Linux防火墙管理

Filewalld（动态防火墙）作为redhat7系统中变更对于netfilter内核模块的管理工具；
iptables service 管理防火墙规则的模式（静态）：用户将新的防火墙规则添加进 /etc/sysconfig/iptables 配置文件当中。
firewalld有两个管理工具：
firewall-config ##图形化管理工具
firewall-cmd ##命令行管理工具
区域：
firewalld将网卡对应到不同的区域（zone），zone 默认共有9个：block（拒绝）
block（拒绝） dmz（非军事化） drop（丢弃） external（外部） home（家庭） internal（内部） public（公开） trusted（信任） work（工作区）.
文件：
/usr/lib/firewalld/services/ ：firewalld服务默认在此目录下定义了70+种服务供我们使用，格式：服务名.xml；
/etc/firewalld/zones/ : 默认区域配置文件，配置文件中指定了编写完成的规则（规则中的服务名必须与上述文件名一致）；

firewalld防火墙的基本命令：
systemctl status firewlld ##查看防火墙状态
firewall-cmd –state ##查看防火墙的状态
systemctl start firewalld ##开启防火墙
systemctl stop firewalld ##关闭防火墙
systemctl enable firewalld ##把防火墙设为开机自启
systemctl disable firewlld ##禁止防火墙开机自启
firewalld防火墙的配置命令（命令行模式）：
firewall-cmd --state ##查看firewalld的状态

firewall-cmd --list-all ##查看防火墙所有规则

firewall-cmd --query-port=22/tcp ##查看22号端口是否开放

firewall-cmd --permanent --add-port=80/tcp ##永久开放80端口
firewall-cmd --permanent --add-service=http ##永久开放http服务

所有的规则更改后都需要进行重载服务：
firewall-cmd --reload

此时http服务已经被防火墙放行（默认拒绝所有）

firewall-cmd --remove-port=80/tcp --permanent ##永久的移除80端口

添加自定义副规则链：
firewall-cmd --permanent --add-rich-rule ‘rule family=ipv4 source address=192.168.10.17/32 service name=ssh accept’ ##只允许192.168.10.17主机通过ssh服务连接本主机

移除自定义副规则链：
firewall-cmd --permanent --remove-rich-rule ‘rule family=ipv4 source address=192.168.10.17/32 service name=ssh accept’ ##移除此ssh规则链