Linux防火的常用命令

一、防火墙查看状态

• 防火墙重新载入(必须重新载入后才能生效)

firewall-cmd --reload
1

• 防火墙查看基础状态

systemctl status firewalld #查看状态
1

• 查看 防火墙所有规则

firewall-cmd --list-all
1

• 查看rich-rules（富规则)

firewall-cmd --list-rich-rules
1

• 查看防火墙服务规则

firewall-cmd --list-services
1

• 查看防火墙所有区域的配置规则

firewall-cmd --list-all-zones
1

• 查看默认区域

firewall-cmd --get-default-zone
1

• 查看网络接口使用区域

firewall-cmd --get-active-zones
1

• 查看默认的可用服务

firewall-cmd --get-services
1

二、防火墙启动关闭命令

• 启动

systemctl start firewalld #启动
1

• 停止

systemctl stop firewalld #停止
1

• 重启

firewall-cmd –reload #重启
1

• 开机禁用

systemctl disable firewalld #开机禁用
1

• 开机启动

systemctl enable firewalld #开机启动
1

三、防火墙配置

防火墙配置命令

添加规则

• 在public中永久开放10022端口

firewall-cmd --zone=public --add-port=10022/tcp --permanent
1

--zone ：网络区域
--permanent：永久生效，没有此参数重启后失效
1
2

• 设置开放80端口开放

firewall-cmd --add-service=http –permanent #添加一个服务permanent
1

firewall-cmd --add-port=80/tcp –permanent	# permanent上开放一个80端口
1

• 允许192.168.1.10所有访问所有端口

firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" accept' --permanent
1

• 允许192.168.2.0/24(0-255网段)所有访问所有端口

firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.2.0/24" accept' --permanent
1

允许192.168.1.10所有访问TCP协议的22端口

firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp accept' --permanent
1

移除规则

• 移除permanent服务

firewall-cmd --remove-service=http –permanent 
1

• 移除permanent服务上开放的80端口

firewall-cmd --remove-port=80/tcp –permanent
1

• 移除192.168.1.10所有访问所有端口

firewall-cmd --zone=public --remove-rich-rule 'rule family="ipv4" source address="192.168.1.10" accept' --permanent
1

防火墙配置文件

• 路径地址，作者只用zones的空间作为举例

<zone>
  <short>Publicshort>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="cockpit"/>
  <port protocol="tcp" port="22/">
  <rule family="ipv4">
  	<source address="196.168.1.1"/>
  	<accept/>
  rule>
  <rule family="ipv4">
    <source address="192.168.1.10"/>
    <port port="22" protocol="tcp"/>
    <accept/>
  rule>
zone>
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

• 向所有ip开放端口22

<port protocol="tcp" port="10022">
1

• 向ip：196.168.1.1开放所有端口

  <rule family="ipv4">
  	<source address="196.168.1.1"/>
  	<accept/>
  rule>
1
2
3
4

• 允许ip：192.168.1.10 访问 22端口

  <rule family="ipv4">
    <source address="192.168.1.10"/>
    <port port="22" protocol="tcp"/>
    <accept/>
  rule>
1
2
3
4
5