firewall的规则设置与命令白名单设置

一. 设置 firewall 规则

例 1：对外暴露 8080 端口

firewall-cmd --permanent --add-port=8080/tcp

例 2：使 mysql 服务的 3306 端口只允许 192.168.1.1/24 网段的服务器能访问

# 添加规则
firewall-cmd --permanent --add-rich-rule="rule family="ipv4"source address="192.168.1.1/24"port protocol="tcp"port="3306"accept"

#reload 使生效
firewall-cmd --reload

注意：如果不开启伪装 IP，端口转发会失败；其次，要确保源服务器上的端口（3306）和目标服务器上的端口（13306）是开启的。

二. firewall 命令

1. 启动, 停止, 重启 firewalld

1. 停止
systemctl stop firewalld.service 

2. 启动
systemctl start firewalld.service 

3. 重启
systemctl restart firewalld.service

4. 查看状态：systemctl status firewalld 

5. 禁止 firewall 开机启动
systemctl disable firewalld

6. 设置开机启用防火墙：systemctl enable firewalld.service

2. 查看 firewall 规则与状态

1. 查看默认防火墙状态（关闭后显示 notrunning，开启后显示 running）firewall-cmd --state              

2. 查看防火墙规则（只显示 /etc/firewalld/zones/public.xml 中防火墙策略）firewall-cmd --list-all           

3. 查看所有的防火墙策略（即显示 /etc/firewalld/zones/ 下的所有策略）firewall-cmd --list-all-zones     

4. 重新加载配置文件
firewall-cmd --reload             

3. 配置 firewalld-cmd

 查看版本：firewall-cmd --version

查看帮助：firewall-cmd --help

显示状态：firewall-cmd --state

查看所有打开的端口：firewall-cmd --zone=public --list-ports

更新防火墙规则：firewall-cmd --reload

查看区域信息:  firewall-cmd --get-active-zones

查看指定接口所属区域：firewall-cmd --get-zone-of-interface=eth0

拒绝所有包：firewall-cmd --panic-on

取消拒绝状态：firewall-cmd --panic-off

查看是否拒绝：firewall-cmd --query-panic

4. 那怎么开启一个端口呢

1. 添加（--permanent 永久生效，没有此参数重启后失效）firewall-cmd --zone=public --add-port=80/tcp --permanent

2. 重新载入 (修改规则后使其生效)
firewall-cmd --reload

3. 查看
firewall-cmd --zone= public --query-port=80/tcp

4. 删除
firewall-cmd --zone= public --remove-port=80/tcp --permanent
 
因为在 /usr/lib/firewalld/services/ 中事先定义了 ssh.xml 的相应的规则 

5. systemctl 是 CentOS7 的服务管理工具中主要的工具，它融合之前 service 和 chkconfig 的功能于一体。

 启动一个服务：systemctl start firewalld.service
关闭一个服务：systemctl stop firewalld.service
重启一个服务：systemctl restart firewalld.service
显示一个服务的状态：systemctl status firewalld.service
在开机时启用一个服务：systemctl enable firewalld.service
在开机时禁用一个服务：systemctl disable firewalld.service
查看服务是否开机启动：systemctl is-enabled firewalld.service
查看已启动的服务列表：systemctl list-unit-files|grep enabled
查看启动失败的服务列表：systemctl --failed

原文链接