系统防火墙限制或开放指定端口及IP

一、查看防火墙状态

1、首先查看防火墙是否开启，如未开启，需要先开启防火墙并作开机自启

Firewalld 是在某些 Linux 发行版上默认安装的，但有时候需要手动安装。CentOS 下的安装命令如下：

$ sudo yum install firewalld

启用 Firewalld 服务并允许自启动

$ sudo systemctl start firewalld

$ sudo systemctl enable firewalld

确认 Firewalld 服务是否正在运行

$ sudo firewall-cmd --state

$ systemctl status firewalld

返回 running 则表示已经运行；not running 则表示没有运行。

2、查看防火墙是否开启了指定端口

$ firewall-cmd --zone=public --query-port=22/tcp

3、查看防护墙的默认区域及激活区域

$ firewall-cmd --get-default-zone

$ firewall-cmd --get-active-zones

二、开放或限制端口

（1）如我们需要开启SSH连接时需要使用的22端口

firewall-cmd --zone=public --add-port=22/tcp –permanent

firewall-cmd --zone=public --remove-port=22/tcp --permanent

（2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

三、开放或限制IP

（1）开放或限制指定IP对特定端口的访问

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept"

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject"

firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept"

（2）开发或限制指定IP段对特定端口的访问

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.72.0.0/16" port protocol="tcp" port="5200" accept"

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.72.0.0/16" port protocol="tcp" port="5200" reject"

firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="10.72.0.0/16" port protocol="tcp" port="5200" reject"

（3）开放特定IP段可以访问任意端口

firewall-cmd --permanent --zone=trusted --add-source=10.25.11.0/24

firewall-cmd --permanent --zone=trusted --remove-source=10.25.11.0/24

（4）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

四、获取防火墙配置的详细信息，输入以下命令：

$ sudo firewall-cmd --list-all-zones

 

五、Windows防火墙配置方式如下：

附，IP段范围（子网掩码），示例：10.0.0.0/24表示为从10.0.0.0这个IP开始，24代表子网掩码为255.255.255.0，共包含256个地址，即从0-255共256个IP，即正好限制了这一整段的IP地址，具体的设置规则可参考下表