firewalld 开放icmp

firewalld 是一款Linux系统中的网络防火墙服务，它支持动态规则管理和策略配置。如果你想通过firewalld 开启ICMP（Internet Control Message Protocol，互联网控制报文协议）流量，可以按照以下步骤操作：

1. **打开终端**：在大多数基于Systemd的Linux发行版中，如Fedora、CentOS等。

2. **查看当前状态**：运行命令 `sudo firewall-cmd --state` 来检查firewalld的状态，确认是否已经启动。

3. **编辑防火墙规则**：使用 `sudo firewall-cmd --permanent` 后跟相应的命令来添加ICMP规则。例如，如果想允许所有ICMP回应（ping），你可以输入 `sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" protocol=icmp comment="Allow ICMP responses" source address="any destination address="any'"`

4. **保存更改**：`sudo firewall-cmd --reload` 会将临时设置变为永久配置，并立即生效。

5. **验证开放**：再次运行 `sudo firewall-cmd --list-all` 可以看到ICMP已经被添加到防火墙策略中。

相关问题

centos开启防火墙之后还能ping 通

CentOS 开启防火墙后，一般会对入站和出站流量进行控制，这是为了增强系统的安全性和防止不必要的访问。默认情况下，系统可能会保留一些基本的服务端口，比如 ping、SSH 和 HTTP 等，允许它们通过防火墙，所以你可以ping通。

当你设置了防火墙规则，例如开启了只允许特定服务的入站连接，而没有开放 ICMP 协议（ping 使用的基础协议），那么从外部发起的 ping 请求可能不会被允许，因此会显示无法 ping 通。然而，如果内网或者防火墙策略允许 ICMP 流量，那么 ping 就可以正常工作。

要确认 CentOS 上的防火墙是否允许 ping 通信，可以检查firewalld 或者 iptables 的配置，通常命令行下可以这样做：

1. 对于firewalld：

   firewall-cmd --permanent --list-all && firewall-cmd --reload

2. 对于iptables：

   sudo iptables -L -n --line-numbers

然后查找是否有针对ICMP的规则，如果没有或者设置为拒绝，就说明需要添加相应的规则来允许ping请求。比如，在iptables中可以使用 `-A INPUT -p icmp --icmp-type echo-request -j ACCEPT` 来允许ping。

centos7宿主机ping不通虚拟机

### 解决CentOS 7宿主机与虚拟机之间网络连通性的方法

对于CentOS 7宿主机无法ping通虚拟机的情况，这通常涉及多个方面的问题排查。确保虚拟机的网络接口配置正确至关重要[^1]。

#### 虚拟机网络模式的选择
确认所使用的虚拟机管理程序中的网络适配器设置为桥接模式(Bridged Mode)，而非NAT或仅主机(Host-only)模式。桥接模式允许虚拟机直接连接到物理网络，如同一台独立设备一样工作于同一局域网内。

#### 配置防火墙规则
检查并调整Linux系统的firewalld服务设置，以开放ICMP请求响应路径。可以临时关闭防火墙来测试是否为此原因造成不通：

sudo systemctl stop firewalld

如果确实是因为防火墙阻止，则应添加相应规则而不是完全禁用它。例如，在`/etc/firewalld/zones/public.xml`文件中加入如下内容:

<rule family="ipv4">
    <protocol value="icmp"/>
    <accept/>
</rule>

之后重启firewalld使更改生效。

#### 设置SELinux策略
当遇到由于安全增强型Linux (SELinux) 导致的通信障碍时，可以通过修改其配置文件 `/etc/selinux/config` 中的参数 `SELINUX=enforcing` 改成 `permissive` 或者 `disabled` 来排除干扰因素；不过建议先尝试更宽松的安全上下文标签处理方式，比如执行命令：

setsebool -P allow_vmware_vsock true

尽管上述例子针对的是VMware产品线，但对于其他类型的hypervisor也有类似的布尔值开关可供调节。

#### 测试网络接口状态
利用ifconfig工具查看各端口的状态信息，并验证IP地址分配无误。另外还可以通过arping实用程序向目标MAC地址发送ARP广播包来进行进一步诊断。

arping -I eth0 192.168.x.y

这里假设eth0是外部访问出口而192.168.x.y代表要探测的目标机器公网IP。

#### 安全组和其他云平台特定限制
如果是基于云计算环境部署的话，还需留意是否有额外的安全组规则或者其他形式的ACL列表影响到了数据报交换过程。