CentOS8 firewalld 防火墙配置

Firewalld 简化了防火墙配置,之前 Firewalld 底层用 iptables,CentOS 8 开始 Firewalld 的底层使用 nftable。

Firewalld 使用 Zones, Services 替代 Chain, rules。通过 Firewalld 修改规则不会影响当前已建立的 sessions 和 connections。

查看状态:

$ sudo firewall-cmd --state
running

查看当前的防火墙配置:

$ sudo firewall-cmd --list-all

Firewalld 的配置分为两种:运行时的和永久的。默认是配置运行时规则,用 --permanent 修改永久配置。

$ sudo firewall-cmd --add-service=http
$ sudo firewall-cmd --add-service=http --permanent
$ sudo firewall-cmd --reload

firewalld 的基础概念

Zones

Zones 是预设定的规则组,适用于一定的场景,例如 home, public, trusted 等。默认的 zone 是 public。查看所有的 Zones:

$ sudo firewall-cmd --list-all-zones

查看 Zone:

$ sudo firewall-cmd --get-default-zone

$ sudo firewall-cmd --get-active-zones

$ sudo firewall-cmd --zone=public --list-all

Services

Services 是预设定的服务,如 http, git, syslog, mysql 等。查看所有的 Services:

$ sudo firewall-cmd --get-services

添加删除 Service:

$ sudo firewall-cmd --get-services

$ sudo firewall-cmd --add-service=http --permanent
$ sudo firewall-cmd --remove-service=http --permanent

查看系统定义的 Services:

$ cat /usr/lib/firewalld/services/http.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>WWW (HTTP)</short>
  <description>...</description>
  <port protocol="tcp" port="80"/>
</service>

Services 配置路径:

常用命令

常用参数列表:

开放或关闭端口+协议:

$ sudo firewall-cmd --add-port=3306/tcp --permanent
$ sudo firewall-cmd --remove-port=3306/tcp --permanent
$ sudo firewall-cmd --list-ports

$ sudo firewall-cmd --add-service=http --permanent
$ sudo firewall-cmd --remove-service=http --permanent
$ sudo firewall-cmd --list-services

添加/删除 IP 白名单:

$ sudo firewall-cmd --permanent --add-source=192.168.1.100
$ sudo firewall-cmd --permanent --add-source=192.168.1.0/24

$ sudo firewall-cmd --permanent --remove-source=192.168.1.100
$ sudo firewall-cmd --permanent --remove-source=192.168.1.0/24

$ sudo firewall-cmd --list-sources

添加/删除 IP 黑名单:

$ sudo firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' drop"
$ sudo firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' drop"

允许 IP 访问指定服务/端口:

$ sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="mysql" accept'
$ sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept'

$ sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="mysql" accept'
$ sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept'