或者需求後所要做的工作步驟並非都一樣，可能每個

貝葉斯分類詳解，從條件概率說起

　　要想了解貝葉斯分類，我們首先要了解概率論中一個我們在生活中中常用的，卻又沒有覺察的小知識，條件概率。

centos 7 系統模板機，優化

一、 準備臺機器 配置兩塊網絡卡 兩塊網絡卡 NAT 模擬公網 LAN 區段 模擬區域網（內網）172.16.1.0/24

GitHub標星13.2k，JavaScript基礎知識之變數詳解，前端入門必看

一、字面量：數字和字串 “字面量”即常量，是固定值，不可改變。看見什麼，它就是什麼。