centos 7 firewalld

yum install firewalldsystemctl enable firewalldsystemctl disable firewalldsystemctl start firewalldsystemctl status firewalldFirewallD使用区域（zone）的概念来管理，每个网卡对应一个zone，这些zone的配置文件可在/usr/lib/firewalld/zones/下看到，默认的是public，其他区域：drop任何流入网络的包都被丢弃，不作出任何响应，只允许流出的网络连接。即使开放了某些服务(比如http)，这些服务的数据也是不允许通过的。block任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。public（默认）用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机，只允许选中的服务通过。external用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机，只允许选中的服务通过。dmz用以允许隔离区（dmz）中的电脑有限地被外界网络访问，只允许选中的服务通过。work用在工作网络。你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过。home用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过。internal用在内部网络。你信任网络中的大多数计算机不会影响你的计算机，只允许选中的服务通过。trusted允许所有网络连接，即使没有开放任何服务，那么使用此zone的流量照样通过（一路绿灯）。 /etc/firewalld/firewalld.conf/etc/firewalld/zones/ <?xml version="1.0" encoding="utf-8"?> <zone>   <short>Public</short>   <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>   <service name="dhcpv6-client"/>   <service name="ssh"/>   <service name="http"/>   <service name="https"/> </zone> 在public zone中开放ssh（22）、http（80）、https（443）端口，其中对应每一个在/usr/lib/firewalld/services/下*.xml文件定义好的服务类型firewall-cmd --get-active-zones : Find (View) Active Zones in Firewalldfirewall-cmd --get-default-zone : Find (View) Default Zone for Firewalldfirewall-cmd --reloadfirewall-cmd --list-allfirewall-cmd --query-port=80/tcp 查询是否开启80端口firewall-cmd --add-port=80/tcp   开启80端口# Check firewall state. firewall-cmd --state # Check active zones. firewall-cmd --get-active-zones # Check current active services. firewall-cmd --get-service # Check services that will be active after next reload. firewall-cmd --get-service --permanent  #reload the config after making any changes. firewall-cmd --reload设置默认区域为trusted,注意trusted是信任等级最高的，默认允许所有连接，即使没有设置任何的服务 firewall-cmd --set-dedault-zone=trusted添加http服务 firewall-cmd --add-service=http禁用某种服务 firewall-cmd [--zone=<zone>] --remove-service=<service>查询区域中是否启用了特定服务，如果服务启用，将返回1,否则返回0 firewall-cmd [--zone=<zone>] --query-service=<service>在firewalld里添加一个端口 firewall-cmd --add-port=8080/tcp查询开启的端口 firewall-cmd --query-poert=8080/tcp关闭端口 firewall-cmd [--zone=<zone>] --remove-poert=<port>/tcp启用区域端口和协议组合，此举将启用端口和协议的组合。端口可以是一个单独的端口或者是一个端口范 firewall-cmd [--zone=<zone>] --add-port=<port>[-<port>]/<protocol> [--timeout=<seconds>]启用区域的ICMP阻塞功能 firewall-cmd [--zone=<zone>] --add-icmp-block=<icmptype>在区域中永久启用端口转发或映射 firewall-cmd [--zone=<zone>] --add-forward-port=port=<port>[-<port>]:proto=<protocol> { :toport=<port>[-<port>] | :toaddr=<address> | :toport=<port>[-<port>]:toaddr=<address>}参考http://havee.me/linux/2015-01/using-firewalls-on-centos-7.htmlhttp://jim0.com/server/firewalldconfig.html