firewalld（基础）
CentOS7 之后，使用 firewalld 代替了原来的 iptables
防火墙信息
firewall-cmd --list-all
防火墙状态
二选其一
- systemctl status firewalld.service
- firewall-cmd --state
查看开放的服务
firewall-cmd --list-services #一个服务对应一个端口，每个服务对应/usr/lib/firewalld/services 下面一个 xml 文件。
查看有效的服务列表
firewall-cmd --get-services
查看开放的端口
firewall-cmd --list-ports
开放端口
可以通过两种方式控制端口的开放，一种是指定端口号另一种是指定服务名。虽然开放 http 服务就是开放了 80 端口，但是还是不能通过端口号来关闭，也就是说通过指定服务名开放的就要通过指定服务名关闭；通过指定端口号开放的就要通过指定端口号关闭。
- 指定端口号
- firewall-cmd --zone=public --add-port=80/tcp --permanent
- 命令含义
- zone #作用域
- add-prot=80/tcp #添加端口，格式为：端口/通讯协议
- permanent #永久生效，没有此参数重启后失效
- 指定服务名
- firewall-cmd --add-service=http --permanent//http 换成想要开放的 service
关闭端口
firewall-cmd --zone=public --remove-port=80/tcp --permanent #关闭开放的端口
查询端口是否开放
firewall-cmd --zone=public --query-port=81/tcp
启动防火墙
systemctl start firewalld
停止防火墙
systemctl disable firewalld
禁用防火墙
systemctl stop firewalld
重启防火墙
二选一
- firewall-cmd --reload
- systemctl restart firewalld.service
禁止开机启动
systemctl disable firewalld.service
开机启动防火墙
systemctl enable firewalld.service
firewalld（进阶）
应急模式
- firewall-cmd --query-panic # 查询应急模式
- firewall-cmd --panic-on # 启用应急模式阻断所有网络连接，以防出现紧急状况
- firewall-cmd --panic-off # 禁用应急模式
伪装 IP
- firewall-cmd --query-masquerade # 检查是否允许伪装 IP
- firewall-cmd --add-masquerade # 允许防火墙伪装 IP
- firewall-cmd --remove-masquerade# 禁止防火墙伪装 IP
端口转发
端口转发可以将指定地址访问指定的端口时，将流量转发至指定地址的指定端口。转发的目的如果不指定 ip 的话就默认为本机，如果指定了 ip 却没指定端口，则默认使用来源端口。
- firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 # 将 80 端口的流量转发至本机 8080
- firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1 # 将 80 端口的流量转发至 192.168.0.1
- firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将 80 端口的流量转发至 192.168.0.1 的 8080 端口
问题
- 如果配置好端口转发之后不能用，可以检查下面两个问题：
- 比如我将 80 端口转发至 8080 端口，首先检查本地的 80 端口和目标的 8080 端口是否开放监听了
- 其次检查是否允许伪装 IP，没允许的话要开启伪装 IP
作用
- 当我们想把某个端口隐藏起来的时候，就可以在防火墙上阻止那个端口访问，然后再开一个不规则的端口，之后配置防火墙的端口转发，将流量转发过去。
- 端口转发还可以做流量分发，一个防火墙拖着好多台运行着不同服务的机器，然后用防火墙将不同端口的流量转发至不同机器。
