centos7中firewall防火墙命令怎么用

　　防火墙借由监测所有的封包并找出不符规则的内容，可以防范电脑蠕虫或是木马程序的快速蔓延。本篇文章主要介绍了centos7中firewall防火墙命令详解，具有一定的参考价值，有需要的可以了解一下。

　　具体介绍

　　为了架设ss在vultr上买了一个日本的vps 用的是centos7的系统 防火墙是 firewall 捣鼓了两天 在这里总结一下。

　　如果小伙伴也准备在vultr上买vps 在注册是 可以使用这个优惠连接http://www.vultr.com/?ref=6972993-3B 会的到 20$ 的优惠 也就可以免费使用4个月

　　如果你的系统上没有安装使用命令安装

　　#yum install firewalld //安装firewalld 防火墙

　　开启服务

　　# systemctl start firewalld.service

　　关闭防火墙

　　# systemctl stop firewalld.service

　　开机自动启动

　　# systemctl enable firewalld.service

　　关闭开机制动启动

　　# systemctl disable firewalld.service

　　查看状态

　　#systemctl status firewalld

　　得到到的结果如果是

　　● firewalld.service - firewalld - dynamic firewall daemon

　　Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)

　　Active: active (running) since Mon 2016-09-05 02:34:07 UTC; 15min ago

　　Main PID: 3447 (firewalld)

　　CGroup: /system.slice/firewalld.service

　　└─3447 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid

　　Sep 05 02:34:07 vultr.guest systemd[1]: Starting firewalld - dynamic firewall daemon...

　　Sep 05 02:34:07 vultr.guest systemd[1]: Started firewalld - dynamic firewall daemon.

　　这样的说明没有问题

　　设置 firwall

　　使用firewall-cmd 命令

　　查看状态

　　#firewall-cmd --state //running 表示运行

　　获取活动的区域

　　#firewall-cmd --get-active-zones

　　这条命令将用以下格式输出每个区域所含接口：

　　: ..: ..

　　#firewall-cmd --get-service

　　每个服务以空格分隔 例如：

　　RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp open pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-http

　　获取永久选项所支持的服务 就是重启后也支出的

　　#firewall-cmd --get-service --permanent //在 0.3.0 之前的 FirewallD版本中, panic 选项是 –enable-panic 与 –disable-panic

　　开启应急模式阻断所有网络连接

　　#firewall-cmd --panic-on //在 0.3.0 之前的 FirewallD版本中, panic 选项是 –enable-panic 与 –disable-panic

　　关闭应急模式

　　#firewall-cmd --panic-off

　　查看应急模式的状态

　　#firewall-cmd --query-panic

　　在不改变状态的条件下重新加载防火墙：

　　#firewall-cmd --reload

　　防火墙预定义的服务配置文件是xml文件 目录在 /usr/lib/firewalld/services/

　　在 /etc/firewalld/services/ 这个目录中也有配置文件 但是/etc/firewalld/services/目录 优先于 /usr/lib/firewalld/services/ 目录

　　修改配置文件后 使用命令重新加载

　　#firewall-cmd --reload

　　启用某个服务

　　# firewall-cmd --zone=public --add-service=https //临时

　　# firewall-cmd --permanent --zone=public --add-service=https //永久

　　开启某个端口

　　#firewall-cmd --permanent --zone=public --add-port=8080-8081/tcp //永久

　　#firewall-cmd --zone=public --add-port=8080-8081/tcp //临时

　　使用命令加载设置

　　#firewall-cmd --reload

　　查看开启的端口和服务

　　#firewall-cmd --permanent --zone=public --list-services //服务空格隔开 例如 dhcpv6-client https ss

　　#firewall-cmd --permanent --zone=public --list-ports //端口空格隔开 例如 8080-8081/tcp 8388/tcp 80/tcp

　　在每次修改 端口和服务后 /etc/firewalld/zones/public.xml 文件就会被修改 所以也可以在文件中之间修改 然后重新加载

　　设置某个ip 访问某个服务

　　#firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.4/24" service name="http" accept"

　　ip 192.168.0.4/24 访问 http

　　设置后 public.xml 就会出现变化

　　删除上面设置的规则

　　#firewall-cmd --permanent --zone=public --remove-rich-rule="rule family="ipv4" source address="192.168.0.4/24" service name="http" accept"

　　启动服务

　　#systemctl start firewalld.service //开启服务

　　#systemctl enable firewalld.service //开机制动启动

　　#systemctl stop firewalld.service //关闭服务

　　#systemctl disable firewalld.service //禁止开机启动

　　补充阅读：防火墙主要使用技巧

　　一、所有的防火墙文件规则必须更改。

　　尽管这种方法听起来很容易，但是由于防火墙没有内置的变动管理流程，因此文件更改对于许多企业来说都不是最佳的实践方法。如果防火墙管理员因为突发情况或者一些其他形式的业务中断做出更改，那么他撞到枪口上的可能性就会比较大。但是如果这种更改抵消了之前的协议更改，会导致宕机吗?这是一个相当高发的状况。

　　防火墙管理产品的中央控制台能全面可视所有的防火墙规则基础，因此团队的所有成员都必须达成共识，观察谁进行了何种更改。这样就能及时发现并修理故障，让整个协议管理更加简单和高效。

　　二、以最小的权限安装所有的访问规则。

　　另一个常见的安全问题是权限过度的规则设置。防火墙规则是由三个域构成的：即源(IP地址)，目的地(网络/子网络)和服务(应用软件或者其他目的地)。为了确保每个用户都有足够的端口来访问他们所需的系统，常用方法是在一个或者更多域内指定打来那个的目标对象。当你出于业务持续性的需要允许大范围的IP地址来访问大型企业的网络，这些规则就会变得权限过度释放，因此就会增加不安全因素。服务域的规则是开放65535个TCP端口的ANY。防火墙管理员真的就意味着为黑客开放了65535个攻击矢量?

　　三、根据法规协议和更改需求来校验每项防火墙的更改。

　　在防火墙操作中，日常工作都是以寻找问题，修正问题和安装新系统为中心的。在安装最新防火墙规则来解决问题，应用新产品和业务部门的过程中，我们经常会遗忘防火墙也是企业安全协议的物理执行者。每项规则都应该重新审核来确保它能符合安全协议和任何法规协议的内容和精神，而不仅是一篇法律条文。

　　四、当服务过期后从防火墙规则中删除无用的规则。

　　规则膨胀是防火墙经常会出现的安全问题，因为多数运作团队都没有删除规则的流程。业务部门擅长让你知道他们了解这些新规则，却从来不会让防火墙团队知道他们不再使用某些服务了。了解退役的服务器和网络以及应用软件更新周期对于达成规则共识是个好的开始。运行无用规则的报表是另外一步。黑客喜欢从来不删除规则的防火墙团队。

centos7中firewall防火墙命令怎么用相关文章：

1.CentOS7关闭防火墙和SELinux

2.win7怎么用命令行关闭防火墙

3.centos setup 无法配置防火墙怎么办

4.vmware防火墙如何设置

5.CentOS 7 在vmware中的网络设置的介绍