三、防火墙的区域与配置

查看区域：

[root@linuxidc ~]# firewall-cmd --get-zones 

block dmz drop external home internal public trusted work

查看默认区域

[root@linuxidc ~]# firewall-cmd --get-default-zone

public

每个区域配置多个服务，对应多个接口

[root@linuxidc ~]# firewall-cmd --get-services

amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https

查看允许的服务

[root@linuxidc ~]# firewall-cmd --list-services --zone=public

dhcpv6-client ssh

某些服务，对应多个端口，在防火墙允许某项服务则可能意味着允许该服务对应的多个端口：

给区域添加服务：

[root@linuxidc ~]# firewall-cmd --add-service=ftp --zone=public  --permanent

删除区域服务:

[root@linuxidc ~]# firewall-cmd --remove-service=ftp --zone=public

查看某项服务是否被允许：

[root@linuxidc ~]# firewall-cmd --query-service=http --zone=public

no

区域添加端口：

[root@linuxidc ~]# firewall-cmd --add-port=8000/tcp --zone=public --permanent

删除端口：

1  firewall-cmd --remove-port=8000/tcp --zone=public

查看端口是否被允许：

[root@linuxidc ~]# firewall-cmd --query-port=8000/tcp --zone=public

一个区域可以绑定多个网卡，一个网卡只能绑定一个区域：

查看网卡和区域绑定：

[root@linuxidc ~]# firewall-cmd --get-zone-of-inter>

区域添加端口：

[root@linuxidc ~]# firewall-cmd --add-inter --zone=public --permanent

区域删除网卡：

[root@linuxidc ~]# firewall-cmd --remove-inter --zone=public --permanent

修改网卡的区域：

[root@linuxidc html]# firewall-cmd --change-inter --zone=public --permanent

trusted区域的所有服务都被允许：

网卡如果不属于任何区域，那么来自该接口的所有数据包将使用默认的区域规则：

区域添加来源地址，如果接口不属于某个区域，那么来自于该接口的流量如果匹配来源地址，那么流量将从来源的区域通过：

查看某个区域的所有配置信息：

[root@linuxidc html]# firewall-cmd --list-all

public (default, active)

  interfaces: br1 ens34 ens37 virbr0

  sources: 

  services: dhcpv6-client ssh

  ports: 443/tcp 464/tcp 88/udp 88/tcp 123/udp 389/tcp 53/tcp 53/udp 636/tcp

  masquerade: no

  forward-ports: 

  icmp-blocks: 

  rich rules:

所有的配置操作如果想永久生效，则需要加--permanent选项，否则配置只会在当前运行环境生效