Firewalld 日常使用手册

目录

1. Firewalld 概述
2. 安装和启动 Firewalld
3. 基本命令
4. 区域和服务管理
5. 配置 NAT 规则
6. 配置自定义服务
7. 常见问题排查

1. Firewalld 概述

Firewalld 是一个动态管理防火墙的工具，支持网络区域定义，用于分配不同的信任级别。它提供了丰富的命令行接口和图形界面工具，用于配置规则和策略。

2. 安装和启动 Firewalld

安装

sudo yum install firewalld  # 对于 CentOS/RHEL
sudo apt-get install firewalld  # 对于 Ubuntu/Debian

启动并启用

sudo systemctl start firewalld
sudo systemctl enable firewalld

3. 基本命令

查看状态

sudo firewall-cmd --state

重新加载配置

sudo firewall-cmd --reload

查看当前区域设置

sudo firewall-cmd --get-active-zones

列出所有区域

sudo firewall-cmd --get-zones

4. 区域和服务管理

查看区域配置

sudo firewall-cmd --zone=public --list-all

添加服务到区域

sudo firewall-cmd --zone=public --permanent --add-service=http

移除服务

sudo firewall-cmd --zone=public --permanent --remove-service=http

添加端口到区域

sudo firewall-cmd --zone=public --permanent --add-port=8080/tcp

移除端口

sudo firewall-cmd --zone=public --permanent --remove-port=8080/tcp

添加 rich rule

sudo firewall-cmd --zone=public --permanent --add-rich-rule='rule family="ipv4" port port="0-65535" protocol="tcp" reject'

5. 配置 NAT 规则

添加 PREROUTING 规则

sudo firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 -s 172.18.2.0/24 -d 127.0.0.1 -p tcp --dport 3306 -j DNAT --to-destination 172.17.3.1:3366

添加 POSTROUTING 规则

sudo firewall-cmd --permanent --direct --add-rule ipv4 nat POSTROUTING 0 -s 172.18.2.0/24 -d 172.17.3.1 -p tcp --dport 3366 -j MASQUERADE

6. 配置自定义服务

创建自定义 SSH 服务

1. 复制默认 SSH 服务文件

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-custom.xml

2. 编辑自定义服务文件

sudo nano /etc/firewalld/services/ssh-custom.xml

修改 <port protocol="tcp" port="22"/> 行，添加新的端口，例如：

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>SSH Service</description>
  <port protocol="tcp" port="22"/>
  <port protocol="tcp" port="2222"/>
</service>

3. 重载 Firewalld 配置

sudo firewall-cmd --reload

4. 使用自定义服务

sudo firewall-cmd --zone=public --permanent --add-service=ssh-custom
sudo firewall-cmd --zone=public --permanent --remove-service=ssh

7. 常见问题排查

检查规则是否生效

sudo iptables -L -n -v

查看日志

sudo journalctl -xe

测试连接

telnet <server-ip> 22
ssh -p 2222 your_username@your_server_ip

确认防火墙配置

sudo firewall-cmd --zone=public --list-all