一. 设置firewall规则
图形化配置工具：# firewall-config
开放 删除 端口：8080
0k --zone=public --permanent --add-port=8080/tcp
• #--zone #作用域
• #--add-port=80/tcp #添加端口，格式为：端口/通讯协议
• #--permanent 永久生效，没有此参数重启后失效
• #多个端口（80-90 十一个端口）:
• firewall-cmd --zone=public --add-port=80-90/tcp --permanent
• firewall-cmd --zone=public --permanent --add-port=111/tcp --add-port=139/tcp --add-port=445/tcp
#删除
firewall-cmd --zone=public --remove-port=80/tcp --permanent
禁用 添加 删除 域规则(富规则)：
1：对特定ip 禁止访问shh服务 （ip ssh可以自己改别的 reject是禁止 accept是允许 add改为remove即为删除）
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
2：下面的是对特定ip允许访问8080端口（你也可以自己改）
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.4/24" port protocol="tcp" port="8080" accept"
端口转发：
端口转发，将到本机的3306端口的访问转发到192.168.1.1服务器的3306端口
# 开启伪装IP
firewall-cmd --permanent --add-masquerade
# 配置端口转发
firewall-cmd --permanent --add-forward-port=port=3306:proto=tcp:toaddr=192.168.1.2:toport=13306
注意：如果不开启伪装IP，端口转发会失败；其次，要确保源服务器上的端口（3306）和目标服务器上的端口（13306）是开启的。
二. firewall命令
1.启动, 停止, 重启firewalld
1. 停止
systemctl stop firewalld.service
2. 启动
systemctl start firewalld.service
3. 重启
systemctl restart firewalld.service
4. 查看状态：
systemctl status firewalld
5.禁止firewall开机启动
systemctl disable firewalld
6. 设置开机启用防火墙：
systemctl enable firewalld.service
2.查看firewall规则与状态
1. 查看默认防火墙状态（关闭后显示notrunning，开启后显示running）
firewall-cmd --state
2. 查看防火墙规则（只显示/etc/firewalld/zones/public.xml中防火墙策略）
firewall-cmd --list-all
3. 查看所有的防火墙策略（即显示/etc/firewalld/zones/下的所有策略）
firewall-cmd --list-all-zones
4. 重新加载配置文件 reload使生效
firewall-cmd --reload
3.配置firewalld-cmd
查看版本： firewall-cmd --version
查看帮助： firewall-cmd --help
显示状态： firewall-cmd --state
查看所有打开的端口： firewall-cmd --zone=public --list-ports
更新防火墙规则： firewall-cmd --reload
查看区域信息: firewall-cmd --get-active-zones
查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0
拒绝所有包：firewall-cmd --panic-on
取消拒绝状态： firewall-cmd --panic-off
查看是否拒绝： firewall-cmd --query-panic
4. 那怎么开启一个端口呢
1. 添加（--permanent永久生效，没有此参数重启后失效）
firewall-cmd --zone=public --add-port=80/tcp --permanent
2. 重新载入(修改规则后使其生效)
firewall-cmd --reload
3. 查看
firewall-cmd --zone= public --query-port=80/tcp
4. 删除
firewall-cmd --zone= public --remove-port=80/tcp --permanent
因为在/usr/lib/firewalld/services/中事先定义了ssh.xml的相应的规则
5. systemctl是CentOS7的服务管理工具中主要的工具，它融合之前service和chkconfig的功能于一体。
启动一个服务：systemctl start firewalld.service
关闭一个服务：systemctl stop firewalld.service
重启一个服务：systemctl restart firewalld.service
显示一个服务的状态：systemctl status firewalld.service
在开机时启用一个服务：systemctl enable firewalld.service
在开机时禁用一个服务：systemctl disable firewalld.service
查看服务是否开机启动：systemctl is-enabled firewalld.service
查看已启动的服务列表：systemctl list-unit-files|grep enabled
查看启动失败的服务列表：systemctl --failed
# lsof -i tcp:6379 #查看某个端口是否开放，及占用信息