一、查看防火墻狀態(tài)
1节仿、首先查看防火墻是否開啟遇绞，如未開啟，需要先開啟防火墻并作開機(jī)自啟
systemctl status firewalld
開啟防火墻并設(shè)置開機(jī)自啟
systemctl start firewalld
systemctl enable firewalld
一般需要重啟一下機(jī)器鹉动，不然后面做的設(shè)置可能不會(huì)生效
二、開放或限制端口
1宏邮、開放端口
（1）如我們需要開啟XShell連接時(shí)需要使用的22端口
firewall-cmd --zone=public --add-port=22/tcp --permanent
其中--permanent的作用是使設(shè)置永久生效泽示，不加的話機(jī)器重啟之后失效
（2）重新載入一下防火墻設(shè)置，使設(shè)置生效
firewall-cmd --reload
（3）可通過如下命令查看是否生效
firewall-cmd --zone=public --query-port=22/tcp
（4）如下命令可查看當(dāng)前系統(tǒng)打開的所有端口
firewall-cmd --zone=public --list-ports
2蜜氨、限制端口
（1）比如我們現(xiàn)在需要關(guān)掉剛剛打開的22端口
firewall-cmd --zone=public --remove-port=22/tcp --permanent
（2）重新載入一下防火墻設(shè)置械筛，使設(shè)置生效
firewall-cmd --reload
（3）再去查看系統(tǒng)所有開放的端口，已經(jīng)看到?jīng)]有22端口了
firewall-cmd --zone=public --list-ports
3飒炎、批量開放或限制端口
（1）批量開放端口埋哟，如從100到500這之間的端口我們?nèi)恳蜷_
firewall-cmd --zone=public --add-port=100-500/tcp --permanent
（2）重新載入一下防火墻設(shè)置，使設(shè)置生效
firewall-cmd --reload
（3）查看系統(tǒng)所有開放的端口郎汪，可以看到從100到500的端口已被全部開放
firewall-cmd --zone=public --list-ports
（4）同理赤赊，批量限制端口為
firewall-cmd --zone=public --remove-port=100-500/tcp --permanent
firewall-cmd --reload
三、開放或限制IP
1砍鸠、限制IP地址訪問
（1）比如限制IP為192.168.0.200的地址禁止訪問80端口即禁止訪問機(jī)器
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject"
（2）重新載入一下防火墻設(shè)置，使設(shè)置生效
firewall-cmd --reload
（3）查看已經(jīng)設(shè)置的規(guī)則
firewall-cmd --zone=public --list-rich-rules
2、解除IP地址限制
（1）解除剛才被限制的192.168.0.200
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept"
（2）重新載入一下防火墻設(shè)置录豺，使設(shè)置生效
firewall-cmd --reload
（3）再查看規(guī)則設(shè)置發(fā)現(xiàn)已經(jīng)沒有192.168.0.200的限制了
firewall-cmd --zone=public --list-rich-rules
如設(shè)置未生效，可嘗試直接編輯規(guī)則文件双饥，刪掉原來的設(shè)置規(guī)則媒抠，重新載入一下防火墻即可
vi /etc/firewalld/zones/public.xml
3、限制IP地址段
（1）如我們需要限制10.0.0.0-10.0.0.255這一整個(gè)段的IP咏花，禁止他們?cè)L問
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" reject"
其中10.0.0.0/24表示為從10.0.0.0這個(gè)IP開始，24代表子網(wǎng)掩碼為255.255.255.0昏翰，共包含256個(gè)地址，即從0-255共256個(gè)IP棚菊，即正好限制了這一整段的IP地址浸踩，具體的設(shè)置規(guī)則可參考下表
（2）重新載入一下防火墻設(shè)置，使設(shè)置生效
firewall-cmd --reload
（3）查看規(guī)則统求，確認(rèn)是否生效
firewall-cmd --zone=public --list-rich-rules
（4）同理检碗，打開限制為
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" accept"
firewall-cmd --reload
