《Linux就该这么学》笔记（十一）

firewall-cmd

1. 查看firewalld服务当前所使用的区域

firewall-cmd --get-default-zone

2. 查询指定网卡在firewalld服务中的区域

firewall-cmd --get-zone-of-interface=网卡名称

3. firewalld服务网卡的默认区域修改为external

firewall-cmd --permanent --zone-external --change-interface=网卡名称

4. 设置默认区域为public

firewall-cmd --set-default-zone=public

5. 启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）

firewall-cmd --panic-on

firewall-cmd --panic-off

6. 查询public区域是否允许请求SSH和HTTPS协议的流量

firewall-cmd --zone=public --query-service=ssh

firewall-cmd --zone=public --query-service=https

7. 把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效

firewall-cmd --permanent --zone=public --add-service=https

firewall-cmd --reload

8. 把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效

firewall-cmd --permanent --zone=public --remove-service=http

firewall-cmd --reload

9. 把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效

firewall-cmd --zone=public --add-port=8080-8081/tcp

10. 查看开放的端口

firewall-cmd --zone=public --list-ports

11. 把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效

firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.1.5

firewall-cmd --reload

12. 拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务（22端口）

firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4 source address="192.168.1.9/24" service name="ssh" reject"

TCP Wrappers

1. 禁止访问本机sshd服务的所有流量

vim /etc/hosts.deny

sshd:*

2. 放行源自192.168.10.0/24网段，访问本机sshd服务的所有流量

vim /etc/hosts.allow

sshd:192.168.1.3

参考书目

• 《Linux就该这么学》 刘遄 著