Linux Firewalld 防火墙从入门到精通核心概念、实战配置与避坑指南一、 为什么选择 Firewalld在 CentOS 7/RHEL 7 及更新的发行版中firewalld取代了传统的iptables成为默认的防火墙管理工具。相较于 iptablesfirewalld 具有以下显著优势动态管理支持运行时修改规则无需重启服务即可生效且不会中断2. 现有的网络连接。区域化策略Zones通过预定义的区域如 public, trusted, dmz简化复杂网络环境下的安全策略管理。服务抽象将端口和协议封装为“服务”如 http, ssh配置更直观无需记忆具体端口号。D-Bus 接口支持图形界面firewall-config和编程接口便于自动化运维。核心配置文件位置理解文件存储位置有助于排查问题和手动备份系统默认配置/usr/lib/firewalld/不建议直接修改升级时会被覆盖用户自定义配置/etc/firewalld/优先级高于系统默认配置所有手动修改应在此进行二、 基础服务管理在使用firewall-cmd之前确保 firewalld 服务正在运行。# 1. 安装 firewalld 及图形化管理工具sudoyuminstall-yfirewalld firewall-config# 2. 服务状态管理systemctl status firewalld# 查看当前状态systemctl start firewalld# 启动服务systemctl stop firewalld# 停止服务systemctlenablefirewalld# 设置开机自启systemctl disable firewalld# 取消开机自启# 3. 特殊状态控制systemctl mask firewalld# 冻结服务防止被其他服务依赖启动systemctl unmask firewalld# 解冻服务# 4. 使用 firewall-cmd 查看状态firewall-cmd--state# 输出 running 或 not running⚠️重要提示在启用防火墙前务必确认默认区域已放行 SSH 服务端口 22否则可能导致远程连接断开且无法恢复。三、 核心概念区域Zone与服务Service1. 区域Zone区域是 firewalld 的核心抽象代表不同信任级别的网络连接集合。区域名称信任级别默认行为简述trusted最高允许所有网络连接home/internal高允许部分服务如 ssh, mdns适用于家庭/内部网络work中限制比 home 严格适用于工作网络public低默认区域。仅允许 ssh 和 dhcpv6-client其余拒绝dmz低非军事区仅允许特定服务对外提供访问block极低拒绝所有传入连接仅允许出站返回 icmp-host-prohibiteddrop最低直接丢弃所有传入包无任何响应2. 常用区域管理命令# 查看操作firewall-cmd --get-zones# 列出所有可用区域firewall-cmd --get-default-zone# 查看当前默认区域firewall-cmd --get-active-zones# 查看当前有网卡绑定的活动区域及其接口firewall-cmd --list-all-zones# 列出所有区域的详细配置# 配置操作firewall-cmd --set-default-zonedmz# 修改默认区域为 dmz# 接口管理firewall-cmd--zonepublic --add-interfaceeth0# 将 eth0 加入 public 区临时firewall-cmd--zonetrusted --add-interfaceeth1--permanent# 永久将 eth1 加入 trusted 区firewall-cmd--zonepublic --remove-interfaceeth1--permanent# 从 public 区移除 eth1# 源地址管理基于 IP 划分区域firewall-cmd--zonetrusted --add-source192.168.1.100--permanent# 指定 IP 进入 trusted 区firewall-cmd--zonetrusted --remove-source192.168.1.100--permanent# 移除指定 IP四、 规则配置服务、端口与重载1. 服务与端口管理Firewalld 预定义了多种服务XML文件定义也可直接操作端口。# 查看预设服务firewall-cmd --get-services# 添加/移除服务以 http 为例firewall-cmd --add-servicehttp# 临时添加firewall-cmd--permanent--add-servicehttp# 永久添加# 添加/移除端口以 8080/tcp 为例firewall-cmd --add-port8080/tcp# 临时添加firewall-cmd--permanent--add-port8080/tcp# 永久添加firewall-cmd--permanent--remove-port8080/tcp# 永久移除# 查看当前区域规则firewall-cmd --list-all# 查看默认区域所有设置firewall-cmd--zonepublic --list-ports# 查看 public 区开放的端口firewall-cmd--zonepublic --list-services# 查看 public 区开放的服务2. 配置生效与重载临时规则不加--permanent参数立即生效但重启后失效。永久规则加--permanent参数写入配置文件但需重载后生效。# 重新加载配置推荐# 保持现有连接不断开仅应用新规则firewall-cmd--reload# 完全重载危险# 中断所有现有连接重新加载所有规则类似重启服务firewall-cmd --complete-reload最佳实践生产环境中建议先使用临时规则测试连通性确认无误后再执行--permanent并--reload。五、 高级功能直接规则、端口转发与富规则1. 直接规则Direct Rules适用于熟悉 iptables 的用户直接在底层链中插入规则。优先级最高但维护困难易出错。# 查看所有直接规则firewall-cmd--direct--get-all-rules# 添加规则允许特定 IP (172.25.254.44) 访问 SSH (22端口)# 语法ipv4 filter INPUT [优先级] [iptables规则]firewall-cmd--direct--add-rule ipv4 filter INPUT2-s172.25.254.44-ptcp--dport22-jACCEPT# 添加规则拒绝除该 IP 外的其他所有 SSH 访问firewall-cmd--direct--add-rule ipv4 filter INPUT1!-s172.25.254.44-ptcp--dport22-jDROP# 移除规则firewall-cmd--direct--remove-rule ipv4 filter INPUT2-s172.25.254.44-ptcp--dport22-jACCEPT2. 端口转发与地址伪装NAT实现内网穿透或流量转发功能。场景 A端口转发将访问本机 22 端口的流量转发到内网主机 172.25.254.44 的 22 端口。# 1. 开启 IP 伪装Masqueradefirewall-cmd--permanent--add-masquerade firewall-cmd--reload# 2. 添加端口转发规则firewall-cmd --add-forward-portport22:prototcp:toport22:toaddr172.25.254.44# 3. 移除规则firewall-cmd --remove-forward-portport22:prototcp:toport22:toaddr172.25.254.44 firewall-cmd--permanent--remove-masquerade场景 B网关路由伪装服务器作为网关连接两个网段eth0: 172.25.254.x, eth1: 192.168.0.x让内网客户端通过服务器上网。# 开启伪装firewall-cmd --add-masquerade# 使用富规则针对特定源地址开启伪装更精细控制firewall-cmd --add-rich-rulerule familyipv4 source address192.168.0.0/24 masquerade3. 富规则Rich Rules富规则提供了比简单端口/服务更强大的逻辑表达能力支持源/目标 IP、端口、动作等复杂组合。# 示例允许特定网段访问 HTTPfirewall-cmd--permanent--add-rich-rulerule familyipv4 source address192.168.1.0/24 service namehttp accept# 示例拒绝特定 IP 的所有访问firewall-cmd--permanent--add-rich-rulerule familyipv4 source address10.0.0.5 drop4. ICMP 控制控制 Ping 等 ICMP 类型的响应行为。# 查看支持的 ICMP 类型firewall-cmd --get-icmptypes# 阻塞特定 ICMP 类型firewall-cmd --add-icmp-blockecho-request# 禁止被 Pingfirewall-cmd --add-icmp-blockdestination-unreachable# 返回目的地不可达# 移除阻塞firewall-cmd --remove-icmp-blockecho-request# 临时阻塞5秒后自动恢复firewall-cmd --add-icmp-blockecho-request--timeout5六、 常见问题与避坑指南1. 规则不生效检查是否加了--permanent但忘记执行firewall-cmd --reload。检查网卡是否绑定到了预期的 Zone使用--get-active-zones确认。2. SSH 连不上在修改默认区域或移除服务前务必先添加 SSH 服务或端口。如果不小心锁死可通过控制台VNC/物理机登录执行systemctl stop firewalld紧急恢复。3. iptables 与 firewalld 冲突不要同时使用iptables命令和firewalld管理规则。Firewalld 后端可能是 iptables 或 nftables直接操作底层工具会导致规则混乱或被覆盖。若需查看底层规则可使用iptables -L -n辅助调试但修改请始终通过firewall-cmd。4. 配置文件手动修改虽然可以直接编辑/etc/firewalld/zones/public.xml但建议使用命令行工具因为 CLI 工具会自动处理 XML 格式校验和重载逻辑。手动修改后必须执行firewall-cmd --reload。结语Firewalld 通过区域和服务的抽象极大地降低了 Linux 防火墙的管理门槛。掌握zone、service、permanent和reload这几个核心关键词即可应对 90% 的日常运维需求。对于复杂的路由和 NAT 场景结合富规则和伪装功能也能灵活实现企业级的网络安全策略。
Linux Firewalld 防火墙从入门到精通核心概念、实战配置与避坑指南一、 为什么选择 Firewalld在 CentOS 7/RHEL 7 及更新的发行版中firewalld取代了传统的iptables成为默认的防火墙管理工具。相较于 iptablesfirewalld 具有以下显著优势动态管理支持运行时修改规则无需重启服务即可生效且不会中断2. 现有的网络连接。区域化策略Zones通过预定义的区域如 public, trusted, dmz简化复杂网络环境下的安全策略管理。服务抽象将端口和协议封装为“服务”如 http, ssh配置更直观无需记忆具体端口号。D-Bus 接口支持图形界面firewall-config和编程接口便于自动化运维。核心配置文件位置理解文件存储位置有助于排查问题和手动备份系统默认配置/usr/lib/firewalld/不建议直接修改升级时会被覆盖用户自定义配置/etc/firewalld/优先级高于系统默认配置所有手动修改应在此进行二、 基础服务管理在使用firewall-cmd之前确保 firewalld 服务正在运行。# 1. 安装 firewalld 及图形化管理工具sudoyuminstall-yfirewalld firewall-config# 2. 服务状态管理systemctl status firewalld# 查看当前状态systemctl start firewalld# 启动服务systemctl stop firewalld# 停止服务systemctlenablefirewalld# 设置开机自启systemctl disable firewalld# 取消开机自启# 3. 特殊状态控制systemctl mask firewalld# 冻结服务防止被其他服务依赖启动systemctl unmask firewalld# 解冻服务# 4. 使用 firewall-cmd 查看状态firewall-cmd--state# 输出 running 或 not running⚠️重要提示在启用防火墙前务必确认默认区域已放行 SSH 服务端口 22否则可能导致远程连接断开且无法恢复。三、 核心概念区域Zone与服务Service1. 区域Zone区域是 firewalld 的核心抽象代表不同信任级别的网络连接集合。区域名称信任级别默认行为简述trusted最高允许所有网络连接home/internal高允许部分服务如 ssh, mdns适用于家庭/内部网络work中限制比 home 严格适用于工作网络public低默认区域。仅允许 ssh 和 dhcpv6-client其余拒绝dmz低非军事区仅允许特定服务对外提供访问block极低拒绝所有传入连接仅允许出站返回 icmp-host-prohibiteddrop最低直接丢弃所有传入包无任何响应2. 常用区域管理命令# 查看操作firewall-cmd --get-zones# 列出所有可用区域firewall-cmd --get-default-zone# 查看当前默认区域firewall-cmd --get-active-zones# 查看当前有网卡绑定的活动区域及其接口firewall-cmd --list-all-zones# 列出所有区域的详细配置# 配置操作firewall-cmd --set-default-zonedmz# 修改默认区域为 dmz# 接口管理firewall-cmd--zonepublic --add-interfaceeth0# 将 eth0 加入 public 区临时firewall-cmd--zonetrusted --add-interfaceeth1--permanent# 永久将 eth1 加入 trusted 区firewall-cmd--zonepublic --remove-interfaceeth1--permanent# 从 public 区移除 eth1# 源地址管理基于 IP 划分区域firewall-cmd--zonetrusted --add-source192.168.1.100--permanent# 指定 IP 进入 trusted 区firewall-cmd--zonetrusted --remove-source192.168.1.100--permanent# 移除指定 IP四、 规则配置服务、端口与重载1. 服务与端口管理Firewalld 预定义了多种服务XML文件定义也可直接操作端口。# 查看预设服务firewall-cmd --get-services# 添加/移除服务以 http 为例firewall-cmd --add-servicehttp# 临时添加firewall-cmd--permanent--add-servicehttp# 永久添加# 添加/移除端口以 8080/tcp 为例firewall-cmd --add-port8080/tcp# 临时添加firewall-cmd--permanent--add-port8080/tcp# 永久添加firewall-cmd--permanent--remove-port8080/tcp# 永久移除# 查看当前区域规则firewall-cmd --list-all# 查看默认区域所有设置firewall-cmd--zonepublic --list-ports# 查看 public 区开放的端口firewall-cmd--zonepublic --list-services# 查看 public 区开放的服务2. 配置生效与重载临时规则不加--permanent参数立即生效但重启后失效。永久规则加--permanent参数写入配置文件但需重载后生效。# 重新加载配置推荐# 保持现有连接不断开仅应用新规则firewall-cmd--reload# 完全重载危险# 中断所有现有连接重新加载所有规则类似重启服务firewall-cmd --complete-reload最佳实践生产环境中建议先使用临时规则测试连通性确认无误后再执行--permanent并--reload。五、 高级功能直接规则、端口转发与富规则1. 直接规则Direct Rules适用于熟悉 iptables 的用户直接在底层链中插入规则。优先级最高但维护困难易出错。# 查看所有直接规则firewall-cmd--direct--get-all-rules# 添加规则允许特定 IP (172.25.254.44) 访问 SSH (22端口)# 语法ipv4 filter INPUT [优先级] [iptables规则]firewall-cmd--direct--add-rule ipv4 filter INPUT2-s172.25.254.44-ptcp--dport22-jACCEPT# 添加规则拒绝除该 IP 外的其他所有 SSH 访问firewall-cmd--direct--add-rule ipv4 filter INPUT1!-s172.25.254.44-ptcp--dport22-jDROP# 移除规则firewall-cmd--direct--remove-rule ipv4 filter INPUT2-s172.25.254.44-ptcp--dport22-jACCEPT2. 端口转发与地址伪装NAT实现内网穿透或流量转发功能。场景 A端口转发将访问本机 22 端口的流量转发到内网主机 172.25.254.44 的 22 端口。# 1. 开启 IP 伪装Masqueradefirewall-cmd--permanent--add-masquerade firewall-cmd--reload# 2. 添加端口转发规则firewall-cmd --add-forward-portport22:prototcp:toport22:toaddr172.25.254.44# 3. 移除规则firewall-cmd --remove-forward-portport22:prototcp:toport22:toaddr172.25.254.44 firewall-cmd--permanent--remove-masquerade场景 B网关路由伪装服务器作为网关连接两个网段eth0: 172.25.254.x, eth1: 192.168.0.x让内网客户端通过服务器上网。# 开启伪装firewall-cmd --add-masquerade# 使用富规则针对特定源地址开启伪装更精细控制firewall-cmd --add-rich-rulerule familyipv4 source address192.168.0.0/24 masquerade3. 富规则Rich Rules富规则提供了比简单端口/服务更强大的逻辑表达能力支持源/目标 IP、端口、动作等复杂组合。# 示例允许特定网段访问 HTTPfirewall-cmd--permanent--add-rich-rulerule familyipv4 source address192.168.1.0/24 service namehttp accept# 示例拒绝特定 IP 的所有访问firewall-cmd--permanent--add-rich-rulerule familyipv4 source address10.0.0.5 drop4. ICMP 控制控制 Ping 等 ICMP 类型的响应行为。# 查看支持的 ICMP 类型firewall-cmd --get-icmptypes# 阻塞特定 ICMP 类型firewall-cmd --add-icmp-blockecho-request# 禁止被 Pingfirewall-cmd --add-icmp-blockdestination-unreachable# 返回目的地不可达# 移除阻塞firewall-cmd --remove-icmp-blockecho-request# 临时阻塞5秒后自动恢复firewall-cmd --add-icmp-blockecho-request--timeout5六、 常见问题与避坑指南1. 规则不生效检查是否加了--permanent但忘记执行firewall-cmd --reload。检查网卡是否绑定到了预期的 Zone使用--get-active-zones确认。2. SSH 连不上在修改默认区域或移除服务前务必先添加 SSH 服务或端口。如果不小心锁死可通过控制台VNC/物理机登录执行systemctl stop firewalld紧急恢复。3. iptables 与 firewalld 冲突不要同时使用iptables命令和firewalld管理规则。Firewalld 后端可能是 iptables 或 nftables直接操作底层工具会导致规则混乱或被覆盖。若需查看底层规则可使用iptables -L -n辅助调试但修改请始终通过firewall-cmd。4. 配置文件手动修改虽然可以直接编辑/etc/firewalld/zones/public.xml但建议使用命令行工具因为 CLI 工具会自动处理 XML 格式校验和重载逻辑。手动修改后必须执行firewall-cmd --reload。结语Firewalld 通过区域和服务的抽象极大地降低了 Linux 防火墙的管理门槛。掌握zone、service、permanent和reload这几个核心关键词即可应对 90% 的日常运维需求。对于复杂的路由和 NAT 场景结合富规则和伪装功能也能灵活实现企业级的网络安全策略。
)
