百度360必应搜狗淘宝本站头条
tomcat 乱码无法与服务器建立安全连接是什么意思sysv-rc-confdocker映射容器目录到宿主机internet explorer 增强的安全配置已启用
当前位置：网站首页 > 技术文章 > 正文

Centos7 firewalld详解，添加删除策略

nanshan 2024-10-27 11:21 10 浏览 0 评论

一、CENTOS7中FIREWALL防火墙

修改防火墙配置文件之前，需要对之前防火墙【/etc/firewalld/zones/public.xml】做好备份

重启防火墙后，需要确认防火墙状态和防火墙规则是否加载，若重启失败或规则加载失败，则所有请求都会被防火墙。

1.firewall-cmd --state #查看firewall的状态

firewall-cmd --list-all #查看防火墙规则（只显示/etc/firewalld/zones/public.xml中防火墙策略）

firewall-cmd --list-all-zones #查看所有的防火墙策略（即显示/etc/firewalld/zones/下的所有策略）

firewall-cmd --reload #重新加载配置文件

2、关闭firewall：

systemctl stop firewalld.service #停止firewall

systemctl disable firewalld.service #禁止firewall开机启动

firewall-cmd --state #查看默认防火墙状态（关闭后显示notrunning，开启后显示running）

3、firewalld的基本使用

启动： systemctl start firewalld

查看状态： systemctl status firewalld

停止： systemctl disable firewalld

禁用： systemctl stop firewalld

4.systemctl是CentOS7的服务管理工具中主要的工具，它融合之前service和chkconfig的功能于一体。

启动一个服务：systemctl start firewalld.service

关闭一个服务：systemctl stop firewalld.service

重启一个服务：systemctl restart firewalld.service

显示一个服务的状态：systemctl status firewalld.service

在开机时启用一个服务：systemctl enable firewalld.service

在开机时禁用一个服务：systemctl disable firewalld.service

查看服务是否开机启动：systemctl is-enabled firewalld.service

查看已启动的服务列表：systemctl list-unit-files|grep enabled

查看启动失败的服务列表：systemctl --failed

5.配置firewalld-cmd

查看版本： firewall-cmd --version

查看帮助： firewall-cmd --help

显示状态： firewall-cmd --state

查看所有打开的端口： firewall-cmd --zone=public --list-ports

更新防火墙规则： firewall-cmd --reload

查看区域信息: firewall-cmd --get-active-zones

查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0

拒绝所有包：firewall-cmd --panic-on

取消拒绝状态： firewall-cmd --panic-off

查看是否拒绝： firewall-cmd --query-panic


二、防火墙配置文件

[root@node ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_direct  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_IN_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_IN_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_OUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
FORWARD_OUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
OUTPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD_IN_ZONES (1 references)
target     prot opt source               destination         
FWDI_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 
FWDI_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 

Chain FORWARD_IN_ZONES_SOURCE (1 references)
target     prot opt source               destination         

Chain FORWARD_OUT_ZONES (1 references)
target     prot opt source               destination         
FWDO_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 
FWDO_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 

Chain FORWARD_OUT_ZONES_SOURCE (1 references)
target     prot opt source               destination         

Chain FORWARD_direct (1 references)
target     prot opt source               destination         

Chain FWDI_public (2 references)
target     prot opt source               destination         
FWDI_public_log  all  --  0.0.0.0/0            0.0.0.0/0           
FWDI_public_deny  all  --  0.0.0.0/0            0.0.0.0/0           
FWDI_public_allow  all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           

Chain FWDI_public_allow (1 references)
target     prot opt source               destination         

Chain FWDI_public_deny (1 references)
target     prot opt source               destination         

Chain FWDI_public_log (1 references)
target     prot opt source               destination         

Chain FWDO_public (2 references)
target     prot opt source               destination         
FWDO_public_log  all  --  0.0.0.0/0            0.0.0.0/0           
FWDO_public_deny  all  --  0.0.0.0/0            0.0.0.0/0           
FWDO_public_allow  all  --  0.0.0.0/0            0.0.0.0/0           

Chain FWDO_public_allow (1 references)
target     prot opt source               destination         

Chain FWDO_public_deny (1 references)
target     prot opt source               destination         

Chain FWDO_public_log (1 references)
target     prot opt source               destination         

Chain INPUT_ZONES (1 references)
target     prot opt source               destination         
IN_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 
IN_public  all  --  0.0.0.0/0            0.0.0.0/0           [goto] 

Chain INPUT_ZONES_SOURCE (1 references)
target     prot opt source               destination         

Chain INPUT_direct (1 references)
target     prot opt source               destination         

Chain IN_public (2 references)
target     prot opt source               destination         
IN_public_log  all  --  0.0.0.0/0            0.0.0.0/0           
IN_public_deny  all  --  0.0.0.0/0            0.0.0.0/0           
IN_public_allow  all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           

Chain IN_public_allow (1 references)
target     prot opt source               destination         
ACCEPT     tcp  --  172.17.134.13        0.0.0.0/0            tcp dpt:2181 ctstate NEW
ACCEPT     all  --  172.17.134.13        0.0.0.0/0           
ACCEPT     all  --  172.17.172.236       0.0.0.0/0         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22 ctstate NEW
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:8715 ctstate NEW
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 ctstate NEW

Chain IN_public_deny (1 references)
target     prot opt source               destination         

Chain IN_public_log (1 references)
target     prot opt source               destination         

Chain OUTPUT_direct (1 references)
target     prot opt source               destination 

[root@node ~]# cat /etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <port protocol="tcp" port="8715"/>
  <port protocol="tcp" port="80"/>
  <rule family="ipv4">
    <source address="172.17.134.13"/>
    <port protocol="tcp" port="2181"/>
    <accept/>
  </rule>
  <rule family="ipv4">
    <source address="172.17.134.13"/>
    <accept/>
  </rule>
  <rule family="ipv4">
    <source address="172.17.172.236"/>
    <accept/>
  </rule>
</zone>

三、CENTOS7的FIREWALLD开启端口/IP、屏蔽IP

开启防火墙：systemctl start firewalld

查看开放的端口和服务以及屏蔽的IP：firewall-cmd --zone=public --list-all

查看系统中查看系统中可用的服务：firewall-cmd --get-services

添加端口：firewall-cmd --zone=public --add-port=8080/tcp --permanent (--permanent永久生效，没有此参数重启后失效)

查看：firewall-cmd --zone= public --query-port=80/tcp

添加端口段：firewall-cmd --zone=public --add-port=5060-5061/udp --permanent

添加IP+端口：firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="0.0.0.0/24" port protocol="tcp" port="10050" accept"

删除端口：firewall-cmd --permanent --zone=public --remove-port=8080/tcp

删除IP+端口：firewall-cmd --permanent --zone=public --remove-rich-rule="rule family="ipv4" source address="10.0.5.0/24" port protocol="tcp" port="10050" accept"

屏蔽IP(reject)：firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=43.229.53.61 reject"

屏蔽IP(drop) : firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' drop"

热加载才能生效：firewall-cmd --reload

查看屏蔽结果：firewall-cmd --list-rich-rules

因为在/usr/lib/firewalld/services/中事先定义了ssh.xml的相应的规则


四、FIREWALLD防火墙 禁止/限制 特定用户的IP访问，DROP和REJECT区别

1.drop禁止特定ip连接ssh/22服务
  firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' service name='ssh' drop"
  firewall-cmd --reload ##重新加载防火墙配置，不然firewall-cmd --list-all-zones不会显示刚加上的规则
 
2.reject禁止特定ip连接ssh/22服务
  firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='x.x.x.x/24' service name='ssh' reject"
  firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='x.x.x.x/24' port port=22 protocol=tcp reject"
  firewall-cmd --reload
3.accept运行特定ip连接ssh/22服务
  firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address='x.x.x.x/24' port port=22 procotol=tcp accept"
  firewall-cmd --reload
防火墙内的策略动作有DROP和REJECT两种，区别如下：
1、DROP动作只是简单的直接丢弃数据，并不反馈任何回应。需要Client等待超时，Client容易发现自己被防火墙所阻挡。
2、REJECT动作则会更为礼貌的返回一个拒绝(终止)数据包(TCP FIN或UDP-ICMP-PORT-UNREACHABLE)，明确的拒绝对方的连接动作。连接马上断开，Client会认为访问的主机不存在。REJECT在IPTABLES里面有一些返回参数，参数如下：ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset（这个封包会要求对方关闭联机），进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。
 
    至于使用DROP还是REJECT更合适一直未有定论，因为的确二者都有适用的场合。REJECT是一种更符合规范的处理方式，并且在可控的网络环境中，更易于诊断和调试网络/防火墙所产生的问题；而DROP则提供了更高的防火墙安全性和稍许的效率提高，但是由于DROP不很规范(不很符合TCP连接规范)的处理方式，可能会对你的网络造成一些不可预期或难以诊断的问题。因为DROP虽然单方面的中断了连接，但是并不返回任何拒绝信息，因此连接客户端将被动的等到tcp session超时才能判断连接是否成功，这样早企业内部网络中会有一些问题，例如某些客户端程序或应用需要IDENT协议支持(TCP Port 113, RFC 1413)，如果防火墙未经通知的应用了DROP规则的话，所有的同类连接都会失败，并且由于超时时间，将导致难以判断是由于防火墙引起的问题还是网络设备/线路 故障。
 
    一点个人经验，在部署防火墙时，如果是面向企业内部(或部分可信任网络)，那么最好使用更绅士REJECT方法，对于需要经常变更或调试规则的网络也是如此；而对于面向危险的Internet/Extranet的防

相关推荐

教你一个解决手机卡顿的方法（10秒解决手机卡顿问题）

我们的手机天天刷头条，看视频，用了一阶段时间以后，就时不时的发生卡顿现象。昨天我的手机就发现了这个问题。友友们，你们遇到过这样的问题吗？你们都是怎样解决的？我看了一眼我的粉丝情况，头条君给我分析的很精...

手机视频缓存清理，3步彻底清空，告别卡顿

在我们使用手机观看视频的过程中，经常会产生大量的缓存垃圾，这些垃圾文件不仅占用了手机的存储空间，还可能导致手机卡顿和运行缓慢。然而，你知道如何彻底清空手机的视频缓存，让手机恢复流畅的使用体验吗？在本文...

关手机这个开关，轻松提升流畅度!

关闭手机这个开关，跟新买的一样流畅。手机不要再清理垃圾了，只要关闭这个开关，手机就会和新买的差不多，丝滑流畅不卡顿。其实抖音里就隐藏着一个小开关，每天刷过的视频都会保存在手机里，如果一直不清理，手机就...

如何清理今日头条和西瓜视频的内存，让手机流畅不卡顿?

对于老年人而言，今日头条和西瓜视频能带来丰富的资讯与娱乐。然而，随着使用时间的增加，这些应用会占用大量手机内存，致使手机运行卡顿。那该如何解决呢？接下来，我将用最简单易懂的方式教老年人清理今日头条和西...

视频在线如何转换格式?好用不卡顿的三种转换办法

转换视频格式目前来说已经是很熟练的操作了，但是还有些用户可能还是不知道，小编今天就特意给大家带来一些小众才知道的转换教程，让新手也能快速的上手去转换视频格式，以后获取到视频就不怕内容丢失了，视频的格式...

如何把视频慢放处理?这几个慢放方法记得收藏

如何把视频慢放处理？如果你想让视频慢放，可能是因为你想放慢一些精彩的瞬间，或者你想制作一个慢动作视频。在这篇文章中，我们将介绍一些调速方法，这些方法可以有效地调整视频速度，一起来学习一下吧。方法一：使...

如何清理看过的视频，释放垃圾，让手机更流畅?

现在谁的手机上没几个短视频平台，无聊时就会刷别人的视频。可您知道吗？我们看过的内容都会被自动保存在手机里，而且很耗内存。如果长时间不释放，手机就会出现各种问题，其中最突出的就是反应慢。相信很多老年人的...

手机掉帧是怎么回事?刷视频的时候经常掉帧卡顿

手机掉帧是指在运行应用或视频时，画面出现卡顿、不流畅的现象，通常由硬件性能不足、软件优化不佳、内存占用过高、网络问题或设备过热等因素引起。尤其是在刷视频时，掉帧问题可能更为明显，以下是具体原因及解决方...

拍视频画面卡顿不流畅，原来是相机设置错误 #短视频拍摄

拍摄视频时，应该选择哪种快门速度？许多新手朋友可能会认为，快门速度越高，画面就越清晰，实则不然。因为拍摄视频时，需要考虑一个问题，即动态模糊。例如，如果设置为24帧/秒，那么每秒钟会拍摄24张图片。如...

手机卡顿最大原因#视频太卡怎么变流畅

抖音这几个开关是手机卡顿的最大原因。你是不是也会经常遇到刷视频的时候，打开一个视频之后老半天还在那转着圈圈，总觉得手机没有之前流畅了。这就说明你的手机占用的内存太多了，导致手机卡顿，使用不流畅。使用手...

为啥你家的玩游戏和刷视频经常性的会卡，那是你不懂这些小妙招

本内容来源于@什么值得买APP，观点仅代表作者本人｜作者：暴走的黄小猪说到网速有不少的值友都有一个共同点，那就是“卡”，那是你根本没体验过啥叫真正的网速啊，全屋零四条网络报表也花不了几个钱你们的方法...

电脑看视频卡顿有什么解决方法?（电脑看视频画面卡顿是什么原因）

电脑看视频卡顿的原因可能多种多样，包括硬件性能不足、网络问题、软件设置不当等。以下是一些常见的解决方法，帮助你改善视频播放的流畅度：一、硬件方面1.检查硬件性能：如果电脑配置较低，尤其是CPU、内存或...

手机Wi-Fi满格但视频卡顿，你需要这样解决

累了一天的打工人回家拿出手机准备玩玩游戏，看看电影时，发现网络异常卡顿，但手机又显示Wi-Fi信号满格，当咱们遇到此类问题时，这些动作能让网络恢复正常，方法如下。一、重启路由器和光猫很多家庭在安装好路...

视频越刷越卡?原来是路由器开启了这个功能，关闭方法来了

应该很多小伙伴都有过类似的经历，就是在家里长时间刷视频或者看剧的时候，网速好像会越来越慢，视频总是要加载。手机本身可能是一部分原因，但路由器也会影响，你知道吗？当我们在刷视频的，路由器会悄悄地开启大量...

一招解决视频卡顿的问题，改变发布渠道后，结果香了

最近一段时间拍了很多美景视频，编辑发布到头条后，有时一直显示在缓冲，播放不了，有时打开断断续续的，老是卡顿。导致的后果是：要么展现量很低，要么阅读量寥寥无几，这让我非常苦恼。所以再发布作品时，我只好文...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表