支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具
支持IPv4、IPv6防火墙设置以及以太网桥
支持服务或应用程序直接添加防火墙规则接口
拥有两种配置模式
运行时配置
永久配置
netfilter
位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态'
Firewalld/iptables
CentOS7默认的管理防火墙规则的工具(Firewalld)
称为Linux防火墙的“用户态"
firewalld概述
firewalld防火墙是Centos7系统默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在
网络层，属于包过滤防火墙。
firewalld和iptables都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，内部
结构都指向netfilter网络过滤子系统（属于内核态）来实现包过滤防火墙功能。
firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。 它支持
IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算）， 并且拥有两
种配置模式：运行时配置与永久配置。
firewalld 与 iptables 的区别：
1.
iptables主要是基于接口，来设置规则，从而判断网络的安全性。
firewalld是基于区域，根据不同的区域来设置不同的规则，从而保证网络的安全。与硬件防火墙的
设置相类似。
2.
iptables 在 /etc/sysconfig/iptables 中储存配置，
firewalld 将配置储存在 /etc/firewalld/（优先加载）和 /usr/lib/firewalld/（默认的配置文件）中的各
种 XML 文件里。
3.
使用 iptables 每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables 里读取所有新
的规则。（规则修改后会立即生效）
使用 firewalld 却不会再创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行
时间内， 改变设置而不丢失现行连接。
4.
iptables 防火墙类型为静态防火墙
firewalld 防火墙类型为动态防火墙
区域介绍
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
可以使用一个或多个区域，但是任何一个活跃区域至少需要关联源地址或接口
默认情况下，public区域是默认区域，包含所有接口(网卡)
firewalld 区域的概念：
firewalld防火墙为了简化管理，将所有网络流量分为多个区域（zone）。然后根据数据包的源IP地
址或传入的网络接口等条件将流量传入相应区域。每个区域都定义了自己打开或者关闭的端口和服
务列表。
firewalld防火墙预定义了9个区域:
1、trusted（信任区域）：允许所有的传入流量。
2、public（公共区域）：允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是
新添加网络接口的默认区域。
3、external（外部区域）：允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。 默认将通过此
区域转发的IPv4传出流量将进行地址伪装，可用于为路由器启用了伪装功能的外部网络。
4、home（家庭区域）：允许与ssh、mdns、samba-client或dhcpv6-client预定义服务匹配的传入
流量，其余均拒绝。
5、internal（内部区域）：默认值时与home区域相同。
6、work（工作区域）：允许与 ssh、dhcpv6-client 预定义服务匹配的传入流量，其余均拒绝。
7、dmz（隔离区域也称为非军事区域）：允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。
8、block（限制区域）：拒绝所有传入流量。
9、drop（丢弃区域）：丢弃所有传入流量，并且不产生包含 ICMP的错误响应。
block:所有传入的网络连接都被拒绝。只可以从系统内部发起网络连接。
dmz:经典的非军事区(DMZ)区域，提供对LAN的有限访问，并且只允许指定的传入端口。
drop:丢弃所有传入的网络连接，只允许传出的网络连接。
external:对于路由器类型的连接很有用。您还需要 LAN 和 WAN 接口才能使伪装 NAT 正常工作。
home :适用于您信任其他计算机的LAN 中的家用计算机，例如笔记本电脑和台式机。仅允许指定
的 TCP/IP 端囗。
interna1:用于内部网络，当您非常信任LAN上的其他服务器或计算机时适用。
public:您不信任网络上的任何其他计算机和服务器。您只允许所需的端口和服务。对于托管在您所
在地的云服务器或服务器，请始终使用公共区域。
trusted:接受所有网络连接。我不建议将此区域用于连接到 WAN 的专用服务器或虚拟机。
work:用于您比较信任的同事和其他服务器的工作场所。
Firewalld防火墙的配置方法
运行时配置
实时生效，并持续至Firewalld重新启动或重新加载配置
不中断现有连接
不能修改服务配置
永久配置
不立即生效，除非Firewalld重新启动或重新加载配置
中断现有连接
可以修改服务配置
/etc/firewalld/中的配置文件
Firewalld会优先使用/etc/firewalld/中的配置，如果不存在配置文件，则使用/usr/lib/firewalld/中的配
置
/etc/firewalld/:用户自定义配置文件，需要时可通过从/usr/lib/firewalld/中拷贝
/usr/lib/firewalld/:默认配置文件，不建议修改，若恢复至默认配置，可直接删除/etc/firewalld/ 中的
配置
第一步保证防火墙为开启状态
第二步进行管理操作
当前默认区域
修改默认区域
可使用区域
查看已激活区域
通过接口查看可用区域
根据源地址绑定
查看所有区域规则
查看指定区域规则
添加指定服务
删除指定服务
根据端口号查看指定规则
