7.8. 使用 firewalld 控制网络流量

流程

1. 检查 firewalld 中的服务是否没有被允许：

   # firewall-cmd --list-services
   ssh dhcpv6-client

   命令列出默认区域中启用的服务。

2. 列出 firewalld 中的所有预定义服务：

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

   命令显示默认区域的可用服务列表。

3. 将服务添加到 firewalld 允许的服务列表中：

   # firewall-cmd --add-service=<service_name>

   命令将指定的服务添加到默认区域中。

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   命令将这些运行时更改应用到防火墙的永久配置。默认情况下，它会将这些更改应用到默认区的配置。

验证

1. 列出所有永久防火墙规则：

   # firewall-cmd --list-all --permanent
   public
     target: default
     icmp-block-inversion: no
     interfaces:
     sources:
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     forward: no
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:

   使用默认防火墙区域 的永久防火墙规则(公共)显示完整的配置。

2. 检查 firewalld 服务的永久配置的有效性。

   # firewall-cmd --check-config
   success

   如果永久配置无效，命令会返回带有更多详情的错误：

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

   您还可以手动检查永久配置文件以验证设置。主配置文件为 /etc/firewalld/firewalld.conf。特定于区的配置文件位于 /etc/firewalld/zones/ 目录中，策略位于 /etc/firewalld/policies/ 目录中。

流程

1. 启用或禁用预定义或自定义服务：

   1. 启动 firewall-config 工具，并选择要配置其服务的网络区。
   2. 选择 Zones 选项卡，然后选择下面的 Services 选项卡。
   3. 选中您要信任的每种服务类型的复选框，或者清除复选框以阻止所选区域中的服务。

2. 编辑服务：

   1. 启动 firewall-config 工具。
   2. 从标有 Configuration 的菜单中选择 Permanent。其它图标和菜单按钮会出现在服务窗口底部。
   3. 选择您要配置的服务。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，选择要添加该服务的区，然后点击 Add Services。

   

5. 在 Add Services 对话框中，找到您要在防火墙中启用的服务。

6. 根据您的场景启用服务：

   

7. 点 Add Services。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，选择要配置自定义端口的区域，并点 Add Services。

   

5. 在 Add services 对话框中，点 Custom Ports 单选按钮。

6. 在 TCP 和 UDP 字段中，根据示例添加端口。您可以使用以下格式添加端口：

   • 端口号，如 22
   • 端口号范围，如 5900-5910
   • 别名，比如 nfs, rsync
   注意

   您可以在每个字段中添加多个值。值必须用逗号分开，且没有空格，例如： 8080、8081、http

7. 在 TCP 文件、UDP 文件或两者中添加端口号后，在 Name 字段中验证服务名称。

   Name 字段显示保留此端口的服务名称。如果您确定这个端口可用，且不需要在该端口上通信，则可以重写名称。

8. 在 Name 字段中，为服务添加一个名称，包括定义的端口。

9. 点 添加端口 按钮。

   

流程

1. 检查当前活跃的防火墙区：

   # firewall-cmd --get-active-zones

2. 在适当的区中添加 HTTPS 服务：

   # firewall-cmd --zone=<zone_name> --add-service=https --permanent

3. 重新载入防火墙配置：

   # firewall-cmd --reload

验证

1. 检查 firewalld 中是否打开端口：

   • 如果您通过指定端口号来打开端口，请输入：

     # firewall-cmd --zone=<zone_name> --list-all

   • 如果您通过指定服务定义来打开端口，请输入：

     # firewall-cmd --zone=<zone_name> --list-services

流程

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

   默认情况下，此命令列出了默认区域中启用的端口。

   注意

   此命令只为您提供作为端口打开的端口列表。您将无法看到作为服务打开的任何开放端口。在这种情况下，请考虑使用 --list-all 选项而不是 --list-ports。

2. 从允许的端口列表中删除端口，为传入的流量关闭它：

   # firewall-cmd --remove-port=port-number/port-type

   这个命令从区中删除端口。如果没有指定区域，它将从 default 区域中删除端口。

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   如果没有指定区域，这个命令会对默认区域的永久配置应用运行时更改。

验证

1. 列出活跃区并选择要检查的区：

   # firewall-cmd --get-active-zones

2. 列出所选区中当前打开的端口，以检查未使用的或不必要的端口是否已关闭：

   # firewall-cmd --zone=<zone_to_inspect> --list-ports

流程

1. 要立即禁用网络流量，请切换 panic 模式：

   # firewall-cmd --panic-on

2. 关闭 panic 模式会使防火墙恢复到其永久设置。要关闭 panic 模式，请输入：

   # firewall-cmd --panic-off

流程

1. 启动 firewall-config 工具，并选择要更改其设置的网络区。
2. 选择 Protocols 选项卡，然后点击右侧的 Add 按钮。此时会打开 协议 窗口。
3. 从列表中选择协议，或者选择 Other Protocol 复选框，并在字段中输入协议。