（1）支持網(wǎng)絡(luò)區(qū)域所定義的網(wǎng)絡(luò)連接以及接口安全的動(dòng)態(tài)防火墻管理工具。
（2）支持IPv4、IPv6防火墻設(shè)置以及以太網(wǎng)橋接
（3）支持服務(wù)或應(yīng)運(yùn)程序直接添加防火墻規(guī)則口
（4）擁有兩種配置模式
運(yùn)行時(shí)配置
永久配置
（1）位于linux內(nèi)核中的包過(guò)濾功能體系
（2）稱為L(zhǎng)inux防火墻的“內(nèi)核態(tài)”
（1）Centos7默認(rèn)的管理防火墻規(guī)則的工具（Firewalld）
（2）稱為linux防火墻的“用戶態(tài)”
（1）區(qū)域如同進(jìn)入主機(jī)的安全門(mén)，每個(gè)區(qū)域都具有不同限制程度的規(guī)則
（2）可以使用一個(gè)人或多個(gè)區(qū)域，但是任何一個(gè)活躍區(qū)域至少需要關(guān)聯(lián)源地址或接口
（3）默認(rèn)情況下，public區(qū)域是默認(rèn)區(qū)域，包含所有接口（網(wǎng)卡）
檢查數(shù)據(jù)來(lái)源的源地址
（1）若源地址關(guān)聯(lián)到特定的區(qū)域，則執(zhí)行該區(qū)域所指定的規(guī)則
（2）若源地址未關(guān)聯(lián)到特定的區(qū)域，則使用傳入網(wǎng)絡(luò)接口的區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則。
（3）若網(wǎng)絡(luò)接口未關(guān)聯(lián)到特定的區(qū)域，則使用默認(rèn)區(qū)域并執(zhí)行該區(qū)域所指定的規(guī)則
（1）實(shí)時(shí)生效，并持續(xù)至Firewalld重新啟動(dòng)或重新加載配置
（2）不中斷現(xiàn)有連接
（3）不能修改服務(wù)配置
（1）不立即生效。除非Firewalld重新啟動(dòng)或重新加載配置
（2）中斷現(xiàn)有連接
（3）可以修改服務(wù)配置
關(guān)聯(lián)網(wǎng)卡到指定區(qū)域
（1）“服務(wù)” 子選項(xiàng)卡
（2）“端口”子選項(xiàng)卡
（3）“協(xié)議”子選項(xiàng)卡
（4）“源端口”子選項(xiàng)卡
（5）“偽裝”子選項(xiàng)卡
（6）“端口轉(zhuǎn)發(fā)”子選項(xiàng)卡
（7）“ICMP過(guò)濾器”子選項(xiàng)卡
（1）“模塊”子選項(xiàng)卡
（2）“目標(biāo)地址”子選項(xiàng)卡
修改默認(rèn)區(qū)域
連接狀態(tài)
Firewalld-cmd命令行工具
1）啟動(dòng)、停止、查看 firewalld 服務(wù)
[root@localhost ~]# systemctl start firewalld
1
[root@localhost ~]# systemctl enable firewalld
1
如果 firewalld 正在運(yùn)行，通過(guò) systemctl status firewalld 或 firewall-cmd 命令 可以查看其運(yùn)行狀態(tài)
重慶分公司
重慶分公司
[root@localhost ~]# systemctl status firewalld
firewall-cmd 預(yù)定義信息主要包括三種：可用的區(qū)域、可用的服務(wù)以及可用的 ICMP 阻
塞類型
顯示預(yù)定義的區(qū)域
[root@localhost ~]# firewall-cmd --get-zones 
[root@localhost ~]# firewall-cmd --get-services
[root@localhost ~]# firewall-cmd --get-icmptypes
（1） destination-unreachable：目的地址不可達(dá)。
（2）echo-reply：應(yīng)答回應(yīng)（pong）。
（3） parameter-problem：參數(shù)問(wèn)題。
（4） redirect：重新定向。
（5） router-advertisement：路由器通告。
（6） router-solicitation：路由器征尋。
（7）source-quench：源端抑制。
（8） time-exceeded：超時(shí)。
（9） timestamp-reply：時(shí)間戳應(yīng)答回應(yīng)。
（10） timestamp-request：時(shí)間戳請(qǐng)求。
（1）–get-default-zone 顯示網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域
（2）–set-default-zone= 設(shè)置網(wǎng)絡(luò)連接或接口的默認(rèn)區(qū)域
（3）–get-active-zones 顯示已激活的所有區(qū)域
（4）–get-zone-of-interface= 顯示指定接口綁定的區(qū)域
（5）–zone= --add-interface= 為指定接口綁定區(qū)域
（6）–zone= --change-interface= 為指定的區(qū)域更改綁定的網(wǎng)絡(luò)接口
（7）–zone= --remove-interface= 為指定的區(qū)域刪除綁定的網(wǎng)絡(luò)接口
（8）–list-all-zones 顯示所有區(qū)域及其規(guī)則
（9）[–zone=] --list-all 顯示所有指定區(qū)域的所有規(guī)則，省略–zone=時(shí)表示僅 對(duì)默認(rèn)區(qū)域操作
[root@localhost ~]# firewall-cmd --get-default-zone
[root@localhost ~]# firewall-cmd --list-all
[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33
[root@localhost ~]# firewall-cmd --zone=internal --change-interface=ens33
[root@localhost ~]# firewall-cmd --get-active-zones
為 了 方 便 管 理 ， firewalld 預(yù) 先 定 義 了 很 多 服 務(wù) ， 存 放 在 /usr/lib/firewalld/services/ 目錄中，服務(wù)通過(guò)單個(gè)的 XML 配置文件來(lái)指定。這些配置文件則按以下格式命名：service-name.xml，每個(gè)文件對(duì)應(yīng)一項(xiàng)具體的網(wǎng)絡(luò)服務(wù)，如 ssh 服
務(wù)等。與之對(duì)應(yīng)的配置文件中記錄了各項(xiàng)服務(wù)所使用的 tcp/udp 端口。在最新版本的 firewalld 中默認(rèn)已經(jīng)定義了 70 多種服務(wù)供我們使用，對(duì)于每個(gè)網(wǎng)絡(luò)區(qū)域，均可以配置允 許訪問(wèn)的服務(wù)。當(dāng)默認(rèn)提供的服務(wù)不適用或者需要自定義某項(xiàng)服務(wù)的端口時(shí)，我們需要將 service 配置文件放置在 /etc/firewalld/services/ 目錄中。service 配置具有以下優(yōu)點(diǎn)。
（1） 通過(guò)服務(wù)名字來(lái)管理規(guī)則更加人性化。
（2） 通過(guò)服務(wù)來(lái)組織端口分組的模式更加高效，如果一個(gè)服務(wù)使用了若干個(gè)網(wǎng)絡(luò)端口，則服 務(wù)的配置文件就相當(dāng)于提供了到這些端口的規(guī)則管理的批量操作快捷方式。
1、[–zone=] --list-services 顯示指定區(qū)域內(nèi)允許訪問(wèn)的所有服務(wù)
2、[–zone=] --add-service= 為指定區(qū)域設(shè)置允許訪問(wèn)的某項(xiàng)服務(wù)
3、[–zone=] --remove-service= 刪除指定區(qū)域已設(shè)置的允許訪問(wèn)的某項(xiàng)服務(wù)
4、[–zone=] --list-ports 顯示指定區(qū)域內(nèi)允許訪問(wèn)的所有端口號(hào)
5、[–zone=] --add-port=[-]/
為指定區(qū)域設(shè)置允許訪問(wèn)的某個(gè)/某段端口號(hào) （包括協(xié)議名）
6、[–zone=] --remove-port=[-]/
刪除指定區(qū)域已設(shè)置的允許訪問(wèn)的端口號(hào)（包括 協(xié)議名）
7、[–zone=] --list-icmp-blocks 顯示指定區(qū)域內(nèi)拒絕訪問(wèn)的所有 ICMP 類型
8、[–zone=] --add-icmp-block= 為指定區(qū)域設(shè)置拒絕訪問(wèn)的某項(xiàng) ICMP 類型
9、[–zone=] --remove-icmp-block= 刪除指定區(qū)域已設(shè)置的拒絕訪問(wèn)的某項(xiàng) ICMP 類 型，省略–zone=時(shí)表示對(duì)默認(rèn)區(qū)域操作
[root@localhost ~]# firewall-cmd --list-services
[root@localhost ~]# firewall-cmd --add-service=http
設(shè)置默認(rèn)區(qū)域允許訪問(wèn) https 服務(wù)
[root@localhost ~]#firewall-cmd --add-service=https
[root@localhost ~]# firewall-cmd --zone=internal --add-service=mysql
[root@localhost~]#firewall-cmd --zone=internal --remove-service=samba-client
在進(jìn)行服務(wù)配置時(shí)，預(yù)定義的網(wǎng)絡(luò)服務(wù)可以使用服務(wù)名配置，服務(wù)所涉及的端口就會(huì)自
動(dòng)打開(kāi)。但是，對(duì)于非預(yù)定義的服務(wù)只能手動(dòng)為指定的區(qū)域添加端口。例如，執(zhí)行以下操作
即可實(shí)現(xiàn)在 internal 區(qū)域打開(kāi) 443/TCP 端口。
[root@localhost ~]# firewall-cmd --zone=internal --add-port=443/tcp
[root@localhost ~]#firewall-cmd --zone=internal --remove-port=443/tcp
前面提到 firewall-cmd 命令工具有兩種配置模式：運(yùn)行時(shí)模式（Runtime mode）表示 當(dāng)前內(nèi)存中運(yùn)行的防火墻配置，在系統(tǒng)或 firewalld 服務(wù)重啟、停止時(shí)配置將失效；永久模 式（Permanent mode）表示重啟防火墻或重新加載防火墻時(shí)的規(guī)則配置，是永久存儲(chǔ)在配置 文件中的。
firewall-cmd 命令工具與配置模式相關(guān)的選項(xiàng)有三個(gè)。
（1） --reload：重新加載防火墻規(guī)則并保持狀態(tài)信息，即將永久配置應(yīng)用為運(yùn)行時(shí)配置。
（2） --permanent：帶有此選項(xiàng)的命令用于設(shè)置永久性規(guī)則，這些規(guī)則只有在重新啟動(dòng) firewalld 或重新加載防火墻規(guī)則時(shí)才會(huì)生效；若不帶有此選項(xiàng)，表示用于設(shè)置運(yùn)行時(shí) 規(guī)則。
（3）–runtime-to-permanent：將當(dāng)前的運(yùn)行時(shí)配置寫(xiě)入規(guī)則配置文件中，使之成為永久性
/etc/firewalld/中的配置文件
（1）Firewalld會(huì)優(yōu)先使用/etc/fireewalld/中的配置，如果不存在配置做文件，則使用/usr/bin/firewalld/中的配置
（2）/etc/firewalld/：用戶自定義配置文件，需要時(shí)可通過(guò)從/usr/bin/firewalld/中拷貝
（3）/usr/bin/firewalld/：默認(rèn)配置文件，不建議修改，若恢復(fù)至默認(rèn)配置，可直接刪除/etc/firewalld/中的配置。
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn，海內(nèi)外云服務(wù)器15元起步，三天無(wú)理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì)，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。
