firewalld标准规则

一、Firewalld概述

1、简单介绍

firewalld的作用是为包过滤机制提供匹配规则（或称为策略），通过各种不同的规则，告诉netfilter对来自指定源、前往指定目的的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙，firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙工具。它支持IPv4、IPv6防火墙设置以及以太网桥，并且拥有两种配置模式：运行时配置与永久配置。它还支持服务或应用程序直接添加防火墙规则接口。

2、firewalld与iptables的关系

（1）firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样。
（2）系统提供了图像化的配置工具firewall-config、system-config-firewall，提供命令客户端firewall-cmd，用于配置firewalld永久性或非永久性运行时间的改变：它依次用iptables工具与执行数据包筛选的内核中的Netfilter通信。

3、firewalld和iptables service之间最本质的不同

（1）iptables service在/etc/sysconfig/iptables中存储配置，而firewalld将配置存储在/user/lib/firewalld/中的各种XML文件里。
（2）使用iptables service每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables里读取所有新的规则，然而使用firewalld却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此，firewalld可以在运行时间内，改变设置而不丢失现行连接。

二、Firewalld网络区域

firewalld将所有的网络数据流量划分为多个区域，从而简化防护墙管理。根据数据包的源IP地址或传入网络接口等条件，将数据流量转入相应区域的防火墙规则。对于进入系统的数据包，首先检查的就是其源地址。

1、区域规则

若源地址关联到特定的区域，则执行该区域所制定的规则；若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所制定的规则；若网络接口未关联到特定的区域，则使用默认区域并执行该区域所制定的规则。

三、firewall-cmd命令行工具配置

1、启动、停止、查看firewalld服务

2、获取预定义信息

3、区域管理

4、服务管理

5、端口管理

在进行服务配置时，预定义的网络服务可以使用服务名配置，服务所涉及的端口就会自动打开。但是对于非预定义的服务只能手动为指定的区域添加端口。

上面命令是添加端口和删除端口操作。

6、配置模式

运行时模式：当前内存中运行的防火墙配置，在系统或firewalld服务重启、停止时配置将失效。
永久模式：重启防火墙或重新加载防火墙时的规则设置，是永久存储在配置文件中的。

四、常用命令