一、查看防火墙状态
firewalld的基本使用
systemctl是CentOS7的服务管理工具中主要的工具,它融合之前service和chkconfig的功能于一体
启动:
1 | systemctl start firewalld |
查看:
1 | systemctl status firewalld |
停止:
1 | systemctl disable firewalld |
禁用:
1 | systemctl stop firewalld |
服务:/sbin/chkconfig –add foo 把新生成的foo.service 放到/usr/lib/systemd/system/下面,然后采用load命令导入 systemctl load foo.service
启动一个服务:
1 | systemctl start firewalld.service |
关闭一个服务:
1 | systemctl stop firewalld.service |
重启一个服务:
1 | systemctl restart firewalld.service |
显示一个服务的状态:
1 | systemctl status firewalld.service |
在开机时启用一个服务:
1 | systemctl enable firewalld.service |
一般需要重启一下机器,不然后面做的设置可能不会生效
二、开放或限制端口
1、开放端口
如我们需要开启Shell连接时需要使用的22端口
1 | firewall-cmd --zone=public --add-port=22/tcp --permanent |
其中–permanent的作用是使设置永久生效,不加的话机器重启之后失效
重新载入一下防火墙设置,使设置生效
1 | firewall-cmd --reload |
可通过如下命令查看是否生效
1 | firewall-cmd --zone=public --query-port=22/tcp |
如下命令可查看当前系统打开的所有端口
1 | firewall-cmd --zone=public --list-ports |
三、限制端口
比如我们现在需要关掉刚刚打开的22端口
1 | firewall-cmd --zone=public --remove-port=22/tcp --permanent |
重新载入一下防火墙设置,使设置生效
1 | firewall-cmd --reload |
再去查看系统所有开放的端口,已经看到没有22端口了
1 | firewall-cmd --zone=public --list-ports |
四、批量开放或限制端口
批量开放端口,如从100到500这之间的端口我们全部要打开
1 | firewall-cmd --zone=public --add-port=100-500/tcp --permanent |
重新载入一下防火墙设置,使设置生效
1 | firewall-cmd --reload |
查看系统所有开放的端口,可以看到从100到500的端口已被全部开放
1 | firewall-cmd --zone=public --list-ports |
同理,批量限制端口为
1 | firewall-cmd --zone=public --remove-port=100-500/tcp --permanent |
五、开放或限制IP
1.限制IP地址访问
比如限制IP为192.168.0.200的地址禁止访问80端口即禁止访问机器
1 | firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject" |
重新载入一下防火墙设置,使设置生效
1 | firewall-cmd --reload |
查看已经设置的规则
1 | firewall-cmd --zone=public --list-rich-rules |
2.解除IP地址限制
解除刚才被限制的192.168.0.200
1 | firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept" |
重新载入一下防火墙设置,使设置生效
1 | firewall-cmd --reload |
再查看规则设置发现已经没有192.168.0.200的限制了
1 | firewall-cmd --zone=public --list-rich-rules |
如设置未生效,可尝试直接编辑规则文件,删掉原来的设置规则,重新载入一下防火墙即可
1 | vi /etc/firewalld/zones/public.xml |
3.限制IP地址段
如我们需要限制10.0.0.0-10.0.0.255这一整个段的IP,禁止他们访问
1 | firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" reject" |
其中10.0.0.0/24表示为从10.0.0.0这个IP开始,24代表子网掩码为255.255.255.0,共包含256个地址,即从0-255共256个IP,即正好限制了这一整段的IP地址,具体的设置规则可参考下表
重新载入一下防火墙设置,使设置生效
1 | firewall-cmd --reload |
查看规则,确认是否生效
1 | firewall-cmd --zone=public --list-rich-rules |
同理,打开限制为
1 | firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" accept" |