Fedora防火墻配置
簡介:
Fedora 18以及之後的版本,防火墻的管理不再基於iptables,而基於firewall的東西。
firewall的功能相對復雜一些,可以控制服務,控制端口,設置安全區域,設置端口轉發等功能。所以使用上更為復雜。
一:服務級
這個就是開關防火墻,總開關,臨時測試可以用一下,記得重新打開。
1.停止
systemctl stop firewalld.service
2.開始
systemctl start firewalld.service
3.重啟
systemctl restart firewalld.service
4.檢查
firewall-cmd --state
返回結果:running(開啟) not running(關閉)
5.重新載入配置
firewall-cmd --reload
在不改變防火墻狀態的同時,重新載入配置,一般就是改了防火墻規則,需要重新載入一下配置
二:端口級
1.打開
firewall-cmd --add-port=8080/tcp
2.關閉
firewall-cmd --remove-port=8080/tcp
3、常用命令
- 獲取 firewalld 狀態
firewall-cmd --state
此舉返回 firewalld 的狀態,沒有任何輸出。可以使用以下方式獲得狀態輸出:
firewall-cmd --state && echo "Running" || echo "Not running"
在 Fedora 19 中, 狀態輸出比此前直觀:
# rpm -qf $( which firewall-cmd ) firewalld-0.3.3-2.fc19.noarch # firewall-cmd --state not running
- 在不改變狀態的條件下重新加載防火墻:
firewall-cmd --reload
如果你使用 --complete-reload ,狀態信息將會丟失。這個選項應當僅用於處理防火墻問題時,例如,狀態信息和防火墻規則都正常,但是不能建立任何連接的情況。
- 獲取支持的區域列表
firewall-cmd --get-zones
這條命令輸出用空格分隔的列表。
- 獲取所有支持的服務
firewall-cmd --get-services
這條命令輸出用空格分隔的列表。
- 獲取所有支持的ICMP類型
firewall-cmd --get-icmptypes
這條命令輸出用空格分隔的列表。
- 列出全部啟用的區域的特性
firewall-cmd --list-all-zones
輸出格式是:
<zone> interfaces: <interface1> .. services: <service1> .. ports: <port1> .. forward-ports: <forward port1> .. icmp-blocks: <icmp type1> .. ..
- 輸出區域 <zone> 全部啟用的特性。如果生略區域,將顯示默認區域的信息。
firewall-cmd [--zone=<zone>] --list-all
- 獲取默認區域的網絡設置
firewall-cmd --get-default-zone
- 設置默認區域
firewall-cmd --set-default-zone=<zone>
流入默認區域中配置的接口的新訪問請求將被置入新的默認區域。當前活動的連接將不受影響。
- 獲取活動的區域
firewall-cmd --get-active-zones
這條命令將用以下格式輸出每個區域所含接口:
<zone1>: <interface1> <interface2> .. <zone2>: <interface3> ..
- 根據接口獲取區域
firewall-cmd --get-zone-of-interface=<interface>
這條命令將輸出接口所屬的區域名稱。
- 將接口增加到區域
firewall-cmd [--zone=<zone>] --add-interface=<interface>
如果接口不屬於區域,接口將被增加到區域。如果區域被省略了,將使用默認區域。接口在重新加載後將重新應用。
- 修改接口所屬區域
firewall-cmd [--zone=<zone>] --change-interface=<interface>
這個選項與 --add-interface 選項相似,但是當接口已經存在於另一個區域的時候,該接口將被添加到新的區域。
- 從區域中刪除一個接口
firewall-cmd [--zone=<zone>] --remove-interface=<interface>
- 查詢區域中是否包含某接口
firewall-cmd [--zone=<zone>] --query-interface=<interface>
返回接口是否存在於該區域。沒有輸出。
- 列舉區域中啟用的服務
firewall-cmd [ --zone=<zone> ] --list-services
- 啟用應急模式阻斷所有網絡連接,以防出現緊急狀況
firewall-cmd --panic-on
- 禁用應急模式
firewall-cmd --panic-off應急模式在 0.3.0 版本中發生了變化
在 0.3.0 之前的 FirewallD版本中, panic 選項是
--enable-panic
與 --disable-panic
.
- 查詢應急模式
firewall-cmd --query-panic
此命令返回應急模式的狀態,沒有輸出。可以使用以下方式獲得狀態輸出:
firewall-cmd --query-panic && echo "On" || echo "Off"
處理運行時區域
運行時模式下對區域進行的修改不是永久有效的。重新加載或者重啟後修改將失效。
- 啟用區域中的一種服務
firewall-cmd [--zone=<zone>] --add-service=<service> [--timeout=<seconds>]
此舉啟用區域中的一種服務。如果未指定區域,將使用默認區域。如果設定了超時時間,服務將只啟用特定秒數。如果服務已經活躍,將不會有任何警告信息。
- 例: 使區域中的 ipp-client 服務生效60秒:
firewall-cmd --zone=home --add-service=ipp-client --timeout=60
- 例: 啟用默認區域中的http服務:
firewall-cmd --add-service=http
- 禁用區域中的某種服務
firewall-cmd [--zone=<zone>] --remove-service=<service>
此舉禁用區域中的某種服務。如果未指定區域,將使用默認區域。
- 例: 禁止 home 區域中的 http 服務:
firewall-cmd --zone=home --remove-service=http
區域種的服務將被禁用。如果服務沒有啟用,將不會有任何警告信息。
- 查詢區域中是否啟用了特定服務
firewall-cmd [--zone=<zone>] --query-service=<service>
如果服務啟用,將返回1,否則返回0。沒有輸出信息。
- 啟用區域端口和協議組合
firewall-cmd [--zone=<zone>] --add-port=<port>[-<port>]/<protocol> [--timeout=<seconds>]
此舉將啟用端口和協議的組合。端口可以是一個單獨的端口 <port> 或者是一個端口範圍 <port>-<port> 。協議可以是 tcp 或 udp。
- 禁用端口和協議組合
firewall-cmd [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>
- 查詢區域中是否啟用了端口和協議組合
firewall-cmd [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>
如果啟用,此命令將有返回值。沒有輸出信息。
- 啟用區域中的 IP 偽裝功能
firewall-cmd [--zone=<zone>] --add-masquerade
此舉啟用區域的偽裝功能。私有網絡的地址將被隱藏並映射到一個公有IP。這是地址轉換的一種形式,常用於路由。由於內核的限制,偽裝功能僅可用於IPv4。
- 禁用區域中的 IP 偽裝
firewall-cmd [--zone=<zone>] --remove-masquerade
- 查詢區域的偽裝狀態
firewall-cmd [--zone=<zone>] --query-masquerade
如果啟用,此命令將有返回值。沒有輸出信息。
- 啟用區域的 ICMP 阻塞功能
firewall-cmd [--zone=<zone>] --add-icmp-block=<icmptype>
此舉將啟用選中的 Internet 控制報文協議 (ICMP) 報文進行阻塞。 ICMP 報文可以是請求信息或者創建的應答報文,以及錯誤應答。
- 禁止區域的 ICMP 阻塞功能
firewall-cmd [--zone=<zone>] --remove-icmp-block=<icmptype>
- 查詢區域的 ICMP 阻塞功能
firewall-cmd [--zone=<zone>] --query-icmp-block=<icmptype>
如果啟用,此命令將有返回值。沒有輸出信息。
- 例: 阻塞區域的響應應答報文:
firewall-cmd --zone=public --add-icmp-block=echo-reply
- 在區域中啟用端口轉發或映射
firewall-cmd [--zone=<zone>] --add-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
端口可以映射到另一臺主機的同一端口,也可以是同一主機或另一主機的不同端口。端口號可以是一個單獨的端口 <port> 或者是端口範圍 <port>-<port> 。協議可以為 tcp 或udp 。目標端口可以是端口號 <port> 或者是端口範圍 <port>-<port> 。目標地址可以是 IPv4 地址。受內核限制,端口轉發功能僅可用於IPv4。
- 禁止區域的端口轉發或者端口映射
firewall-cmd [--zone=<zone>] --remove-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
- 查詢區域的端口轉發或者端口映射
firewall-cmd [--zone=<zone>] --query-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
如果啟用,此命令將有返回值。沒有輸出信息。
- 例: 將區域 home 的 ssh 轉發到 127.0.0.2
firewall-cmd --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2
處理永久區域
永久選項不直接影響運行時的狀態。這些選項僅在重載或者重啟服務時可用。為了使用運行時和永久設置,需要分別設置兩者。 選項 --permanent 需要是永久設置的第一個參數。
- 獲取永久選項所支持的服務
firewall-cmd --permanent --get-services
- 獲取永久選項所支持的ICMP類型列表
firewall-cmd --permanent --get-icmptypes
- 獲取支持的永久區域
firewall-cmd --permanent --get-zones
- 啟用區域中的服務
firewall-cmd --permanent [--zone=<zone>] --add-service=<service>
此舉將永久啟用區域中的服務。如果未指定區域,將使用默認區域。
- 禁用區域中的一種服務
firewall-cmd --permanent [--zone=<zone>] --remove-service=<service>
- 查詢區域中的服務是否啟用
firewall-cmd --permanent [--zone=<zone>] --query-service=<service>
如果服務啟用,此命令將有返回值。此命令沒有輸出信息。
- 例: 永久啟用 home 區域中的 ipp-client 服務
firewall-cmd --permanent --zone=home --add-service=ipp-client
- 永久啟用區域中的一個端口-協議組合
firewall-cmd --permanent [--zone=<zone>] --add-port=<port>[-<port>]/<protocol>
- 永久禁用區域中的一個端口-協議組合
firewall-cmd --permanent [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>
- 查詢區域中的端口-協議組合是否永久啟用
firewall-cmd --permanent [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>
如果服務啟用,此命令將有返回值。此命令沒有輸出信息。
- 例: 永久啟用 home 區域中的 https (tcp 443) 端口
firewall-cmd --permanent --zone=home --add-port=443/tcp
- 永久啟用區域中的偽裝
firewall-cmd --permanent [--zone=<zone>] --add-masquerade
此舉啟用區域的偽裝功能。私有網絡的地址將被隱藏並映射到一個公有IP。這是地址轉換的一種形式,常用於路由。由於內核的限制,偽裝功能僅可用於IPv4。
- 永久禁用區域中的偽裝
firewall-cmd --permanent [--zone=<zone>] --remove-masquerade
- 查詢區域中的偽裝的永久狀態
firewall-cmd --permanent [--zone=<zone>] --query-masquerade
如果服務啟用,此命令將有返回值。此命令沒有輸出信息。
- 永久啟用區域中的ICMP阻塞
firewall-cmd --permanent [--zone=<zone>] --add-icmp-block=<icmptype>
此舉將啟用選中的 Internet 控制報文協議 (ICMP) 報文進行阻塞。 ICMP 報文可以是請求信息或者創建的應答報文或錯誤應答報文。
- 永久禁用區域中的ICMP阻塞
firewall-cmd --permanent [--zone=<zone>] --remove-icmp-block=<icmptype>
- 查詢區域中的ICMP永久狀態
firewall-cmd --permanent [--zone=<zone>] --query-icmp-block=<icmptype>
如果服務啟用,此命令將有返回值。此命令沒有輸出信息。
- 例: 阻塞公共區域中的響應應答報文:
firewall-cmd --permanent --zone=public --add-icmp-block=echo-reply
- 在區域中永久啟用端口轉發或映射
firewall-cmd --permanent [--zone=<zone>] --add-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
端口可以映射到另一臺主機的同一端口,也可以是同一主機或另一主機的不同端口。端口號可以是一個單獨的端口 <port> 或者是端口範圍 <port>-<port> 。協議可以為 tcp 或udp 。目標端口可以是端口號 <port> 或者是端口範圍 <port>-<port> 。目標地址可以是 IPv4 地址。受內核限制,端口轉發功能僅可用於IPv4。
- 永久禁止區域的端口轉發或者端口映射
firewall-cmd --permanent [--zone=<zone>] --remove-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
- 查詢區域的端口轉發或者端口映射狀態
firewall-cmd --permanent [--zone=<zone>] --query-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address> }
如果服務啟用,此命令將有返回值。此命令沒有輸出信息。
- 例: 將 home 區域的 ssh 服務轉發到 127.0.0.2
firewall-cmd --permanent --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2
Fedora防火墻配置