防火墙基础默认规则原则：配置都是临时生效，永久生效

防火墙基础

默认规则

原则：

配置都是临时生效，永久生效要加–permanent，重新加载永久生效–reloadfirewall使用域（zone）定义规则linux操作系统版本，而iptables使用链（Chain）

终端命令

查看系统自带的zone

详尽zone规则

firewall-cmd --list-all --zone=public
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens160 ens224
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

规则理解

sources:源地址（ipv4/ipv6）interfaces：加入到当前zone的插口，默认一个插口必须属于一个zone下

firewall-cmd  --get-default-zone
查看默认zone
firewall-cmd  --get-zone-of-interface=ens160
查看网卡默认的zone

决定一个数据包属于那个zonelinux安装教程，就看sources和interfaces的配置规则

基础规则

实现粗精度基本防火墙控制需求

firewall-cmd --add-service=http --permanent --zone=public
永久添加http服务到piblic域中
firewall-cmd --add-port=80/tcp --permanent --zone=public
永久添加80端口到piblic域中，注意端口需要添加协议
firewall-cmd --add-protocol=tcp --permanent --zone=public
firewall-cmd --reload
每次配置都需要执行加载，不然不会生效
--remove-
移除规则

富规则

实现细精度使用防火墙控制需求

firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=192.168.119.131 port protocol=tcp port=80 accept' 
firewall-cmd --reload
允许源地址是192.168.119.131 访问端口80 协议是tcp

masquerade规则

实现SNAT的功能，也就是源nat转换

应用场景：同网关内因为权限的问题，只有一台笔记本A可以访问固定的资源，要想其他机器都可以访问，就须要使用masquerade，把流量转发到可以访问笔记本A，借助masquerade进行源地址转换后才能实现同网关内的其他机器都可以访问资源

条件必须为同网关，由于须要把网段配置成可以访问资源的IP，这样就把流量全部转发到这台机器上进行masquerade，而跨网关是难以实现的redhat关闭防火墙命令，由于跨网关须要利用网段

1、修改网关IP为实现SNAT的电脑IP
2、开启SNAT的功能
firewall-cmd --add-masquerade --permanent --zone=public

forward-ports规则

实现DNAT功能，也就是端口映射

应用场景：常见为网段的环境redhat关闭防火墙命令，外部须要访问内部资源情况下，须要把网段地址进行DNAT，由网段IP实现内部的转发访问

firewall-cmd --permanent --add-forward-port=port=11111:proto=tcp:toport=80:toaddr=192.168.119.129
firewall-cmd --reload
把端口11111协议tcp的报文转发到192.168.119.129的80端口上