CentOS7 打开防火墙端口

旧城等待， 2022-03-09 04:27 382阅读 0赞

### 文章目录 ###

*  CentOS7 打开防火墙端口
 *   *  关闭防火墙
     *  打开某个防火墙端口
     *  其他
     *  常见问题
     *  参考文档

# CentOS7 打开防火墙端口 #

CentOS7 的防火墙服务为`firewalld`，可以通过`firewall-cmd`命令行工具来配置防火墙规则。

## 关闭防火墙 ##

如果是安全要求不高的测试环境，最简单的做法是关闭防火墙，这样所有端口都可以从外部访问：

# 检查防火墙状态
    systemctl status firewalld
    # 关闭防火墙
    systemctl stop firewalld
    # 开机不自动启动防火墙
    systemctl disable firewalld
    # 再次检查防火墙状态
    systemctl status firewalld

## 打开某个防火墙端口 ##

运行`firewall-cmd --list-all`检查防火墙服务的配置，如果防火墙服务没有运行，则会提示“FirewallD is not running”。

`firewalld`有两种方式可以打开某个端口：

*  service 服务方式
    
    服务定义文件在`/usr/lib/firewalld/services/<service>.xml` ，服务定义文件中定义了端口以及协议。
    
    例如：ssh.xml
    
        <?xml version="1.0" encoding="utf-8"?>
        <service>
          <short>SSH</short>
          <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
          <port protocol="tcp" port="22"/>
        </service>
 *  port 端口方式
    
    通过`firewall-cmd --add-port`命令行来打开某个端口。

下面以开放HTTPS 443端口为例：

*  service服务方式：

firewall-cmd --zone=public --add-service=https --permanent
    firewall-cmd --reload

*  port服务方式：

firewall-cmd --zone=public --add-port=443/tcp --permanent
    firewall-cmd --reload

上面假设只有一个public的zone。

配置完成后，运行`firewall-cmd --list-all`查看配置是否生效。

再通过`telnet <ip> <port>`命令检查端口是否可以访问。

对HTTP或HTTPS端口，在浏览器中检查是否可以打开URL。

## 其他 ##

Firewall的zone的配置文件在`/etc/firewalld/zones` 目录。

# 列出全部zone
    firewall-cmd --get-zones
    
    # 列出默认zone
    firewall-cmd --get-default-zone
    
    # 查看某个zone的配置
    firewall-cmd --list-all --zone=public

## 常见问题 ##

**Q**: 打开防火墙端口后，仍然无法从外部访问该端口。

**A**: 先运行`ping <ip>`确认网络是通的，再运行`netstat -tnlp`检查该端口是否在LISTEN状态，也就是有进程在侦听该端口。比如对HTTPS 443端口，需要有相应的Web Server进程在侦听，才能从外部访问。

**Q**: 防火墙端口已打开，端口也有进程在侦听，仍然无法从外部访问该端口。

**A**: 尝试关闭防火墙，看看能否访问。

如果不能正常访问，检查是否是SELinux的问题，参见：https://www.cnblogs.com/activiti/p/7552677.html

如果能正常访问，可能是iptables的配置问题，参见：https://www.jianshu.com/p/8fd07c60f23f

如果是对安全要求不高的测试环境，最简单粗暴的做法是关闭防火墙。

## 参考文档 ##

*  https://www.rootusers.com/how-to-open-a-port-in-centos-7-with-firewalld/
 *  https://www.digitalocean.com/community/tutorials/how-to-set-up-a-firewall-using-firewalld-on-centos-7