导读 FirewallD 是 iptables 的前端控制器，用于实现持久的网络流量规则。它提供命令行和图形界面，在大多数 Linux 发行版的仓库中都有。与直接控制 iptables 相比，使用 FirewallD 有两个主要区别：

安装与管理
启动服务，并在系统引导时启动该服务：
sudo systemctl start firewalld
sudo systemctl enable firewalld

要停止并禁用：

sudo systemctl stop firewalld
sudo systemctl disable firewalld
检查防火墙状态。输出应该是 running 或者 not running
sudo firewall-cmd --state
要查看 FirewallD 守护进程的状态：
sudo systemctl status firewalld
在开机时启用一个服务
systemctlenable firewalld.service
在开机时禁用一个服务
systemctldisable firewalld.service
查看所有打开的端口
firewall-cmd--zone=public --list-ports
更新防火墙规则
firewall-cmd --reload
查看区域信息
firewall-cmd--get-active-zones
查看指定接口所属区域
firewall-cmd--get-zone-of-interface=eth0
重新加载 FirewallD 配置
sudo firewall-cmd --reload
配置集
将规则同时添加到持久规则集和运行时规则集中
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=http
将规则添加到持久规则集中并重新加载 FirewallD
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --reload
防火墙的区域
要找到默认区域
sudo firewall-cmd --get-default-zone
要修改默认区域
sudo firewall-cmd --set-default-zone=internal
要查看你网络接口使用的区域
sudo firewall-cmd --get-active-zones
示例输出
public
  interfaces: eth0
要得到特定区域的所有配置
sudo firewall-cmd --zone=public --list-all
示例输出
public (default, active)
  interfaces: ens160
  sources:
  services: dhcpv6-client http ssh
  ports: 12345/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:
要得到所有区域的配置
sudo firewall-cmd --list-all-zones
示例输出
block
  interfaces:
  sources:
  services:
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:
  ...
work
  interfaces:
  sources:
  services: dhcpv6-client ipp-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:
与服务一起使用
要查看默认的可用服务
sudo firewall-cmd --get-services
比如，要启用或禁用 HTTP 服务
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --remove-service=http --permanent
允许或者拒绝任意端口/协议
比如：允许或者禁用 12345 端口的 TCP 流量
sudo firewall-cmd --zone=public --add-port=12345/tcp --permanent
sudo firewall-cmd --zone=public --remove-port=12345/tcp --permanent
端口转发
下面是在同一台服务器上将 80 端口的流量转发到 12345 端口
sudo firewall-cmd --zone="public" --add-forward-port=port=80:proto=tcp:toport=12345
用 FirewallD 构建规则集
将 eth0 的默认区域设置为 dmz。 在所提供的默认区域中，dmz（非军事区）是最适合于这个程序的，因为它只允许 SSH 和 ICMP
sudo firewall-cmd --set-default-zone=dmz
sudo firewall-cmd --zone=dmz --add-interface=eth0
把 HTTP 和 HTTPS 添加永久的服务规则到 dmz 区域中
sudo firewall-cmd --zone=dmz --add-service=http --permanent
sudo firewall-cmd --zone=dmz --add-service=https --permanent
重新加载 FirewallD 让规则立即生效
sudo firewall-cmd --reload
如果你运行 firewall-cmd --zone=dmz --list-all， 会有下面的输出
dmz (default)
  interfaces: eth0
  sources:
  services: http https ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:
高级配置
允许来自主机 192.168.0.14 的所有 IPv4 流量
sudo firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address=192.168.0.14 accept'
拒绝来自主机 192.168.1.10 到 22 端口的 IPv4 的 TCP 流量
sudo firewall-cmd --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.1.10" port port=22 protocol=tcp reject'
允许来自主机 10.1.0.3 到 80 端口的 IPv4 的 TCP 流量，并将流量转发到 6532 端口上
sudo firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 source address=10.1.0.3 forward-port port=80 protocol=tcp to-port=6532'
将主机 172.31.4.2 上 80 端口的 IPv4 流量转发到 8080 端口（需要在区域上激活 masquerade）
sudo firewall-cmd --zone=public --add-rich-rule 'rule family=ipv4 forward-port port=80 protocol=tcp to-port=8080 to-addr=172.31.4.2'
列出你目前的丰富规则
sudo firewall-cmd --list-rich-rules
iptables 的直接接口
要查看添加到 FirewallD 的所有自定义链或规则
firewall-cmd --direct --get-all-chains
firewall-cmd --direct --get-all-rules

原文来自：https://linux.cn/article-8098-1.html

本文地址：https://www.linuxprobe.com/centos-firewalld-linux.html编辑：王华超，审核员：逄增宝

Linux命令大全：https://www.linuxcool.com/

Linux系统大全：https://www.linuxdown.com/

红帽认证RHCE考试心得：https://www.rhce.net/