一.启动停止

    firewalld 守护进程

    systemctl status/start/stop/restart firewalld来控制这个守护进程

    激活最新配置：

    1.systemctl restart firewalld  #重启 firewalld 服务

    2.firewall-cmd --reload #重载配置文件之后不会断掉正在连接的 tcp 会话

二.firewall-cmd命令

firewall-cmd --state                           ##查看防火墙状态，是否是running
firewall-cmd --reload                          ##重新载入配置，比如添加规则之后，需要执行此命令
firewall-cmd --get-zones                       ##列出支持的zone
firewall-cmd --get-services                    ##列出支持的服务，在列表中的服务是放行的
firewall-cmd --query-service ftp               ##查看ftp服务是否支持，返回yes或者no
firewall-cmd --add-service=ftp                 ##临时开放ftp服务
firewall-cmd --add-service=ftp --permanent     ##永久开放ftp服务
firewall-cmd --remove-service=ftp --permanent  ##永久移除ftp服务
firewall-cmd --add-port=80/tcp --permanent     ##永久添加80端口 
iptables -L -n                                 ##查看规则，这个命令是和iptables的相同的
man firewall-cmd                               ##查看帮助
runtime:当前正在生效
permanent:永久生效
当策略为永久生效时，必须执行--reload参数后才能立即生效，否则重启后生效

三.配置

irewall-cmd --add-service=mysql        # 开放mysql端口
firewall-cmd --remove-service=http        # 阻止http端口
firewall-cmd --list-services            # 查看开放的服务
firewall-cmd --add-port=3306/tcp        # 开放通过tcp访问3306
firewall-cmd --remove-port=80/tcp        # 阻止通过tcp访问80
firewall-cmd --add-port=233/udp            # 开放通过udp访问233
firewall-cmd --list-ports                # 查看开放的端口

     可以通过两种方式控制端口的开放，一种是指定端口号另一种是指定服务名。虽然开放 http 服务就是开放了 80 端口，但是还是不能通过端口号来关闭，也就是说通过指定服务名开放的就要通过指定服务名关闭；通过指定端口号开放的就要通过指定端口号关闭。还有一个要注意的就是指定端口的时候一定要指定是什么协议，tcp 还是 udp。知道这个之后以后就不用每次先关防火墙了，可以让防火墙真正的生效。

查看当前区域
firewall-cmd --get-default-zone
查看所以区域
firewall-cmd --get-active-zones 
查看网卡ens224区域
firewall-cmd --get-zone-of-interface=ens224
在public中分别查询ssh与http服务是否被允许
firewall-cmd --zone=public --query-service=ssh
firewall-cmd --zone=public --query-service=http
设置默认规则为DMZ：
 firewall-cmd --set-default-zone=dmz
让永久生效的配置文件立即生效
firewall-cmd --reload
启动/关闭应急状况模式，阻断所以网络连接：应急模式会禁止所有的网络连接，注意
firewall-cmd --panic-on
firewall-cmd --panic-off

允许http流量通过public区域，立即生效且永久生效
方法一：
firewall-cmd --zone=public --add-service=http  #当前生效
firewall-cmd --permanent --zone=public --add-service=http  #设置永久生效

方法二：
firewall-cmd --permanent --zone=public --add-service=http
firewall-cmd --reload

不允许https流量通过public区域，立即生效且永久生效
firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload

允许8080与8081端口通过public区域，立即生效且永久生效
firewall-cmd --permanent --zone=public --add-port=8080-8081/tcp
firewall-cmd --reload

查看加入的端口是否生效
firewall-cmd --zone=public --list-ports
firewall-cmd --permanent --zone=public --list-ports

伪装IP
防火墙可以实现伪装IP的功能，端口转发会用到
(端口转发配置始终不生效，查询许多资料后，才发现需要开启IP伪装功能，这是个坑)
检测是否允许伪装IP
firewall-cmd --query-masquerade 
允许防火墙伪装IP
firewall-cmd --add-masquerade   
禁用防火墙伪装IP
firewall-cmd --remove-masquerade

端口转发功能：
firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=x.x.x.x
删除转发功能
 firewall-cmd --permanent --zone=public --remove-forward-port=port=888:proto=tcp:toport=22:toaddr=x.x.x.x
开启888端口
firewall-cmd --zone=public --add-port=888/tcp