? 說明
Linux上新的防火墻軟件，和iptables差不多的工具。firewalld是centos7的一大特性，兩大優(yōu)點：支持動態(tài)更新，不用重啟服務(wù)；加入了防火墻的“zone”概念。
firewalld能動態(tài)修改單條規(guī)則，不像iptables，修改規(guī)則后必須全部刷新才能生效。firewalld在使用上要比iptables人性化很多。firewalld自身并不具備防火墻的功能，而是和iptables一樣需要通過內(nèi)核的netfilter來實現(xiàn)，也就是說firewalld和iptables一樣，他們的作用都是用于維護規(guī)則，而真正使用規(guī)則干活的是內(nèi)核的netfilter。
? 安裝使用
| 命令 | 描述 |
|---|---|
| rpm -qa | grep firewalld | 查看是否安裝 |
| yum install firewalld | 安裝 |
| rpm -qa | grep firewall-config | 查看是否安裝圖形界面 |
| yum install firewall-config | 如果需要圖形界面的話，需要安裝 |
| systemctl start firewalld | 啟動 |
| systemctl restart firewalld | 重啟 |
| systemctl disable firewalld | 停止 |
| systemctl stop firewalld | 禁用 |
| systemctl status firewalld | firewall-cmd --state | 查看狀態(tài) |
| firewall-cmd --list-ports | 查看開通端口列表 |
| firewall-cmd --zone=public --remove-port=80/tcp --permanent | 關(guān)閉端口 |
| firewall-cmd --permanent --zone=public --add-port=80/tcp | 開通端口 |
| firewall-cmd --get-default-zone | 查看default zone |
| firewall-cmd --get-active-zones | 查看active zone |
備注：--zone #作用域 --add-port=80/tcp #添加端口，格式為：端口/通訊協(xié)議 --permanent #永久生效，沒有此參數(shù)重啟后失效
firewall防火墻默認的幾個zone（由firewalld 提供的區(qū)域按照從不信任到信任的順序排序）
| 命令 | 描述 |
|---|---|
| drop | 任何流入網(wǎng)絡(luò)的包都被丟棄，不作出任何響應(yīng)，只允許流出的網(wǎng)絡(luò)連接。即使開放了某些服務(wù)(比如http)，這些服務(wù)的數(shù)據(jù)也是不允許通過的 |
| block | 任何進入的網(wǎng)絡(luò)連接都被拒絕，并返回 IPv4 的 icmp-host-prohibited 報文或者 IPv6 的 icmp6-adm-prohibited 報文。只允許由該系統(tǒng)初始化的網(wǎng)絡(luò)連接。 |
| public（默認） | 用以可以公開的部分。你認為網(wǎng)絡(luò)中其他的計算機不可信并且可能傷害你的計算機，只允許選中的服務(wù)通過。 |
| external | 用在路由器等啟用偽裝的外部網(wǎng)絡(luò)。你認為網(wǎng)絡(luò)中其他的計算機不可信并且可能傷害你的計算機，只允許選中的服務(wù)通過。 |
| dmz | 用以允許隔離區(qū)（dmz）中的電腦有限地被外界網(wǎng)絡(luò)訪問，只允許選中的服務(wù)通過。 |
| work | 用在工作網(wǎng)絡(luò)。你信任網(wǎng)絡(luò)中的大多數(shù)計算機不會影響你的計算機，只允許選中的服務(wù)通過。 |
| home | 用在家庭網(wǎng)絡(luò)。你信任網(wǎng)絡(luò)中的大多數(shù)計算機不會影響你的計算機，只允許選中的服務(wù)通過。 |
| internal | 用在內(nèi)部網(wǎng)絡(luò)。你信任網(wǎng)絡(luò)中的大多數(shù)計算機不會影響你的計算機，只允許選中的服務(wù)通過。 |
| trusted | 允許所有網(wǎng)絡(luò)連接，即使沒有開放任何服務(wù)，那么使用此zone的流量照樣通過（一路綠燈）。 |
