firewall限制或开放IP及端口

view

一.查看防火墙状态
首先查看防火墙是否开启，如未开启，需要先开启防火墙并作开机自启。

1	systemctl status firewalld

开启防火墙并设置开机自启

1 2	systemctl start firewalld systemctl enable firewalld

    一般需要重启一下机器，不然后面做得设置可能不会生效
二.开放或限制端口
    2.1.开放端口
        2.1.1 如我们需要开启xshell连接时需要使用的22端口

1	firewall-cmd --zone=public --add-port=22/tcp --permanent

其中–permanent的作用是使设置永久生效，不加的话机器重启之后失效。
2.1.2 重新载入一下防火墙设置，使设置生效

1	firewall-cmd --reload

2.1.3 可通过如下命令查看是否生效

1	firewall-cmd --zone=public --query-port=22/tcp

2.1.4 如下命令可查看当前系统打开的所有端口

1	firewall-cmd --zone=public --list-ports

2.2.限制端口
比如我们现在需要关掉刚刚打开的22端口

1	firewall-cmd --zone=public --remove-port=22/tcp --permanent

        后续操作同2.1.2-2.1.4
    2.3.批量开放或限制端口
        批量开放端口，如从100到500这之间的端口我们全部都要打开

1	firewall-cmd --zone=public --add-port=100-500/tcp --permanent

        后续操作同2.1.2、2.1.4
三.开放或限制IP
    3.1.限制IP地址访问
        3.1.1 比如限制IP为192.168.0.200的地址禁止访问80端口即禁止访问机器

1	firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject"

3.1.2 重新载入一下防火墙，是设置生效

1	firewall-cmd --reload

3.1.3 查看已经设置的规则

1	firewall-cmd --zone=public --list-rich-rules

2.解除IP地址限制
3.2.1 解除刚才被限制的192.168.0.200

1	firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept"

后续操作同3.1.2、3.1.3。如设置未生效，可尝试直接编辑规则文件，删掉原来的设置规则，重新载入一下防火墙即可

1	vi /etc/firewalld/zones/public.xml

3.限制IP地址段
3.3.1 如我们需要限制10.0.0.0-10.0.0.255这一整个段的IP，禁止他们访问

1	firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" reject"

其中10.0.0.0/24表示为从10.0.0.0这个IP开始，24代表子网掩码为255.255.255.0，共包含256个地址，即从0-255共256个IP，即正好限制了这一整段的ip地址，具体的设置规则可参考下表

后续操作同3.1.2、3.1.3。同理，打开限制为:

1	firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" accept"