通过vi编辑文件删除firewalld的防火墙规则编辑使用文件方式 public.xml

admin

[root@example-dn-01 ~]# vim /etc/firewalld/zones/public.xml
6 P; @6 [/ }; C" S3 X) I+ Z' ]public.xml      public.xml.old  
[root@example-dn-01 ~]# vim /etc/firewalld/zones/public.xml
删除需要删除的规则
) T$ e& Q* m5 x$ a/ E' t
重启firewalld-cmd 服务

+ O6 p# |0 V# v6 V  [

admin

或者
' \9 k% ?# g$ z* K& u0 W( Q9 v6 lfirewall-cmd  --zone=public --remove-rich-rule="rule family=ipv4 source address="192.168.100.71" port port="9092" protocol="tcp" accept"    删除该条策略

admin

1、查询、禁用、删除、自定义 firewalld 服务的 ping 响应：
; v; j4 f6 Q# J! `
[root@centos-test ~]# firewall-cmd --zone=public --query-rich-rule="rule protocol value='icmp' drop"

[root@centos-test ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule protocol value='icmp' drop"
, X/ Y1 e. J7 N- s  f6 U0 T- |
[root@centos-test ~]# firewall-cmd --permanent --zone=public --remove-rich-rule="rule protocol value='icmp' drop"
6 V7 K0 B; \) T5 `: _' V6 P% F
* s' f" E1 ^( a: _, p[root@centos-test ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' protocol value='icmp' accept"
# {/ ]- N4 b9 i/ u) F
# 允许172.16.1.10主机ping。



2、添加或拒绝某个IP访问ssh端口：

# d: K4 _, U  A' F" I[root@centos-test ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' service name='ssh' accept"
7 ^7 P! |7 v" A( O
[root@centos-test ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.0/24' port protocol='tcp' port='22' accept"
3 H* ]% z" s: G0 @) z: Y3 t
# 允许172.16.1.0/24网段的主机访问22端口。
7 ^+ _% _, u* |* X6 t& I6 X
[root@centos-test ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' service name='ssh' reject"
6 T" w' h- l6 S# T' X& }
[root@centos-test ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' service name='ssh' drop"

# reject 和 drop 的效果是一样的。

4 ], ^' i3 K& T  ~7 L4 C3 m; Z* E
+ I& q: g, m1 g1 G# b. g9 w) ^6 B
3、列出所有多语言规则：

4 K7 F/ t; T, a0 n* E8 s1 pfirewall-cmd --zone=public --list-rich-rules
/ C( n* z1 ]1 r1 d8 R' k
6 k: \3 r$ b5 \! T9 N
+ E) ?2 ?' D+ X9 x
& ^; O2 c* l4 k7 U4、允许172.16.1.10主机所有连接：

firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' accept"


5 b" j* q0 f) B5 o* h; `
$ M: @1 j( z# d( R7 P& r9 G! f0 U6 d5、每分钟允许2个新连接访问ftp服务：

0 p3 s) v; h% i4 n: z. W1 ~firewall-cmd --permanent --zone=public --add-rich-rule="rule service name='ftp' limit value='2/m' accept"
* V; Q2 c% W- q2 X9 w/ m
5 b' ?' d. o" r0 [, a
) L5 u8 g- x+ ^
6、同意新的 IPv4 和 IPv6 连接 FTP，并使用审核每分钟登录一次：

% [+ B7 D  p; }0 Dfirewall-cmd --permanent --zone=public --add-rich-rule="rule service name='ftp' log limit value='1/m' audit accept"
& P6 O! K6 s7 m
9 K3 x. y) ]2 |! {; G( E( ?5 r
3 _% Q/ _% D$ J: l, M/ j
7、允许172.16.1.0网段中的主机访问ftp服务：
+ ]1 `( g/ v7 X: }, U; E2 b) }
0 F+ F" j" |9 |; p8 C3 Mfirewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.0/24' service name='ftp' accept"
/ h( d( Z6 V5 L" i% q; N: Y
7 l& F( L$ t! b# Z' |9 m6 \, [
* y# n+ _2 o6 t& R: P  m
8、将来自172.16.1.0/24网段访问本地8080端口的流量转发到172.16.1.208主机的80端口(源地址转换)：
/ C4 W8 x8 [- v3 p5 ~) L
) U+ b. E( }8 y# R3 F2 U6 Q5 n' [firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.0/24' forward-port port='8080' protocol='tcp' to-port='80' to-addr='172.16.1.208'"
) S. r1 I6 W* t, O7 {& X
6 s5 L6 B; V4 J8 n# 伪装(需要开启masquerade)，将来自局域网172.16.1.0/24网段访问外网的流量映射为网络出口公网IP，即修改源IP地址。
# s) r4 a& M" A5 d5 I
& a* t" @$ x2 |
4 e" @4 y& ?' ]) W; N
3 y* u# _3 I5 Q! t9、禁止172.16.1.10访问https服务，并返回错误信息：

firewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' service name='https' reject"
' B0 G8 Q% Z" }, b( y+ b
4 [8 p8 n9 h5 h# 如果是drop的话是直接丢弃，会返回timeout（连接超时）。
- g/ S# K! @( a. S" g2 z4 |

0 H. L, k2 e$ D# C& p4 V
- ?$ C5 U. A; C6 b" m10、每分钟允许2个新连接访问ftp服务：
, Z$ Z9 R6 s! ?8 `) e6 J* [
* x" ^; j3 Y- q, V. K' A+ Yfirewall-cmd --permanent --zone=public --add-rich-rule="rule service name='ftp' limit value='2/m' accept"
/ D8 W8 p( [, R8 Y% V! `  ^' e
0 d0 ]6 x  o5 k, ^' s% C
! l+ e' j, U8 z' P! L
11、允许新的ipv4和ipv6连接ftp，并使用日志和审核，每分钟允许访问一次：

firewall-cmd --permanent --zone=public --add-rich-rule="rule service name='ftp' log limit value='1/m' audit accept"

. P( u, z) X0 S# I# Z2 t& }

12、将来自172.16.1.0/24网段访问本机8080端口的流量转发到本机的80端口：

( ?1 E/ @) \0 V8 k; Ufirewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.0/24' forward-port port='8080' protocol=tcp to-port=80"
! F2 d, m1 A" N' F5 y# }7 C
  K0 h2 _% l& }8 a) ~; q6 a

- g3 x) X5 \6 q/ ^( G13、允许一个IP(172.16.1.10)仅能通过指定端口(8080-8090)访问到目标(172.16.1.12)：
$ N- i1 r1 A# D/ J2 T5 i
: Y9 }( l) C1 R# l* @, w, M* \8 C2 yfirewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' destination address='172.16.1.12/32' port port='8080-8090' protocol='tcp' accept"
: H6 g( L' P( X

& @1 I" k% K- U' t* n9 U
14、添加、删除 firewalld 服务可以访问的IP地址：

$ C/ u- R  p* D* P2 Z- mfirewall-cmd --permanent --zone=public --add-rich-rule="rule family='ipv4' source address='172.16.1.10' port port='80' protocol='tcp' accept"
, T" v+ m( Q0 t. ~( `* N6 E
# 允许172.16.1.10主机访问80端口。
5 B+ F- m- ~. z% L- z$ ~7 k
/ l; M/ t: P# n' G# Wfirewall-cmd --permanent --zone=public --remove-rich-rule="rule family='ipv4' source address='172.16.1.10' port port='80' protocol='tcp' accept"

2 B: J. g1 r7 o  [8 B9 s3 v# 移除172.16.1.10主机访问80端口的策略。
0 M/ ], i0 |" K& o
9 z. _2 r( e0 c# n1 g
: R9 A, p$ S! o% @% I. U
2.5、补充：
2 @0 J% f( S. J' u( L
3 G4 a! B; P  K: i1、地址转换问题：
0 V' @- Q) q+ _
（1）源地址转换，就是我们平常说的代理上网，应用场景就是代理内网用户上网。
2 C+ K, m/ a. e  m
（2）目的地址转换，就是我们常说的端口映射，应用场景是发布服务到外网。

（3）双向地址转换，就是先将数据包的目的地址转换后再转换源地址，应用场景是内网以公网ip访问内网的业务系统。



2、如何清除 firewalld 服务规则：
' B2 r6 P' k+ J& u9 z& E% Y
0 r4 ]: ~: }" O6 y* D. z（1）如果防火墙配置了规则很多如果清空规则呢，firewalld默认没有命令来清空规则。但是我们可以通过编辑配置文件来清除规则。
. c* o, V1 _5 ]: E! W& S  c' _
$ i4 L! Z$ m8 c/etc/firewalld/zones/ 此处为配置生效后保存的配置文件，当用命令每次将新的配置写入到配置文件之中后，系统会自动的备份以
$ {& C* N) l6 R1 M+ C
前的文件。如果是手动修改需要先对配置文件进行备份。
9 ], j2 L+ D3 n) |
[root@centos-test ~]# ls /etc/firewalld/zones

public.xml public.xml.old
. O, u! `0 t" c6 Y- T
, L: H: g  g4 ^3 j

3、使用默认模板的形式添加服务(用于定制服务端口)：

（1）所有的默认规则都可以在 /usr/lib/firewalld/ 中找到：

+ y& I' Z1 K! l6 k8 _: ][root@centos-test ~]# ls /usr/lib/firewalld/

$ ~9 S+ L' q# h) r6 Ghelpers icmptypes ipsets services xmlschema zones
1 [1 D: X3 S" L9 V6 p- Y
- @# h6 s0 O, r7 A' g, i, e& ~

（2）复制默认目录下的规则到配置目录下：

) V/ ]5 r2 ]- Z: }: M/ v  l& l[root@centos-test ~]# cp -a /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/
( V9 M8 P) h( [- i) _5 N0 m$ l


（3）配置文件中包含了服务名，端口，还有服务的相关说明：

/ S. ]; M+ ?# M, y& m[root@centos-test ~]# cat /etc/firewalld/services/ftp.xml
+ g; `4 ]& Y+ ]# R$ p  j0 q
<?xml version="1.0" encoding="utf-8"?>

# [) \; E" I3 e; T0 ^& Q5 n4 E<service>
7 r' i7 b4 L5 e: Q
7 P9 [2 F/ r3 I<short>FTP</short>
# i/ t/ @0 k  n* V
<description>FTP is a protocol used for remote file transfer. If you plan to make your FTP server publicly available, enable this option. You

need the vsftpd package installed for this option to be useful.</description> <port protocol="tcp" port="21"/>

( }$ L+ M1 S+ R) R4 Y  S& e/ B<module name="nf_conntrack_ftp"/>
* r* B6 O: t' m% {: {/ m
</service>


0 u; ~7 _, y1 C0 {
（4）在 /etc/firewalld/zones/public.xml 中增加一行 <service name="ftp"/>：

[root@centos-test ~]# vim /etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>

6 P3 Y$ Z9 c6 F& m<zone>

<short>Public</short>
6 @' B, a6 l) R' v7 @
+ k* ^" }; x5 x<description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming conn
2 N- f( u) y0 p1 U
ections are accepted.</description>

<service name="ssh"/>

7 k1 ]' O1 d- R: |<service name="dhcpv6-client"/>

<service name="ftp"/>
. x! J- D( X# U0 y2 D* ~; o
</zone>
3 K5 ^! y/ h# @! n! \# D

7 V( Q" E& s0 `7 S- k7 N
（5）重载firewalld：
1 l* m; H0 L8 D6 l; Z9 E4 l/ h  e
[root@centos-test ~]# firewall-cmd --reload
) }  y- G7 E! U' A  n; [! r- ~
8 m0 l3 J8 m; a9 b
) P4 Q6 W+ H, N% N2 V0 d( S- n4 Y$ [; t- [! l
（6）查看服务：

( F9 D8 p9 A) W. s: S[root@centos-test ~]# firewall-cmd --zone=public --list-service

ssh dhcpv6-client ftp

- e& D% {" H; T$ u& \  A: {

admin

/ p! D) ]4 P+ L<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
1 o0 k% }* I: ]  m  I  <service name="ssh"/>
  <service name="dhcpv6-client"/>
: Y( C& v6 Q& _3 ~+ b# Z  <service name="http"/>
  <port protocol="tcp" port="80"/>
  <port protocol="tcp" port="8080"/>
4 E" I! @% P$ m, x# q1 x' S: V6 y! K  <forward-port to-port="3366" protocol="tcp" port="3306"/>
  <forward-port to-addr="192.168.22.55" to-port="8088" protocol="tcp" port="8080"/>
</zone>

admin

firewall-cmd --zone=public --list-forward-ports
9 y- c" F' B# W% [port=8080:proto=tcp:toport=8088:toaddr=192.168.22.55
$ h3 h* g, f$ H7 H9 _9 G6 y