介绍
Firewalld 是一个可用于许多 Linux 发行版的防火墙管理解决方案，它充当 Linux 内核提供的 iptables 包过滤系统的前端。 在本指南中，我们将介绍如何为您的服务器设置防火墙，并向您展示使用 firewall-cmd 管理工具管理防火墙的基础知识（如果您更愿意在 CentOS 中使用 iptables ，按照本指南）。
注意： 您可能使用的 firewalld 版本比撰写本文时可用的新版本，或者您的服务器设置与本指南中使用的示例服务器略有不同. 本指南中解释的某些命令的行为可能会因您的特定配置而异。
Firewalld中的基本概念
在我们开始讨论如何实际使用 firewall-cmd 实用程序来管理您的防火墙配置之前，我们应该熟悉该工具引入的一些基本概念。
区域
firewalld 守护进程使用称为“区域”的实体管理规则组。 区域基本上是一组规则，根据您在计算机连接的网络中的信任级别，规定应允许哪些流量。 网络接口被分配一个区域来指示防火墙应该允许的行为。
对于可能经常在网络之间移动的计算机（如笔记本电脑），这种灵活性提供了一种根据您的环境更改规则的好方法。 在公共 WiFi 网络上运行时，您可能制定了严格的规则来禁止大多数流量，同时在连接到家庭网络时允许更宽松的限制。 对于服务器而言，这些区域并不那么重要，因为网络环境很少（如果有的话）发生变化。
无论您的网络环境有多动态，熟悉 firewalld 的每个预定义区域背后的一般概念仍然很有用。 按照从 最不可信 到 最可信 的顺序，firewalld 内的预定义区域为：
- drop：最低信任级别。 所有传入连接都将被丢弃而没有回复，并且只有传出连接是可能的。
- block：与上述类似，但不是简单地丢弃连接，而是使用
icmp-host-prohibited或icmp6-adm-prohibited消息拒绝传入的请求。 - public：表示公共的、不受信任的网络。 您不信任其他计算机，但可能会根据具体情况允许选定的传入连接。
- external：使用防火墙作为网关时的外部网络。 它被配置为 NAT 伪装，以便您的内部网络保持私有但可访问。
- internal：外部区域的另一侧，用于网关的内部部分。 这些计算机相当值得信赖，并且提供了一些额外的服务。
- dmz：用于位于 DMZ 中的计算机（无法访问网络其余部分的隔离计算机）。 只允许某些传入连接。
- work：用于工作机器。 信任网络中的大多数计算机。 可能会允许更多的服务。
- home：家庭环境。 这通常意味着您信任大多数其他计算机，并且会接受更多的服务。
- trusted：信任网络中的所有机器。 最开放的可用选项，应谨慎使用。
要使用防火墙，我们可以创建规则并更改区域的属性，然后将我们的网络接口分配给最合适的区域。
规则永久性
在 firewalld 中，可以将规则指定为永久的或立即的。 如果添加或修改规则，默认情况下会修改当前运行的防火墙的行为。 下次启动时，修改将被丢弃，旧规则将被应用。
大多数 firewall-cmd 操作可以使用 --permanent 标志来指示非临时防火墙应该作为目标。 这将影响在引导时重新加载的规则集。 这种分离意味着您可以在活动防火墙实例中测试规则，然后在出现问题时重新加载。 您还可以使用 --permanent 标志随着时间的推移构建一整套规则，这些规则将在发出重新加载命令时立即应用。
安装并启用您的防火墙以在引导时启动
firewalld 默认安装在一些 Linux 发行版上，包括许多 CentOS 7 的镜像。 但是，您可能需要自己安装 firewalld：
sudo yum install firewalld
安装 firewalld 后，您可以启用该服务并重新启动服务器。 请记住，启用 firewalld 将导致服务在启动时启动。 最佳实践是创建防火墙规则并借此机会在配置此行为之前对其进行测试，以避免潜在问题。
sudo systemctl enable firewalld sudo reboot
当服务器重新启动时，您的防火墙应该被启动，您的网络接口应该被放入您配置的区域（或回退到配置的默认区域），并且与该区域关联的任何规则都将应用于关联的接口。
我们可以通过键入以下内容来验证服务是否正在运行并且可以访问：
sudo firewall-cmd --state
Outputrunning
这表明我们的防火墙已启动并使用默认配置运行。
熟悉当前的防火墙规则
在开始修改之前，我们应该熟悉守护进程提供的默认环境和规则。
探索默认值
我们可以通过键入以下内容查看当前选择哪个区域作为默认区域：
firewall-cmd --get-default-zone
Outputpublic
由于我们没有给出 firewalld 任何偏离默认区域的命令，并且我们的接口都没有配置为绑定到另一个区域，因此该区域也将是唯一的“活动”区域（即控制我们接口的流量）。 我们可以通过键入以下内容来验证：
firewall-cmd --get-active-zones
Outputpublic interfaces: eth0 eth1
在这里，我们可以看到我们的示例服务器有两个由防火墙控制的网络接口（eth0 和 eth1）。 它们目前都根据为公共区域定义的规则进行管理。
但是，我们如何知道哪些规则与公共区域相关联？ 我们可以通过键入以下内容打印出默认区域的配置：
sudo firewall-cmd --list-all
Outputpublic (default, active) target: default icmp-block-inversion: no interfaces: eth0 eth1 sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:
从输出中我们可以看出这个区域既是默认区域也是活动区域，并且 eth0 和 eth1 接口与这个区域相关联（我们已经从之前的查询中知道了所有这些）。 但是，我们还可以看到，该区域允许与 DHCP 客户端（用于 IP 地址分配）和 SSH（用于远程管理）相关的正常操作。
探索替代区域
现在我们对默认和活动区域的配置有了一个很好的了解。 我们也可以找到有关其他区域的信息。
要获取可用区域的列表，请键入：
firewall-cmd --get-zones
Outputblock dmz drop external home internal public trusted work
我们可以通过在 --list-all 命令中包含 --zone= 参数来查看与区域关联的特定配置：
sudo firewall-cmd --zone=home --list-all
Outputhome target: default icmp-block-inversion: no interfaces: sources: services: dhcpv6-client mdns samba-client ssh ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:
您可以使用 --list-all-zones 选项输出所有区域定义。 您可能希望将输出通过管道传输到寻呼机中以便于查看：
sudo firewall-cmd --list-all-zones | less
为您的接口选择区域
除非您以其他方式配置了网络接口，否则在启动防火墙时，每个接口都将放在默认区域中。
更改接口的区域
您可以在会话期间通过将 --zone= 参数与 --change-interface= 参数结合使用来转换区域之间的接口。 与所有修改防火墙的命令一样，您需要使用 sudo。
例如，我们可以通过键入以下命令将 eth0 界面转换到“home”区域：
sudo firewall-cmd --zone=home --change-interface=eth0
Outputsuccess
注意： 每当您将接口转换到新区域时，请注意您可能正在修改将要运行的服务。 例如，这里我们正在移动到“home”区域，该区域有 SSH 可用。 这意味着我们的连接不应该断开。 其他一些区域默认没有启用 SSH，如果您在使用这些区域之一时连接断开，您可能会发现自己无法重新登录。
我们可以通过再次询问活动区域来验证这是否成功：
firewall-cmd --get-active-zones
Outputhome interfaces: eth0 public interfaces: eth1
调整默认区域
如果您的所有接口都可以最好地由单个区域处理，那么选择最佳默认区域然后将其用于您的配置可能会更容易。
您可以使用 --set-default-zone= 参数更改默认区域。 这将立即将任何已退回默认设置的接口更改为新区域：
sudo firewall-cmd --set-default-zone=home
Outputsuccess
为您的应用程序设置规则
为您希望提供的服务定义防火墙例外的基本方法相当简单。 我们将在这里介绍基本思想。
将服务添加到您的区域
最简单的方法是将您需要的服务或端口添加到您正在使用的区域。 同样，您可以使用 --get-services 选项获取可用服务的列表：
firewall-cmd --get-services
OutputRH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
注意： 您可以通过查看 /usr/lib/firewalld/services 目录中与它们关联的 .xml 文件来获取有关每个服务的更多详细信息。 例如，SSH 服务的定义如下：
/usr/lib/firewalld/services/ssh.xml
<?xml version="1.0" encoding="utf-8"?> <service> <short>SSH</short> <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description> <port protocol="tcp" port="22"/> </service>
您可以使用 --add-service= 参数为区域启用服务。 该操作将针对默认区域或 --zone= 参数指定的任何区域。 默认情况下，这只会调整当前的防火墙会话。 您可以通过包含 --permanent 标志来调整永久防火墙配置。
例如，如果我们正在运行一个为常规 HTTP 流量提供服务的 Web 服务器，我们可以通过键入以下内容来允许此会话的“公共”区域中的接口的此流量：
sudo firewall-cmd --zone=public --add-service=http
如果您想修改默认区域，可以省略 --zone=。 我们可以使用 --list-all 或 --list-services 操作来验证操作是否成功：
sudo firewall-cmd --zone=public --list-services
Outputdhcpv6-client http ssh
一旦您测试了一切正常，您可能需要修改永久防火墙规则，以便您的服务在重新启动后仍然可用。 我们可以通过键入以下内容使我们的“公共”区域永久更改：
sudo firewall-cmd --zone=public --permanent --add-service=http
Outputsuccess
您可以通过将 --permanent 标志添加到 --list-services 操作来验证这是否成功。 您需要使用 sudo 进行任何 --permanent 操作：
sudo firewall-cmd --zone=public --permanent --list-services
Outputdhcpv6-client http ssh
您的“公共”区域现在将允许端口 80 上的 HTTP Web 流量。 如果您的 Web 服务器配置为使用 SSL/TLS，您还需要添加 https 服务。 我们可以通过键入以下内容将其添加到当前会话和永久规则集：
sudo firewall-cmd --zone=public --add-service=https sudo firewall-cmd --zone=public --permanent --add-service=https
如果没有合适的服务可用怎么办？
firewalld 安装中包含的防火墙服务代表了您可能希望允许访问的应用程序的许多最常见要求。 但是，在某些情况下，这些服务可能不符合您的要求。
在这种情况下，您有两种选择。
为您的区域打开一个端口
添加对特定应用程序的支持的一种方法是打开它在适当区域中使用的端口。 这是通过指定端口或端口范围以及您需要打开的端口的关联协议来完成的。
例如，如果我们的应用程序在端口 5000 上运行并使用 TCP，我们可以使用 --add-port= 参数将其添加到此会话的“公共”区域。 协议可以是 tcp 或 udp：
sudo firewall-cmd --zone=public --add-port=5000/tcp
Outputsuccess
我们可以使用 --list-ports 操作验证这是否成功：
sudo firewall-cmd --zone=public --list-ports
Output5000/tcp
还可以通过用破折号分隔范围中的开始和结束端口来指定端口的顺序范围。 例如，如果我们的应用程序使用 UDP 端口 4990 到 4999，我们可以通过键入以下命令在“public”上打开它们：
sudo firewall-cmd --zone=public --add-port=4990-4999/udp
测试后，我们可能希望将这些添加到永久防火墙中。 您可以通过键入：
sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp sudo firewall-cmd --zone=public --permanent --list-ports
Outputsuccess success 5000/tcp 4990-4999/udp
定义服务
为您的区域打开端口很容易，但很难跟踪每个区域的用途。 如果您曾经停用服务器上的服务，您可能很难记住仍然需要哪些已打开的端口。 为了避免这种情况，可以定义一个服务。
服务是具有关联名称和描述的端口集合。 使用服务比端口更容易管理，但需要一些前期工作。 一个好的开始方法是将现有脚本（在 /usr/lib/firewalld/services 中找到）复制到防火墙查找非标准定义的 /etc/firewalld/services 目录。
例如，我们可以复制 SSH 服务定义以用于我们的“示例”服务定义，如下所示。 文件名减去 .xml 后缀将指示防火墙服务列表中的服务名称：
sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml
现在，您可以调整在您复制的文件中找到的定义：
sudo vi /etc/firewalld/services/example.xml
首先，该文件将包含您复制的 SSH 定义：
/etc/firewalld/services/example.xml
<?xml version="1.0" encoding="utf-8"?> <service> <short>SSH</short> <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description> <port protocol="tcp" port="22"/> </service>
这个定义的大部分实际上是元数据。 您需要更改 <short> 标记内的服务的简称。 这是您的服务的可读名称。 您还应该添加描述，以便在需要审核服务时获得更多信息。 您需要进行的唯一真正影响服务功能的配置可能是端口定义，您可以在其中标识要打开的端口号和协议。 这可以指定多次。
对于我们的“示例”服务，假设我们需要为 TCP 开放端口 7777，为 UDP 开放端口 8888。 通过按 i 进入 INSERT 模式，我们可以修改现有定义，如下所示：
/etc/firewalld/services/example.xml
<?xml version="1.0" encoding="utf-8"?> <service> <short>Example Service</short> <description>This is just an example service. It probably shouldn't be used on a real system.</description> <port protocol="tcp" port="7777"/> <port protocol="udp" port="8888"/> </service>
按ESC，然后输入:x保存并关闭文件。
重新加载防火墙以访问您的新服务：
sudo firewall-cmd --reload
您可以看到它现在位于可用服务列表中：
firewall-cmd --get-services
OutputRH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch example freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
您现在可以像往常一样在您的区域中使用此服务。
创建您自己的区域
虽然预定义的区域对于大多数用户来说可能绰绰有余，但定义您自己的更能描述其功能的区域可能会有所帮助。
例如，您可能想为您的 Web 服务器创建一个名为“publicweb”的区域。 但是，您可能希望为您在专用网络上提供的 DNS 服务配置另一个区域。 为此，您可能需要一个名为“privateDNS”的区域。
添加区域时，您必须将其添加到永久防火墙配置中。 然后，您可以重新加载以将配置带入正在运行的会话中。 例如，我们可以通过键入以下内容来创建我们上面讨论的两个区域：
sudo firewall-cmd --permanent --new-zone=publicweb sudo firewall-cmd --permanent --new-zone=privateDNS
您可以通过键入以下内容来验证这些是否存在于您的永久配置中：
sudo firewall-cmd --permanent --get-zones
Outputblock dmz drop external home internal privateDNS public publicweb trusted work
如前所述，这些在防火墙的当前实例中尚不可用：
firewall-cmd --get-zones
Outputblock dmz drop external home internal public trusted work
重新加载防火墙以将这些新区域带入活动配置：
sudo firewall-cmd --reload firewall-cmd --get-zones
Outputblock dmz drop external home internal privateDNS public publicweb trusted work
现在，您可以开始为您的区域分配适当的服务和端口。 调整活动实例然后在测试后将这些更改转移到永久配置通常是一个好主意。 例如，对于“publicweb”区域，您可能想要添加 SSH、HTTP 和 HTTPS 服务：
sudo firewall-cmd --zone=publicweb --add-service=ssh sudo firewall-cmd --zone=publicweb --add-service=http sudo firewall-cmd --zone=publicweb --add-service=https sudo firewall-cmd --zone=publicweb --list-all
Outputpublicweb target: default icmp-block-inversion: no interfaces: sources: services: ssh http https ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:
同样，我们可以将 DNS 服务添加到我们的“privateDNS”区域：
sudo firewall-cmd --zone=privateDNS --add-service=dns sudo firewall-cmd --zone=privateDNS --list-all
OutputprivateDNS interfaces: sources: services: dns ports: masquerade: no forward-ports: icmp-blocks: rich rules:
然后我们可以将我们的接口更改为这些新区域来测试它们：
sudo firewall-cmd --zone=publicweb --change-interface=eth0 sudo firewall-cmd --zone=privateDNS --change-interface=eth1
此时，您有机会测试您的配置。 如果这些值适合您，您将需要将相同的规则添加到永久配置中。 您可以通过使用 --permanent 标志重新应用规则来做到这一点：
sudo firewall-cmd --zone=publicweb --permanent --add-service=ssh sudo firewall-cmd --zone=publicweb --permanent --add-service=http sudo firewall-cmd --zone=publicweb --permanent --add-service=https sudo firewall-cmd --zone=privateDNS --permanent --add-service=dns
永久应用这些规则后，您可以重新启动网络并重新加载防火墙服务：
sudo systemctl restart network sudo systemctl reload firewalld
验证是否分配了正确的区域：
firewall-cmd --get-active-zones
OutputprivateDNS interfaces: eth1 publicweb interfaces: eth0
并验证两个区域都可以使用适当的服务：
sudo firewall-cmd --zone=publicweb --list-services
Outputhttp https ssh
sudo firewall-cmd --zone=privateDNS --list-services
Outputdns
您已成功设置自己的区域！ 如果您想让这些区域之一成为其他接口的默认值，请记住使用 --set-default-zone= 参数配置该行为：
sudo firewall-cmd --set-default-zone=publicweb
结论
您现在应该对如何管理 CentOS 系统上的 firewalld 服务以供日常使用有了相当好的了解。
firewalld 服务允许您配置考虑到您的网络环境的可维护规则和规则集。 它允许您通过使用区域在不同的防火墙策略之间无缝转换，并使管理员能够将端口管理抽象为更友好的服务定义。 获得该系统的工作知识将使您能够利用该工具提供的灵活性和强大功能。
