1
1)查看默认的区域
2
[root@R101 ~]# firewall-cmd --get-default-zone
3
public
4
# 默认的区域就是public
5
=====================================
6
✅正确做法：只放行必需的服务或端口,例如：
7
firewall-cmd --permanent --add-service=ssh
8
firewall-cmd --permanent --add-service=cockpit
9
# 如果不加 --permanent 则为临时放行指定的服务
10
# 使用场景：你知道对应的服务名即可
11
'当然如果我们只知道端口也是可以的'
12
firewall-cmd --permanent --add-port=22/tcp
13
firewall-cmd --permanent --add-port=9090/tcp
14
# 别忘了跟tcp,绝大多数网络服务都基于 TCP 协议
15
# 和上面命令等价
16
# 使用场景：你运行的是非标准端口的 SSH（如 2222）、或者自定义端口
17
firewall-cmd --reload
18
# 需要 reload 才能立即生效
19
firewall-cmd --list-all
20
# 列出当前默认区域的所有配置
21
[root@localhost ~]# systemctl start firewalld.service
22
[root@localhost ~]# firewall-cmd --permanent --add-service=cockpit
23
success
24
[root@localhost ~]# firewall-cmd --reload
25
success
26
[root@localhost ~]# firewall-cmd --list-all --zone=public
27
  .....
28
=====================================
29
'移除规则!!'
30
firewall-cmd --remove-port=80/tcp
31
# 临时移除端口
32
'临时添加是重载后失效! 临时移除也是重载后失效!'
33
firewall-cmd --remove-service=http
34
# 临时移除服务
35
⚠️想要永久移除端口|服务
36
--permanent
37
=====================================
38
firewall-cmd --info-service <服务名>
39
# 用于查看预定义服务的详细信息
40
[root@R101 ~]# firewall-cmd --info-service=ssh
41
ssh
42
  ports: 22/tcp
43
  protocols:
44
  source-ports:
45
  modules:
46
  destination:
47
  includes:
48
  helpers:
49
'这里面有默认端口!!!'

1
'操作步骤（在 B 上执行）：'
2
[root@R39 ~]# yum -y install httpd
3
Rocky Linux 10 - BaseOS     2.5 kB/s | 4.3 kB     00:01
4
....
5
Complete!
6
[root@R39 ~]# systemctl start httpd
7
# 安装并启动 httpd
8
[root@R39 ~]# echo "indexB" > /var/www/html/index.html
9
[root@R39 ~]# curl localhost
10
indexB
11
'本地肯定能拉取到'
12
⚠️本地压根就没有走firewalld,防火墙!
13
# 所以你本地拉取的话,直接忽略firewalld
14
[root@R39 ~]# systemctl status firewalld
15
○ firewalld.service - firewalld - dynamic firewall daemon
16
     Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; preset: enabled)
17
     Active: inactive (dead)
18
       Docs: man:firewalld(1)
19
[root@R39 ~]# systemctl enable --now firewalld
20
Created symlink '/etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service' → '/usr/lib/systemd/system/firewalld.service'.
21
Created symlink '/etc/systemd/system/multi-user.target.wants/firewalld.service' → '/usr/lib/systemd/system/firewalld.service'.
22
[root@R39 ~]# systemctl status firewalld
23
● firewalld.service - firewalld - dynamic firewall daemon
24
     Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; preset: enabled)
25
     Active: active (running) since Mon 2026-03-16 20:28:58 CST; 1s ago
26
 Invocation: 0c32a138515a4b50979a4f8dba8fe7fa
27
       Docs: man:firewalld(1)
28
    Process: 3131 ExecStartPost=/usr/bin/firewall-cmd --state (code=exited, status=0/SUCCESS)
29
   Main PID: 3129 (firewalld)
30
      Tasks: 2 (limit: 22605)
31
     Memory: 31.6M (peak: 55.2M)
32
        CPU: 525ms
33
     CGroup: /system.slice/firewalld.service
34
             └─3129 /usr/bin/python3 -sP /usr/sbin/firewalld --nofork --nopid
35

36
Mar 16 20:28:58 R39 systemd[1]: Starting firewalld.service - firewalld - dynamic firewall daemon...
37
Mar 16 20:28:58 R39 systemd[1]: Started firewalld.service - firewalld - dynamic firewall daemon.
38
[root@R11 ~]# hostname -I
39
10.0.0.111 172.31.31.164
40
[root@R11 ~]# curl 10.0.0.139
41
curl: (7) Failed to connect to 10.0.0.139 port 80 after 0 ms: Could not connect to server
42
'尝试拉取B的页面....因为防火墙,所以失败！'
43

44

45
解决方法!
46
(1)'临时放行'
47
[root@R39 ~]# hostname -I
48
10.0.0.139 192.168.179.152
49
[root@R39 ~]# firewall-cmd --add-service=http
50
success
51
# 方法1：在默认区域（public）临时放行 http
52
⚠️当执行firewall-cmd --reload后,临时放行的的规则会失效!
53
[root@R11 ~]# curl 10.0.0.139
54
indexB
55
'再次访问,成功访问！'
56

57
(2)'永久放行'
58
[root@R39 ~]# firewall-cmd --permanent --add-service=http
59
success
60
# 方法2：永久放行
61
[root@R39 ~]# firewall-cmd --reload
62
success
63
✅️永久放行后,重载不失效!
64
# 重载永久配置
65
'永久放行需要重载!'
66

67
(3)端口放行
68
'端口也可以永久放行！'
69
[root@R39 ~]# firewall-cmd --add-port=80/tcp
70
success
71
# 方法3：直接放行端口

1
在实验之前,我们先清理一下环境！
2
[root@R39 ~]# firewall-cmd --permanent --remove-service=http
3
success
4
'因为我们刚才就是永久放行http,所以这里也得是永久移除,否则不生效！'
5
[root@R39 ~]# firewall-cmd --remove-port=80/tcp
6
success
7
[root@R39 ~]# firewall-cmd --reload
8
success
9
'别忘记重载一下,使配置生效！'
10
=====================================
11
# A测试验证
12
[root@R11 ~]# curl 10.0.0.139
13
curl: (7) Failed to connect to 10.0.0.139 port 80 after 0 ms: Could not connect to server
14
# 此时是访问不到的！
15

16
============实验开始！===========
17
方法1：将 B 的网卡 ens160 移到 trusted 区域
18
'永久生效'
19
[root@R39 ~]# firewall-cmd --permanent --change-interface=ens160 --zone=trusted
20
success
21
[root@R11 ~]# curl 10.0.0.139
22
indexB
23
'放行后,成功curl到！！'
24
✅ 禁止某个 IP 或网段访问
25
# 新建一个 zone 并设置默认动作为 drop,然后把该 IP 加入
26
[root@R39 ~]# firewall-cmd --permanent --new-zone=blocklist
27
success
28
[root@R39 ~]# firewall-cmd --permanent --zone=blocklist --set-target=DROP
29
success
30
[root@R39 ~]# firewall-cmd --permanent --zone=blocklist --add-source=10.0.0.0/24
31
success
32
[root@R39 ~]# firewall-cmd --reload
33
success
34
[root@R11 ~]# curl 10.0.0.139
35
curl: (28) Failed to connect to 10.0.0.139 port 80 after 132640 ms: Could not connect to server
36
# 切换到A访问不了？？？
37
我们ens160网卡是放行状态呀！
38
'即使网卡在 trusted,若源 IP 被 public 拒绝,则仍不通'
39
⚠️ 注意：源 IP 规则优先于网卡规则
40
[root@R39 ~]# firewall-cmd --permanent --zone=blocklist --remove-source=10.0.0.0/24
41
success
42
[root@R39 ~]# firewall-cmd --permanent --remove-interface=ens160 --zone=trusted
43
success
44
[root@R39 ~]# firewall-cmd --reload
45
success
46
[root@R39 ~]# firewall-cmd --get-zones
47
block blocklist dmz drop external home internal nm-shared public trusted work
48
# 列出所有的区域
49
[root@R39 ~]# firewall-cmd --list-all --zone=blocklist
50
# 查看指定区域的配置！
51
blocklist
52
  target: DROP
53
  ingress-priority: 0
54
  egress-priority: 0
55
  icmp-block-inversion: no
56
  interfaces:
57
  sources:
58
  services:
59
  ports:
60
  protocols:
61
  forward: no
62
  masquerade: no
63
  forward-ports:
64
  source-ports:
65
  icmp-blocks:
66
  rich rules:
67
[root@R11 ~]# curl 10.0.0.139
68
curl: (7) Failed to connect to 10.0.0.139 port 80 after 0 ms: Could not connect to server
69
# 0s后,访问不到！
70
=================================
71
方法2：将 A 的网段加入 trusted 区域
72
'在B进行操作！'
73
[root@R39 ~]# firewall-cmd --add-source=10.0.0.0/24 --zone=trusted
74
success
75
[root@R11 ~]# curl 10.0.0.139
76
indexB
77
# A再次进行curl,就能拉取到页面了！

1
=================================
2
流量通过网络接口层进来,到达网络层;
3
  'NetFilter把网络包抓过来,进行规则限制并分析'
4
通过特定“钩子”（hook points）把数据包钩过来,勾到 Netfilter
5
# 钩过来之后就可以做相应的限制了！
6
  '触发对应表中的链,按规则逐条匹配并执行动作'
7
=================================
8
1.Filter 表（过滤表）
9
👉 最常用！专门用来决定让不让数据包通过,比如设规则“禁止某个IP访问我”,就在这张表里设置；
10
'相当于小区门口的保安,看谁能不能进'
11

12
2.NAT 表（地址转换表）
13
👉 用来改 IP 地址的。比如你家路由器把内网（192.168.x.x）的请求“伪装”成公网 IP 出去,回来再转回给你的电脑,就是它干的
14
'相当于快递代收点,帮你转交包裹还改个标签'
15
========================
16

17
3.Mangle 表（修改表）
18
👉 比较高级,用来改数据包的头部信息,比如改 TTL（生存时间）、打标记等。一般用得少,除非你要做流量控制或特殊路由
19
'就像给信封上贴个“加急”标签'
20

21
4.Raw 表（原始表）
22
👉 用来跳过连接跟踪（conntrack）。有些高速或特殊流量不想被系统“记住”是不是同一个连接,就在这里提前处理
23
'相当于走 VIP 通道,不登记、直接过'
24

25
😄总结：
26
Filter：拦人（放行/拒绝）
27
NAT：换马甲（改 IP）
28
Mangle：贴标签（改包内容）
29
Raw：走后门（绕过记录）

1
🔹 1. PREROUTING（前置路由）
2
✅ 位置：数据包刚进系统时的第一个检查点
3
🎯 作用：还没决定往哪送,先看看要不要改地址（比如 NAT）,或者直接丢掉
4
💬 大白话：就像快递刚送到小区门口,保安先看是不是要换地址、要不要拦截
5

6
🔹 2. INPUT（输入）
7
✅ 位置：数据包是发给本机的,进入系统后,要交给本地程序之前
8
🎯 作用：判断这个包能不能进我的电脑（比如你有没有权限访问我）
9
💬 大白话：快递确认是寄给我家的,现在问我：“能收吗？”
10

11
🔹 3. FORWARD（转发）
12
✅ 位置：数据包不是给本机的,而是要从一个网口转到另一个网口
13
🎯 作用：决定这个包能不能“过境”（转发）。
14
💬 大白话：快递不是给我家的,是寄给隔壁邻居的,我作为中介,要不要帮他传过去？
15

16
🔹 4. OUTPUT（输出）
17
✅ 位置：本机自己发出的数据包,在离开之前经过这里
18
🎯 作用：检查我发出去的东西合不合法（比如有没有被禁止）
19
💬 大白话：我自己要寄个快递出门,保安先查一下能不能寄
20

21
🔹 5. POSTROUTING（后置路由）
22
✅ 位置：数据包即将离开系统,最后一步
23
🎯 作用：做最后的修改,比如改源IP（NAT）、加标记等
24
💬 大白话：快递要走了,最后贴个“已处理”标签,或者换个名字再发走
25

26
'这五个“关卡”就是 iptables 的 五链,配合四张表（Filter、NAT 等）一起工作,控制所有进出网络的数据包！'

1
💡 举个例子：
2
你想禁止某个 IP 访问你的服务器,就写一条规则：
3
iptables -A INPUT -s 1.1.1.1 -j DROP
4

5
意思就是：
6
'在 INPUT 链（进来的包）,如果来源是 1.1.1.1,就直接丢掉'
7
============================
8
# 这里操控的是filter表,默认-t指定了它,可省略
9
-t：指定表,不指定默认是filter表
10
-A：append追加,加入链的末尾
11
# -I：插入到链的开头
12
-s：--source,源ip
13
-j：满足条件后的动作,丢弃
14
# 不发送任何响应
15
'后面详解介绍'

1
[root@m01 ~]# systemctl stop firewalld
2
[root@m01 ~]# systemctl disable firewalld
3
'仅关闭防火墙和禁止开机自启动 --> 没有卸载'
4
[root@m01 ~]# uname
5
Linux
6
[root@m01 ~]# uname -r
7
4.19.90-52.22.v2207.ky10.x86_64
8
# 内核版本
9
[root@m01 ~]# yum install -y  iptables-services
10
.....
11
Package iptables-1.8.5-2.ky10.x86_64 is already installed.
12
Dependencies resolved.
13
Nothing to do.
14
Complete!
15
[root@m01 ~]# rpm -ql iptables
16
/etc/ethertypes
17
/etc/sysconfig/ip6tables
18
/etc/sysconfig/ip6tables-config
19
/etc/sysconfig/iptables
20
# 防火墙的配置文件
21
/etc/sysconfig/iptables-config
22
/usr/lib/systemd/system/iptables.service
23
# 防火墙服务配置文件(命令)
24

25
'临时'
26
# 防火墙相关模块 加载到内核中
27
modprobe ip_tables
28
modprobe iptable_filter
29
modprobe iptable_nat
30
modprobe ip_conntrack
31
modprobe ip_conntrack_ftp
32
modprobe ip_nat_ftp
33
modprobe ipt_state
34

35
'永久'
36
cat >>/etc/rc.local<<EOF
37
modprobe ip_tables
38
modprobe iptable_filter
39
modprobe iptable_nat
40
modprobe ip_conntrack
41
modprobe ip_conntrack_ftp
42
modprobe ip_nat_ftp
43
modprobe ipt_state
44
EOF
45

46
[root@m01 ~]# lsmod |egrep 'filter|nat|ipt'
47
# 查看模块,我们刚才添加的模块
48
nf_nat_ftp             12770  0
49
nf_conntrack_ftp       18638  1 nf_nat_ftp
50
iptable_nat            12875  0
51
nf_nat_ipv4            14115  1 iptable_nat
52
nf_nat                 26787  2 nf_nat_ftp,nf_nat_ipv4
53
nf_conntrack          133053  6 nf_nat_ftp,nf_nat,xt_state,nf_nat_ipv4,nf_conntrack_ftp,nf_conntrack_ipv4
54
iptable_filter         12810  0
55
ip_tables              27126  2 iptable_filter,iptable_nat
56
libcrc32c              12644  3 xfs,nf_nat,nf_conntrack
57
[root@m01 ~]# systemctl start iptables
58
[root@m01 ~]# systemctl enable iptables
59
Created symlink /etc/systemd/system/basic.target.wants/iptables.service → /usr/lib/systemd/system/iptables.service.
60
# iptables 启动或关闭的命令