Linux系统安全Centos 7的Firewalld防火墙基础( 二 ) _Firewalld

firewall-cmd --get-icmptypes命令执行结果中部分阻塞类型的含义如下：

destination-unreachable：目的地址不可达；echo-reply：应答回应；parameter-problem：参数问题；redirect：重新定向；router-advertisement：路由器通告；router-solicitation：路由器征寻；source-quench：源端抑制；time-exceeded：超时；timestamp-reply：时间戳应答回应；timestamp-request：时间戳请求；

2、firewalld区域管理选项

--get-default-zone：显示网络连接或接口的默认区域；--set-default-zone=<zone>：设置网络连接或接口的默认区域；--get-active-zones：显示已激活的所有区域；--get-zone-of-interface=<interface>：显示指定接口绑定的区域；--zone=<zone> --add-interface=<interface>：为指定接口绑定的区域；--zone=<zone> --change-interface=<interface>：为指定的区域更改绑定的网络接口；--zone=<zone> --remove-interface=<interface>：为指定的区域删除绑定的网络接口；--list-all=zones：显示所有区域及其规则；[--zone=<zone>] --list-all：显示所有指定区域的所有规则，省略--zone=<zone>时表示仅对默认区域操作；

区域管理示例如下：
[root@centos01 ~]# firewall-cmd --get-default-zone [root@centos01 ~]# firewall-cmd --list-all[root@centos01 ~]# firewall-cmd --get-zone-of-interface=ens32 internal[root@centos01 ~]# firewall-cmd --zone=internal --change-interface=ens32  The interface is under control of NetworkManager, setting zone to 'internal'.success[root@centos01 ~]# firewall-cmd --zone=internal --list-interface ens32[root@centos01 ~]# firewall-cmd --get-active-zones internal interfaces: ens323、firewalld服务管理
为了方便管理，firewalld预先定义了很多服务，存放在/usr/lib/firewalld/services/目录中，服务通过单个的XML配置文件来指定。这些配置文件则按以下格式命名：service-name.xml，每个文件对应一项具体的网络服务，如ssh服务等。我们需要将service配置文件放置在/etc/firewalld/services/目录中。service配置具有以下优点：

通过服务名字来管理规则更加人性化；
通过服务来组织端口分组的模式更加高效，如果一个服务使用了若干个网络端口，则服务的配置文件就相当于提供了到这些端口的规则管理的批量操作快捷方式；

1）firewalld-cmd命令区域中服务管理的常用选项说明：

[--zone=<zone>] --list-services：显示指定区域内允许访问的所有服务；
[--zone=<zone>] --add-service=<service>：为指定区域设置允许访问的某项服务；
[--zone=<zone>] --remove-service=<service>：删除指定区域已设置的允许访问的某项服务；
[--zone=<zone>] --list-ports：显示指定区域内允许访问的所有端口号；
[--zone=<zone>] --add-port=<portid>[-<portid>]/<protocol>：为指定区域设置允许访问的某个/某段端口号（包括协议号）；
[--zone=<zone>] --remove-port=<portid>[-<portid>]/<protocl>：删除指定区域已设置的允许访问的端口号（包括协议名）；
[--zone=<zone>] --list-icmp-blocaks：显示指定区域内拒绝访问的所有ICMP类型；
[--zone=<zone>] --add-icmp-block=<icmptype>：为指定区域设置拒绝访问的某项ICMP类型；
[--zone=<zone>] --remove-icmp-block=<icmptype>：删除指定区域已设置的拒绝访问的某项ICMP类型，省略--zone=<zone>时表示对默认区域操作；

【Linux系统安全Centos 7的Firewalld防火墙基础】2）firewalld服务管理示例如下(为默认区域设置允许访问的服务)：
[root@centos01 ~]# firewall-cmd --list-services dhcpv6-client ssh [root@centos01 ~]# firewall-cmd --add-service=http success[root@centos01 ~]# firewall-cmd --add-service=https success[root@centos01 ~]# firewall-cmd --list-services dhcpv6-client ssh https http3）firewalld服务管理示例如下（为internal区域设置允许访问的服务）：
[root@centos01 ~]# firewall-cmd --zone=internal --add-service=MySQLsuccess[root@centos01 ~]# firewall-cmd --zone=internal --remove-service=samba-clientsuccess[root@centos01 ~]# firewall-cmd --zone=internal --list-servicesssh mdns dhcpv6-client mysql