admin管理员组文章数量:1642355
一 、管理端口
#列出 dmz 级别的被允许的进入端口
firewall-cmd --zone=dmz --list-ports
#允许 tcp 端口 8080 至 dmz 级别
firewall-cmd --zone=dmz --add-port=8080/tcp
#允许某范围的 udp 端口至 public 级别,并永久生效
firewall-cmd --zone=public --add-port=5060-5059/udp --permanent
二、网卡接口
#列出 public zone 所有网卡
firewall-cmd --zone=public --list-interfaces
#将eth0 添加至 public zone,永久
firewall-cmd --zone=public --permanent --add-interface=eth0
#eth0 存在与 public zone,将该网卡添加至 work zone,并将之从 public zone 中删除
firewall-cmd --zone=work --permanent --change-interface=eth0
#删除 public zone 中的 eth0,永久
firewall-cmd --zone=public --permanent --remove-interface=eth0
三、管理服务
#添加 smtp 服务至 work zone
firewall-cmd --zone=work --add-service=smtp
#移除 work zone 中的 smtp 服务
firewall-cmd --zone=work --remove-service=smtp
四、配置external zone 中的ip地址伪装
#查看
firewall-cmd --zone=external --query-masquerade
#打开伪装
firewall-cmd --zone=external --add-masquerade
#关闭伪装
firewall-cmd --zone=external --remove-masquerade
五、配置 public zone 的端口转发
#要打开端口转发,则需要先
firewall-cmd --zone=public --add-masquerade
#然后转发 tcp 22 端口至 3753
firewall-cmd --zone=public--add-forward-port=port=22:proto=tcp:toport=3753
#转发 22 端口数据至另一个 ip 的相同端口上
firewall-cmd --zone=public--add-forward-port=port=22:proto=tcp:toaddr=192.168.1.100
#转发 22 端口数据至另一 ip 的 2055 端口上
firewall-cmd --zone=public --add-forward-port=port=22:proto=tcp:toport=2055:toaddr=192.168.1.100
六、配置public zone 的icmp
#查看所有支持的 icmp 类型
firewall-cmd --get-icmptypes
destination-unreachable echo-reply echo-request parameter-problem redirect router-advertisement router-solicitation source-quench time-exceeded
#列出
firewall-cmd --zone=public --list-icmp-blocks
#添加 echo-request 屏蔽
firewall-cmd --zone=public --add-icmp-block=echo-request [--timeout=seconds]
#移除 echo-reply 屏蔽
firewall-cmd --zone=public --remove-icmp-block=echo-reply
七、IP封禁(常用)
reject 拒绝 accept 允许,也可以通过ipset封禁ip
#封单个IP
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='222.222.222.222' reject"
#封IP段
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='222.222.222.0/24' reject"
#允许单个IP的某个端口
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=192.168.1.2 port port=80 protocol=tcp accept"
ipset 封禁 ip
firewall-cmd --permanent --zone=public --new-ipset=blacklist --type=hash:ip
firewall-cmd --permanent --zone=public --ipset=blacklist --add-entry=222.222.222.222
封禁网段
firewall-cmd --permanent --zone=public --new-ipset=blacklist --type=hash:net
firewall-cmd --permanent --zone=public --ipset=blacklist --add-entry=222.222.222.0/24
倒入 ipset 规则
firewall-cmd --permanent --zone=public --new-ipset-from-file=/path/blacklist.xml
然后封禁 blacklist
firewall-cmd --permanent --zone=public --add-rich-rule='rule source ipset=blacklist drop'
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=192.168.1.2 port port=80 protocol=tcp accept"
只对192.168.1.2这个IP只能允许80端口访问 (拒绝访问只需把 accept 换成 reject、删除该规则把 –add-rich-rule 改成 –remove-rich-rule即可)
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=192.168.1.2/24 port port=80 protocol=tcp accept"
只对192.168.1.2这个IP段只能允许80端口访问(拒绝访问只需把 accept 换成 reject、删除该规则把 –add-rich-rule 改成 –remove-rich-rule即可)
八、双网卡内网网卡不受防火墙限制
#公网网卡–zone=public默认区域
firewall-cmd --permanent --zone=public --add-interface=eth1
#内网网卡–zone=trusted是受信任区域 可接受所有的网络连接
firewall-cmd --permanent --zone=trusted --add-interface=eth2
九、重新载入以生效
firewall-cmd --reload
版权声明:本文标题:RHEL7、CentOS7 下使用 Firewall 封IP 内容由热心网友自发贡献,该文观点仅代表作者本人, 转载请联系作者并注明出处:https://m.elefans.com/dianzi/1729337136a1197127.html, 本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容,一经查实,本站将立刻删除。
发表评论