学习使用firewall-cmd设置firewalld默认规则

# 1. 理解firewalld和firewall-cmd

### 1.1 什么是firewalld？

Firewalld是Linux系统中的一个动态防火墙管理器，它提供了一种用于管理网络防火墙规则的方式，能够动态地处理网络数据包，根据管理员的需求自动调整防火墙规则，更加灵活和方便。

### 1.2 firewall-cmd是什么？

Firewall-cmd是firewalld的命令行工具，通过它可以配置firewalld的各种规则和参数，如添加规则、删除规则、查看规则等操作。使用firewall-cmd可以方便地管理firewalld的防火墙规则。

### 1.3 firewalld与iptables的关系

Firewalld与传统的iptables有所不同，iptables需要手动编写规则并直接应用在内核，而firewalld则是一个动态的系统，可以根据需要实时调整防火墙规则。Firewalld使用了更高级的概念，如zone和service，使得配置更加简单和直观。Firewall-cmd则是用来操作firewalld的命令行工具，提供了更便捷的管理方式。

# 2. firewalld默认规则概述

### 2.1 默认规则的作用

默认规则是firewalld的配置之一，用于定义默认的网络策略，例如允许或拒绝特定端口或服务的访问。默认规则可以帮助管理员在系统启动时自动加载相应的防火墙规则，保障系统的安全性。

### 2.2 已有的默认规则分类

默认规则通常分为公共区域、专用区域和个人区域。公共区域适用于公共网络，专用区域适用于受信任的私有网络，个人区域适用于非信任的网络。不同区域的默认规则会根据网络的不同特性而有所区别。

### 2.3 默认规则的配置文件位置

默认规则的配置文件通常位于`/usr/lib/firewalld/zones`目录下，每个区域对应一个XML格式的配置文件，其中包含了默认规则的定义及相关设置。管理员可以通过编辑这些XML文件来调整默认规则的配置。

# 3. 使用firewall-cmd管理默认规则

在本章中，我们将深入探讨如何使用firewall-cmd来管理默认规则。我们将学习如何查看当前默认规则状态，添加新的默认规则以及修改或删除现有的默认规则。这些技能将帮助您更好地定制和管理您的防火墙规则。

#### 3.1 查看当前默认规则状态

要查看当前的默认规则状态，可以使用以下命令：

firewall-cmd --get-default-zone

该命令将显示当前系统所使用的默认区域。

#### 3.2 添加新的默认规则

要添加新的默认规则，可以使用以下命令：

firewall-cmd --zone=public --add-service=http

上述命令将在默认区域中添加对HTTP服务的访问规则。

#### 3.3 修改或删除默认规则

要修改或删除现有的默认规则，可以使用相应的 `--add-*` 和 `--remove-*` 命令来添加或删除对应的规则。例如：

firewall-cmd --zone=public --remove-service=smtp

上述命令将在默认区域中移除对SMTP服务的访问规则。

通过以上内容，我们已经了解了如何使用firewall-cmd管理默认规则。接下来，我们将进一步学习常用的firewall-cmd命令。

# 4. 常用的firewall-cmd命令

在使用`firewall-cmd`管理默认规则时，有一些常用的命令可以帮助您查看和修改防火墙规则。接下来，我们将介绍一些常用的`firewall-cmd`命令及其作用。

### 4.1 --get-default-zone
该命令用于获取默认的区域。默认的区域是在没有指定区域的情况下使用的区域。您可以使用以下命令获取默认区域：

firewall-cmd --get-default-zone

### 4.2 --get-active-zones
使用该命令可以获取当前激活的区域。区域是火墙配置的基本单位，区域中包含了一系列的规则。您可以使用以下命令获取当前激活的区域：

firewall-cmd --get-active-zones

### 4.3 --reload
当对防火墙配置文件进行了修改后，可以使用该命令重新加载防火墙，使新的配置生效：

firewall-cmd --reload

### 4.4 --list-all
使用该命令可以查看所有配置的规则，包括区域、服务、端口等的规则配置：

firewall-cmd --list-all

以上是一些常用的`firewall-cmd`命令，通过这些命令可以方便地管理防火墙规则，确保系统的安全与稳定。

# 5. 默认规则的实际应用

默认规则在实际应用中起着非常重要的作用，通过默认规则的配置，可以实现对特定端口的访问控制、对外服务端口的开放以及信任的网络范围配置。接下来，我们将详细介绍默认规则的实际应用场景以及相应的操作方法。

#### 5.1 阻止特定端口的访问

有时候，我们需要禁止外部访问某些特定的端口，以增强系统的安全性。在这种情况下，我们可以利用firewall-cmd设置默认规则来实现。

##### 场景：

我们需要禁止外部访问SSH端口（默认为22端口）。

##### 操作步骤：

# 查看当前默认防火墙区域
sudo firewall-cmd --get-default-zone

# 添加拒绝访问SSH端口的默认规则
sudo firewall-cmd --zone=public --add-service=ssh --permanent
sudo firewall-cmd --reload

# 查看默认规则列表确认设置生效
sudo firewall-cmd --list-all

##### 结果说明：

通过以上操作，我们成功禁止了外部访问SSH端口，增强了系统的安全性。

#### 5.2 开放对外服务端口

有时候，我们需要对外提供特定的服务，比如Web服务，因此需要开放相应的服务端口。在这种情况下，我们同样可以通过firewall-cmd来设置默认规则来实现。

##### 场景：

我们需要开放Web服务端口（比如80端口）。

##### 操作步骤：

# 查看当前默认防火墙区域
sudo firewall-cmd --get-default-zone

# 添加允许访问Web服务端口的默认规则
sudo firewall-cmd --zone=public --add-port=80/tcp --permanent
sudo firewall-cmd --reload

# 查看默认规则列表确认设置生效
sudo firewall-cmd --list-all

##### 结果说明：

通过以上操作，我们成功开放了对外的Web服务端口，使得外部可以访问我们提供的Web服务。

#### 5.3 配置信任的网络范围

有时候，我们需要配置信任的网络范围，允许特定的IP地址范围访问我们的服务。在这种情况下，同样可以通过firewall-cmd来设置默认规则来实现。

##### 场景：

我们需要配置特定网络范围允许所有访问。

##### 操作步骤：

# 查看当前默认防火墙区域
sudo firewall-cmd --get-default-zone

# 添加允许特定网络范围访问的默认规则
sudo firewall-cmd --zone=public --add-source=192.168.1.0/24 --permanent
sudo firewall-cmd --reload

# 查看默认规则列表确认设置生效
sudo firewall-cmd --list-all

##### 结果说明：

通过以上操作，我们成功配置了特定网络范围允许所有访问，实现了对特定网络的信任设置。

以上就是默认规则的实际应用，通过这些场景的实例演练，希望能够更好地帮助大家理解并且使用firewall-cmd来管理默认规则。

# 6. 实例演练：配置默认规则实战

在本节中，我们将通过几个实际的场景来演示如何使用firewall-cmd来配置默认规则，包括禁止外部访问SSH端口、开放Web服务端口以及配置特定网络范围允许所有访问。

#### 6.1 场景一：禁止外部访问SSH端口

首先，我们需要查看当前默认规则的状态，以确保SSH端口是否已经开放：

sudo firewall-cmd --list-all

接下来，我们需要添加一个新的默认规则，禁止外部访问SSH端口：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" reject'

这条命令将拒绝来自192.168.1.0/24网段的所有SSH连接请求。

最后，我们需要重新加载防火墙以使更改生效：

sudo firewall-cmd --reload

#### 6.2 场景二：开放Web服务端口

我们可以使用以下命令来开放Web服务端口（例如HTTP 80端口）：

sudo firewall-cmd --zone=public --add-port=80/tcp --permanent

这条命令将永久性地在公共区域开放TCP 80端口。

同样，最后记得重新加载防火墙使更改生效：

sudo firewall-cmd --reload

#### 6.3 场景三：配置特定网络范围允许所有访问

如果我们希望允许特定的网络范围访问所有服务，可以使用以下命令：

sudo firewall-cmd --zone=public --add-source=192.168.0.0/24 --permanent

这将允许192.168.0.0/24网段的IP访问公共区域的所有服务。

最后，记得重新加载防火墙以应用更改：

sudo firewall-cmd --reload

通过上述实例演练，我们可以看到如何利用firewall-cmd来配置默认规则，实现对特定端口访问的控制，以及对特定网络范围的信任设置。