CentOS 7.0默认使用的是firewall作为防火墙。
下面介绍一些防火墙常用的命令
firewalld/防火墙基本介绍
Centos7开始已经放弃iptables，转而使用firewalld。
从本质意义上讲，iptables和firewalld是防火墙软件，实现方式都是调用内核Netfilter。
firewalld提供了一个动态管理的防火墙，形成网络“zones”规则集，具备支持ipv4和ipv6的能力。firewalld程序提供了图形化的配置工具firewall-confighe、system-config-firewall和命令行firewall-cmd，用于配置firewalld永久性或非永久性规则。
firewalld服务配置
开启服务
systemctl start firewalld
关闭服务
systemctl stop firewalld
重启服务
systemctl restart firewalld
查看服务状态
systemctl status firewalld
开机自启服务
systemctl enable firewalld.service
开机禁用服务
systemctl disable firewalld
PS：systemctl常见其他命令：
查看已启动的服务列表：systemctl list-unit-files | grep enabled
查看启动失败的服务列表：systemctl --failed
查看firewalld规则配置
查看firewalld版本
firewall-cmd --version
查看firewalld帮助
firewall-cmd --help
查看firewalld状态
firewall-cmd --state
查看所有打开的端口
firewalld-cmd --zone=public --list-ports
查看所有规则
firewall-cmd --list-all
重载规则
firewall-cmd --reload
一般对firewalld进行增删端口操作后要重新加载firewalld生效
查看区域信息
firewall-cmd --get-active-zones
查看指定接口所属区域
firewall-cmd --get-zone-of-interface=接口名
拒绝所有包
firewall-cmd --panic-on
取消拒绝所有包
firewall-cmd --panic-off
查看是否拒绝
firewall-cmd --query-panic
firewalld端口规则
添加新端口/开放端口
firewall-cmd --zone=public --add-port=端口/tcp --permanent
查看指定端口状态
firewall-cmd --zone=public --query-port=端口/tcp --permanent
移除端口
firewall-cmd --zone=public --remove-port=端口/tcp --permanent
PS:添加或删除端口后不会立即生效，配置完 --reload后才能生效；–permanent代表永久生效
firewalld端口转发
什么时候是端口转发?
端口映射就是将内网中的主机的一个端口映射到外网主机的一个端口，提供相应的服务。当用户访问外网IP的这个端口时，服务器自动将请求映射到对应局域网内部的机器上。比如，我们在内网中有一台Web服务器，但是外网中的用户是没有办法直接访问该服务器的。于是我们可以在路由器上设置一个端口映射，只要外网用户访问路由器ip的80端口，那么路由器会把自动把流量转到内网Web服务器的80端口上。
开启防火墙伪装
firewall-cmd --add-masquerade --permanent
PS:开启后才能转发端口
添加转发规则
firewall-cmd --add-forward-port=port=本机端口:proto=tcp:toport=目标端口:toaddr=目标IP --permanent
PS:此规则将本机端口转发到目标端口的目标端口上，配置完–reload才生效
如果配置完以上规则后仍不生效，检查防火墙是否开启本机端口，如果本机端口已开启，仍无法转发，可能是由于内核参数文件sysctl.conf未配置ip转发功能，具体配置如下：
vi /etc/sysctl.conf
在文本内容中添加：net.ipv4.ip_forward = 1
保存文件后，输入命令sysctl -p生效
firewalld工具
firewalld的图形化管理工具下载
yum install firewalld firewall-config -y
打开图形管理工具
firewall-config
