Linux系统通过firewall限制或开放IP及端口

曾经终败给现在 2022-05-15 07:05 227阅读 0赞

## **一、查看防火墙状态** ##

1、首先查看防火墙是否开启，如未开启，需要先开启防火墙并作开机自启

systemctl status firewalld

![70][]

开启防火墙并设置开机自启

1.  `systemctl start firewalld`
2.  `systemctl enable firewalld`

一般需要重启一下机器，不然后面做的设置可能不会生效

## 二、开放或限制端口 ##

1、开放端口

（1）如我们需要开启XShell连接时需要使用的22端口

firewall-cmd --zone=public --add-port=22/tcp --permanent

![70 1][]

其中--permanent的作用是使设置永久生效，不加的话机器重启之后失效

（2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

![70 2][]

（3）可通过如下命令查看是否生效

firewall-cmd --zone=public --query-port=22/tcp

![70 3][]

（4）如下命令可查看当前系统打开的所有端口

firewall-cmd --zone=public --list-ports

![70 4][]

2、限制端口

（1）比如我们现在需要关掉刚刚打开的22端口

firewall-cmd --zone=public --remove-port=22/tcp --permanent

![70 5][]

（2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

![70 2][]

（3）再去查看系统所有开放的端口，已经看到没有22端口了

firewall-cmd --zone=public --list-ports

![70 6][]

3、批量开放或限制端口

（1）批量开放端口，如从100到500这之间的端口我们全部要打开

firewall-cmd --zone=public --add-port=100-500/tcp --permanent

![70 7][]

（2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

![70 2][]

（3）查看系统所有开放的端口，可以看到从100到500的端口已被全部开放

firewall-cmd --zone=public --list-ports

![70 8][]

（4）同理，批量限制端口为

1.  `firewall-cmd --zone=public --remove-port=100-500/tcp --permanent`
2.  `firewall-cmd --reload`

## 三、开放或限制IP ##

1、限制IP地址访问

（1）比如限制IP为192.168.0.200的地址禁止访问80端口即禁止访问机器

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject"

![70 9][]

（2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

（3）查看已经设置的规则

firewall-cmd --zone=public --list-rich-rules

![70 10][]

2、解除IP地址限制

（1）解除刚才被限制的192.168.0.200

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept"

![70 11][]

（2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

（3）再查看规则设置发现已经没有192.168.0.200的限制了

firewall-cmd --zone=public --list-rich-rules

![70 12][]

如设置未生效，可尝试直接编辑规则文件，删掉原来的设置规则，重新载入一下防火墙即可

vi /etc/firewalld/zones/public.xml

![70 13][]

3、限制IP地址段

（1）如我们需要限制10.0.0.0-10.0.0.255这一整个段的IP，禁止他们访问

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" reject"

其中10.0.0.0/24表示为从10.0.0.0这个IP开始，24代表子网掩码为255.255.255.0，共包含256个地址，即从0-255共256个IP，即正好限制了这一整段的IP地址，具体的设置规则可参考下表

![70 14][]

（2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

（3）查看规则，确认是否生效

firewall-cmd --zone=public --list-rich-rules

（4）同理，打开限制为

1.  `firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" accept"`
2.  `firewall-cmd --reload`

[70]: /images/20220515/d998267fe2844b1eba13019c8fad2874.png
[70 1]: /images/20220515/9c7e50b27bd942df8385459309cd53b7.png
[70 2]: /images/20220515/683d3d13d48f43b1957f89a56db76d1d.png
[70 3]: /images/20220515/05e762c10a0e4a699b925ccbeca03894.png
[70 4]: /images/20220515/cfaf255d94e140bba36ec9d5003f7f7d.png
[70 5]: /images/20220515/da91b9e2eb6e43e19b64f6b3f3089836.png
[70 6]: /images/20220515/2a9c6be83dcc468b98e82d5d0ef60aab.png
[70 7]: /images/20220515/53094555489441999d614d58ef53f7cf.png
[70 8]: /images/20220515/501710596ccc4f2299f5dab415cfa096.png
[70 9]: /images/20220515/e826862edd6040b8b0e943ef8564acf5.png
[70 10]: /images/20220515/645ece6b93374df28b703bd436f1c679.png
[70 11]: /images/20220515/49fea1d474834f719d5ec494b1009a85.png
[70 12]: /images/20220515/5b814fcffff145b4b3efcb3ea86ef10f.png
[70 13]: /images/20220515/01900ef828e84ac5bd92a5260d32c2f1.png
[70 14]: /images/20220515/8b63773437c04f52a0b92e3b8dd4cb40.png