CentOS 7下用firewall-cmd控制端口與端口轉發教程
防火墻主要由服務訪問規則、驗證工具、包過濾和應用網關4個部分組成，防火墻就是一個位于計算機和它所連接的網絡之間的軟件或硬件。這篇文章主要給大家介紹了在CentOS 7下用firewall-cmd控制端口與端口轉發的相關資料，文中介紹的非常詳細，對大家具有一定的參考學習價值，需要的朋友們下來來一起看看吧。
一、firewalld 守護進程
firewall-cmd命令需要firewalld進程處于運行狀態。我們可以使用systemctl status/start/stop/restart firewalld來控制這個守護進程。firewalld進程為防火墻提供服務。
當我們修改了某些配置之后(尤其是配置文件的修改)，firewall并不會立即生效。可以通過兩種方式來激活最新配置systemctl restart firewalld和firewall-cmd --reload兩種方式，前一種是重啟firewalld服務，建議使用后一種“重載配置文件”。重載配置文件之后不會斷掉正在連接的tcp會話，而重啟服務則會斷開tcp會話。
二、控制端口/服務
可以通過兩種方式控制端口的開放，一種是指定端口號另一種是指定服務名。雖然開放http服務就是開放了80端口，但是還是不能通過端口號來關閉，也就是說通過指定服務名開放的就要通過指定服務名關閉;通過指定端口號開放的就要通過指定端口號關閉。還有一個要注意的就是指定端口的時候一定要指定是什么協議，tcp還是udp。知道這個之后以后就不用每次先關防火墻了，可以讓防火墻真正的生效。
firewall-cmd --add-service=mysql # 開放mysql端口
firewall-cmd --remove-service=http # 阻止http端口
firewall-cmd --list-services # 查看開放的服務
firewall-cmd --add-port=3306/tcp # 開放通過tcp訪問3306
firewall-cmd --remove-port=80tcp # 阻止通過tcp訪問3306
firewall-cmd --add-port=233/udp # 開放通過udp訪問233
firewall-cmd --list-ports # 查看開放的端口
三、偽裝IP
防火墻可以實現偽裝IP的功能，下面的端口轉發就會用到這個功能。
firewall-cmd --query-masquerade # 檢查是否允許偽裝IP
firewall-cmd --add-masquerade # 允許防火墻偽裝IP
firewall-cmd --remove-masquerade# 禁止防火墻偽裝IP
四、端口轉發
端口轉發可以將指定地址訪問指定的端口時，將流量轉發至指定地址的指定端口。轉發的目的如果不指定ip的話就默認為本機，如果指定了ip卻沒指定端口，則默認使用來源端口。
如果配置好端口轉發之后不能用，可以檢查下面兩個問題：
比如我將80端口轉發至8080端口，首先檢查本地的80端口和目標的8080端口是否開放監聽了
其次檢查是否允許偽裝IP，沒允許的話要開啟偽裝IP
# 將80端口的流量轉發至8080
firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080
# 將80端口的流量轉發至
firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.1.0.1192.168.0.1
# 將80端口的流量轉發至192.168.0.1的8080端口
firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1:toport=8080
當我們想把某個端口隱藏起來的時候，就可以在防火墻上阻止那個端口訪問，然后再開一個不規則的端口，之后配置防火墻的端口轉發，將流量轉發過去。
端口轉發還可以做流量分發，一個防火墻拖著好多臺運行著不同服務的機器，然后用防火墻將不同端口的流量轉發至不同機器。
補充閱讀：防火墻主要使用技巧
一、所有的防火墻文件規則必須更改。
盡管這種方法聽起來很容易，但是由于防火墻沒有內置的變動管理流程，因此文件更改對于許多企業來說都不是最佳的實踐方法。如果防火墻管理員因為突發情況或者一些其他形式的業務中斷做出更改，那么他撞到槍口上的可能性就會比較大。但是如果這種更改抵消了之前的協議更改，會導致宕機嗎?這是一個相當高發的狀況。
防火墻管理產品的中央控制臺能全面可視所有的防火墻規則基礎，因此團隊的所有成員都必須達成共識，觀察誰進行了何種更改。這樣就能及時發現并修理故障，讓整個協議管理更加簡單和高效。
二、以最小的權限安裝所有的訪問規則。
另一個常見的安全問題是權限過度的規則設置。防火墻規則是由三個域構成的：即源(IP地址)，目的地(網絡/子網絡)和服務(應用軟件或者其他目的地)。為了確保每個用戶都有足夠的端口來訪問他們所需的系統，常用方法是在一個或者更多域內指定打來那個的目標對象。當你出于業務持續性的需要允許大范圍的IP地址來訪問大型企業的網絡，這些規則就會變得權限過度釋放，因此就會增加不安全因素。服務域的規則是開放65535個TCP端口的ANY。防火墻管理員真的就意味著為黑客開放了65535個攻擊矢量?
三、根據法規協議和更改需求來校驗每項防火墻的更改。
在防火墻操作中，日常工作都是以尋找問題，修正問題和安裝新系統為中心的。在安裝最新防火墻規則來解決問題，應用新產品和業務部門的過程中，我們經常會遺忘防火墻也是企業安全協議的物理執行者。每項規則都應該重新審核來確保它能符合安全協議和任何法規協議的內容和精神，而不僅是一篇法律條文。
四、當服務過期后從防火墻規則中刪除無用的規則。
規則膨脹是防火墻經常會出現的安全問題，因為多數運作團隊都沒有刪除規則的流程。業務部門擅長讓你知道他們了解這些新規則，卻從來不會讓防火墻團隊知道他們不再使用某些服務了。了解退役的服務器和網絡以及應用軟件更新周期對于達成規則共識是個好的開始。運行無用規則的報表是另外一步。黑客喜歡從來不刪除規則的防火墻團隊。
CentOS 7下用firewall-cmd控制端口與端口轉發教程相關文章：