firewalld
1. firewalld的开启
iptables 切换 firewalld
# systemctl stop iptables.service
# systemctl disable iptables.service 关闭firewalld并且开机关闭
# systemctl mask iptables.service 为确保关闭可以冻结
# systemctl enable --now firewalld.service 开启iptables并且开机启动
2. 关于firewalld的域
trusted 接受所有网络连接
home 用于家庭网络，允许接受ssh，dns，ipp-client，samba-client，dhcp-client
work 工作网络 ssh ipp-client，dhcp-client
public 公共网络 ssh，dhcp-client
dmz 军级网络 ssh
block 拒绝所有
drop 丢弃，任何数据没有回复
internal 内部网络 ssh，mdns，ipp-client，dhcp-client
external ipv4网络地址伪妆转发
# firewall-cmd --get-zones 获取域名
3. 关于firewalld的设定原理及数据
/etc/firewalld 火墙配置目录
/usr/lib/firewalld/ 火墙模块目录
添加自定义服务
# cd /etc/firewalld/zones/
# vim public.xml 添加
# cd /usr/lib/firewalld/services/
# cp http.xml yueyue.xml
# vim yueyue.xml 添加描述
# firewall-cmd --reload 刷新服务
测试
# firewall-cmd --get-services | grep yueyue
# firewall-cmd --list-all
4.firewalld的管理命令
firewall-cmd --state 查看火墙状态
firewall-cmd --get-active-zones 查看生效的域
firewall-cmd --get-default-zone 查看默认域
firewall-cmd --list-all 查看默认域中的火墙策略
firewall-cmd --list-all zone=work 查看指定域的火墙策略
firewall-cmd --get-services 查看所有可以设定的服务
firewall-cmd --permanent --remove-service=cockpit 移除服务
firewall-cmd --reload 刷新服务
# firewall-cmd --permanent --add-source=192.168.1.0/24 --zone=block 指定数据来源访问指定域
# firewall-cmd --permanent --remove-source=192.168.1.0/24 --zone=block 移除
# firewall-cmd --permanent --change-interface=ens224 --zone=block 更改指定域网络接口
# firewall-cmd --reload
5. firewalld的高级规则
# firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -s 172.25.254.0/24 -p tcp --dport=22 -j ACCEPT
# firewall-cmd --direct --get-all-rules
6. firewalld中的NAT
SNAT
# firewall-cmd --permanent --add-masquerade
# firewall-cmd --reload 重启服务
测试
# ifconfig
# ssh -l root 192.168.1.33
DNAT
# firewall-cmd --permanent --add-forward-port=port=22:proto=tcp:toaddr=172.25.254.33
# firewall-cmd --reload
测试
# ssh -l root 192.168.1.32
