CentOS Firewalld 服务、端口及访问控制实战指南

sudo firewall-cmd --zone=public --add-service=http

启用服务（永久） 要永久启用某个服务，可以添加 --permanent 参数：

sudo firewall-cmd --zone=<区域名> --add-service=<服务名> --permanent

例如，在 public 区域中永久启用 HTTP 服务：

sudo firewall-cmd --zone=public --add-service=http --permanent

启用服务后，通常需要重新加载 Firewalld 配置以应用更改：

sudo firewall-cmd --reload

禁用服务

禁用服务（临时） 要在指定区域中临时禁用某个服务，可以使用以下命令：

sudo firewall-cmd --zone=<区域名> --remove-service=<服务名>

例如，在 public 区域中禁用 HTTP 服务：

sudo firewall-cmd --zone=public --remove-service=http

禁用服务（永久） 要永久禁用某个服务，可以添加 --permanent 参数：

sudo firewall-cmd --zone=<区域名> --remove-service=<服务名> --permanent

例如，在 public 区域中永久禁用 HTTP 服务：

sudo firewall-cmd --zone=public --remove-service=http --permanent

同样，禁用服务后，通常需要重新加载 Firewalld 配置以应用更改：

sudo firewall-cmd --reload

验证服务状态 我们可以使用以下命令验证某个服务在指定区域中是否启用：

sudo firewall-cmd --zone=<区域名> --query-service=<服务名>

例如，查询 HTTP 服务是否在 public 区域中启用：

sudo firewall-cmd --zone=public --query-service=http

该命令将返回 yes 或 no，表示服务是否已启用。

4. 自定义服务配置

在 Firewalld 中，自定义服务配置可以让你添加特定的服务，这些服务可能不包含在默认的 Firewalld 服务列表中。

1. 创建服务配置文件

自定义服务配置文件存储在 /etc/firewalld/services/ 目录下。文件名应以 .xml 结尾。例如，创建一个名为 my-custom-service.xml 的文件：

sudo nano /etc/firewalld/services/my-custom-service.xml

2. 编辑服务配置文件

在编辑器中，定义你的自定义服务。下面是一个示例配置文件，用于创建一个名为 "My Custom Service" 的服务，它使用 TCP 端口 12345：

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>My Custom Service</short>
  <description>A custom service for demonstration purposes.</description>
  <port protocol="tcp" port="12345"/>
</service>

3. 重新加载 Firewalld 配置

保存并关闭文件后，重新加载 Firewalld 以应用新的服务配置：

sudo firewall-cmd --reload

4. 验证自定义服务

验证新服务是否已添加：

sudo firewall-cmd --get-services | grep my-custom-service

如果配置正确，你应该能看到 my-custom-service 列在输出中。

5. 启用自定义服务

现在我们可以像管理其他服务一样启用或禁用你的自定义服务。例如，启用它：

sudo firewall-cmd --zone=public --add-service=my-custom-service

或永久启用它：

sudo firewall-cmd --zone=public --add-service=my-custom-service --permanent
sudo firewall-cmd --reload

验证服务状态

验证自定义服务是否启用：

sudo firewall-cmd --zone=public --query-service=my-custom-service

三、端口管理

1. 开放特定端口

临时开放端口 要在当前区域（默认是 public）中临时开放一个特定端口（例如 TCP 端口 8080），请使用以下命令：

sudo firewall-cmd --zone=public --add-port=8080/tcp

这将在当前会话中开放该端口，但不会在重启后保留。

永久开放端口 要永久开放一个端口，请添加 --permanent 选项，然后重新加载 Firewalld 配置：

sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
sudo firewall-cmd --reload

2. 关闭特定端口

临时关闭端口 要在当前区域中临时关闭一个端口（例如 TCP 端口 8080），请使用以下命令：

sudo firewall-cmd --zone=public --remove-port=8080/tcp

这将在当前会话中关闭该端口，但不会在重启后保留。

永久关闭端口 要永久关闭一个端口，请添加 --permanent 选项，然后重新加载 Firewalld 配置：

sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent
sudo firewall-cmd --reload

3. 查看当前开放的端口

要查看当前区域中所有开放的端口，可以使用以下命令：

sudo firewall-cmd --zone=public --list-ports

4. 端口转发设置

在 Firewalld 中设置端口转发（也称为端口重定向）可以通过以下步骤完成。假设我们希望将外部访问的某个端口重定向到另一台服务器的端口。

示例：设置端口转发 转发所有到本机 8080 端口的流量到内网的 192.168.1.100 的 80 端口

1. 启用 IP 转发

首先需要在系统中启用 IP 转发。编辑 /etc/sysctl.conf 文件并添加以下行：

net.ipv4.ip_forward = 1

使更改生效：

sudo sysctl -p

2. 设置端口转发规则

通过 firewall-cmd 命令来设置端口转发规则：

sudo firewall-cmd --zone=public --add-forward-port=port=8080:proto=tcp:toport=80:toaddr=192.168.1.100

以上命令将会在当前会话中生效。

3. 使端口转发规则永久生效

要使上述端口转发规则永久生效，可以添加 --permanent 选项并重新加载配置：

sudo firewall-cmd --zone=public --add-forward-port=port=8080:proto=tcp:toport=80:toaddr=192.168.1.100 --permanent
sudo firewall-cmd --reload

5. 使用 firewall-cmd 的常见选项

• **--zone=：**指定区域，默认为 public。
• **--add-port=/：**添加要开放的端口和协议（例如 8080/tcp）。
• **--remove-port=/：**删除要关闭的端口和协议。
• **--permanent：**使更改永久生效，需要重新加载配置。
• **--reload：**重新加载 Firewalld 配置以应用永久更改。
• **--list-ports：**列出当前区域中开放的所有端口。

四、IP 地址与 MAC 地址过滤

1. 基于 IP 地址的访问控制

在 Firewalld 中，基于 IP 地址的访问控制可以通过创建特定的规则来允许或拒绝特定 IP 地址的访问。

基于 IP 地址的访问控制配置步骤

1. 查看当前区域设置

首先，查看当前系统使用的防火墙区域，以便在该区域下进行配置：

sudo firewall-cmd --get-active-zones

假设返回结果为 public，那么接下来的配置将针对 public 区域进行。

2. 允许特定 IP 地址访问特定端口

假设我们希望允许 IP 地址 192.168.1.10 访问服务器的 22 端口（SSH），可以使用以下命令：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.10" port protocol="tcp" port="22" accept'

要使该规则永久生效，可以加上 --permanent 参数，并重新加载防火墙规则：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.10" port protocol="tcp" port="22" accept' --permanent
sudo firewall-cmd --reload

3. 拒绝特定 IP 地址访问特定端口

假设我们希望拒绝 IP 地址 192.168.1.20 访问服务器的 80 端口（HTTP），可以使用以下命令：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.20" port protocol="tcp" port="80" reject'

要使该规则永久生效，可以加上 --permanent 参数，并重新加载防火墙规则：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.20" port protocol="tcp" port="80" reject' --permanent
sudo firewall-cmd --reload

4. 允许或拒绝整个子网

如果需要允许或拒绝整个子网的访问，可以指定子网地址。比如允许整个 192.168.1.0/24 子网访问服务器的 80 端口，可以使用以下命令：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" accept'

要使该规则永久生效，可以加上 --permanent 参数，并重新加载防火墙规则：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" accept' --permanent
sudo firewall-cmd --reload

5. 查看现有的规则

要查看当前区域中的所有 rich 规则，可以使用以下命令：

sudo firewall-cmd --zone=public --list-rich-rules

6. 删除现有的规则

假设需要删除先前添加的允许 IP 地址 192.168.1.10 访问 22 端口的规则，可以使用以下命令：

sudo firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.1.10" port protocol="tcp" port="22" accept'

要使该删除操作永久生效，可以加上 --permanent 参数，并重新加载防火墙规则：

sudo firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.1.10" port protocol="tcp" port="22" accept' --permanent
sudo firewall-cmd --reload

2. MAC 地址绑定与过滤

在 Firewalld 中，MAC 地址绑定与过滤可以通过创建特定的规则来限制或允许基于 MAC 地址的访问。这种方式可以用于网络访问控制，确保只有特定设备能够访问某些资源。

1. 查看当前区域设置

首先，查看当前系统使用的防火墙区域，以便在该区域下进行配置：

sudo firewall-cmd --get-active-zones

假设返回结果为 public，那么接下来的配置将针对 public 区域进行。

2. 允许特定 MAC 地址访问网络

假设我们希望允许 MAC 地址 00:11:22:33:44:55 的设备访问网络，可以使用以下命令：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source mac="00:11:22:33:44:55" accept'

要使该规则永久生效，可以加上 --permanent 参数，并重新加载防火墙规则：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source mac="00:11:22:33:44:55" accept' --permanent
sudo firewall-cmd --reload

3. 拒绝特定 MAC 地址访问网络

假设我们希望拒绝 MAC 地址 00:11:22:33:44:66 的设备访问网络，可以使用以下命令：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source mac="00:11:22:33:44:66" drop'

要使该规则永久生效，可以加上 --permanent 参数，并重新加载防火墙规则：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source mac="00:11:22:33:44:66" drop' --permanent
sudo firewall-cmd --reload

4. 查看现有的规则

要查看当前区域中的所有 rich 规则，可以使用以下命令：

sudo firewall-cmd --zone=public --list-rich-rules

5. 删除现有的规则

假设需要删除先前添加的允许 MAC 地址 00:11:22:33:44:55 的规则，可以使用以下命令：

sudo firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source mac="00:11:22:33:44:55" accept'

要使该删除操作永久生效，可以加上 --permanent 参数，并重新加载防火墙规则：

sudo firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source mac="00:11:22:33:44:55" accept' --permanent
sudo firewall-cmd --reload