学习目标

完成本单元后，您将

业务场景

当遇到客户端无法访问服务端端口时，需要检查服务器端端口和防火墙状态时，不知道该怎么检查。本文将基础讲解防火墙的基础命令及使用方法，帮助我们了解防火墙基础知识。

防火墙类似于一个安全卫士管家，它能对你访问别人电脑，别人访问你的电脑，进行拦截并处理，有的阻止，有的放行，有的转发。

Linux下防火墙有两种分别是iptables和firewalld，在centos7之前centos用的防火墙是iptables，自从centos7过后防火墙的使用就从iptables变成了firewalld。防火墙的作用是根据系统管理员设定的规则来控制数据的包的进出。

在默认情况下，Linux系统的防火墙状态是打开的，已经启动，CentOS 7默认使用的是firewall作为防火墙。用户根据需求在/etc/sysconfig/firewalld配置文件中来配置防火墙。控制本机的“出、入”网络访问行为，其对行为的配置策略有四个策略表

raw表
主要用于决定数据包是否被状态跟踪机制处理。在匹配数据包时，raw表的规则要优先于其他表。
mangle表
主要用于修改数据包的TOS（Type Of Service，服务类型）、TTL（Time To Live，生存周期）指以及为数据
包设置Mark标记，以实现Qos(Quality Of Service，服务质量)调整以及策略路由等应用，由于需要相应的路
由设备支持，因此应用并不广泛。
nat表
主要用于修改数据包的IP地址、端口号等信息（网络地址转换，如SNAT、DNAT、MASQUERADE、REDIRECT）。属于一个流的包 (因为包的大小限制导致数据可能会被分成多个数据包)只会经过这个表一次。如果第一个包被允许做NAT或Masqueraded，那么余下的包都会自动地被做相同的操作，也就是说，余下的包不会再通过这个表。
filter表
主要用于对数据包进行过滤，根据具体的规则决定是否放行该数据包（如DROP、ACCEPT、REJECT、LOG）。filter 表对应的内核模块为iptable_filter，包含三个规则链：
INPUT链：INPUT针对那些目的地是本地的包
FORWARD链：FORWARD过滤所有不是本地产生的并且目的地不是本地(即本机只是负责转发)的包
OUTPUT链：OUTPUT是用来过滤所有本地生成的包

firewalld防火墙是centos7默认的防火墙管理工具，取代了之前的iptables防火墙，也是工作在网络层，属于包过滤包防火墙。
firewalld和iptables一样都是防火墙管理工具（属于用户态），来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统（属于内核态）来实现包过滤防火墙功能。
firewalld提供了支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具。它支持ipv4和ipv6设置以及以太网桥，并且拥有两种配置：运行时配置与永久配置。

iptables主要是基于接口，来设置规则，从而判断网络的安全性。firewalld是基于区域，根据不同区域来设置不同的规则，从而保证网络的安全，与硬件防火墙设置类似。
iptables在 /etc/sysconfig/iptables存储配置。firewalld将配置存储在/etc/firewalld (优先加载）和/usr/lib/firewalld（默认的配置文件中）中的各种XML文件里。
使用iptables每一个单独更改意味着清除所有旧有的规则和从/etc/sysconfig/iptables里读取所有的新规则。使用firewalld却不会创建任何新的规则，仅仅运行规则中的不同之处。因此firewalld可以在运行时间内，改变设置而不丢失现行连接。
iptables防火墙类型为静态防火墙；firewalld防火墙类型为动态防火墙

语法：

systemctl 动作服务名.service

解释：

systemctl ：是管制服务的主要工具。

动作：有status/start/stop/disable/enable。

服务名.service : 管理的服务，有firewalld.servcie是防火墙服务。

firewalld开启端口

firewall-cmd --zone=public --add-port=80/tcp --permanent

firewall-cmd --zone=public --remove-port=80/tcp --permanent 删除规则

systemctl restart firewalld 重启防火墙使其生效

命令含义：

–zone #作用域

–add-port=80/tcp #添加端口，格式为：端口/通讯协议

–permanent #永久生效，没有此参数重启后失效