CentOS Firewalld 配置详解
Firewalld 是 CentOS 7 及更高版本中默认的防火墙管理工具，与 iptables 相比，firewalld 提供了更简单、更灵活的管理方式，并且支持动态更新规则而无需重启防火墙服务，本文将详细介绍 firewalld 的配置方法、区域管理、服务管理和端口管理等内容。
Firewalld 简介
Firewalld 是一个动态防火墙管理器，通过内核的 netfilter 子系统实现防火墙功能，它不仅支持 IPv4，还支持 IPv6，并具备丰富的配置选项和友好的用户界面，Firewalld 使用区域（zone）和服务（service）的概念来管理网络流量，使得配置更加直观和高效。
二、Firewalld 与 iptables 的区别
1、配置方式：
iptables：基于接口设置规则，所有更改都需要手动刷新规则。
firewalld：基于区域设置规则，可以动态修改单条规则而不影响其他规则。
2、规则存储：
iptables：规则存储在/etc/sysconfig/iptables 文件中。
firewalld：规则存储在/usr/lib/firewalld/ 和/etc/firewalld/ 目录下的 XML 文件中。
3、操作方式：
iptables：每次修改规则后需要重新加载整个规则集。
firewalld：可以实时更新规则而无需重启服务。
Firewalld 区域管理
Firewalld 预定义了多个区域，每个区域都有不同的安全级别和默认行为，以下是常见的预定义区域及其描述：
| 区域名称 | 描述 |
| trusted | 允许所有传入和传出流量，适用于高度信任的内部网络。 |
| home | 允许选定的服务和流量，通常用于家庭网络。 |
| work | 允许选定的服务和流量，通常用于工作环境。 |
| public | 默认区域，仅允许选定的服务和流量，适用于公共网络。 |
| dmz | 隔离区域，仅允许选定的流量，适用于非军事区（DMZ）。 |
| block | 阻止所有传入流量，但允许传出流量。 |
| drop | 丢弃所有传入流量，不产生任何响应。 |
| internal | 类似于 home 区域，但通常用于内部网络。 |
| external | 类似于 public 区域，但适用于外部网络。 |
查看当前活动区域
firewallcmd getactivezones
设置默认区域
firewallcmd setdefaultzone=public
为指定接口绑定区域
firewallcmd zone=public addinterface=ens33
Firewalld 服务管理
Firewalld 预定义了许多常见的服务，如 HTTP、HTTPS、SSH 等，这些服务对应特定的端口和协议，可以通过服务名称来管理相应的端口。
查看可用服务
firewallcmd getservices
添加服务到指定区域
firewallcmd zone=public addservice=http
移除服务从指定区域
firewallcmd zone=public removeservice=http
Firewalld 端口管理
除了使用预定义的服务外，还可以直接管理端口。
添加端口到指定区域
firewallcmd zone=public addport=8080/tcp permanent
移除端口从指定区域
firewallcmd zone=public removeport=8080/tcp permanent
查看指定区域的端口状态
firewallcmd zone=public listports
Firewalld 富规则配置
Firewalld 支持富规则（rich rules），可以更细粒度地控制网络流量，富规则语法较为复杂，但功能强大。
示例：添加一条富规则
firewallcmd permanent addrichrule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
查看富规则列表
firewallcmd listall permanent
删除富规则
firewallcmd permanent deleterichrule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
Firewalld 的其他常用命令
启动 firewalld：
systemctl start firewalld
停止 firewalld：
systemctl stop firewalld
重启 firewalld：
systemctl restart firewalld
查看 firewalld 状态：
systemctl status firewalld
查看 firewalld 版本：
firewallcmd version
重新加载 firewalld 配置：
firewallcmd reload
常见问题解答（FAQs）
Q1：如何更改 firewalld 的默认区域？
A1：可以使用以下命令更改默认区域：
firewallcmd setdefaultzone=public
将默认区域设置为home：
firewallcmd setdefaultzone=home
Q2：如何在 firewalld 中配置端口转发？
A2：确保开启了伪装功能：
firewallcmd addmasquerade permanent
添加端口转发规则，将本地端口 8080 的流量转发到外部地址 192.168.1.100 的 80 端口：
firewallcmd addforwardport=port=8080:proto=tcp:toport=80:toaddr=192.168.1.100 permanent
重新加载配置：
firewallcmd reload
注意：如果端口转发仍不生效，请检查内核参数net.ipv4.ip_forward 是否已启用：
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf sysctl p
通过上述步骤，您可以全面了解并掌握 CentOS 中 firewalld 的配置和管理方法，无论是简单的服务和端口管理，还是复杂的富规则配置，firewalld 都能提供强大的支持，帮助您构建安全可靠的网络环境。
