安裝在操作系統中的防火牆用於防止計算機網絡之間未經授權的流量。手動或自動為防火牆創建特殊規則，這些規則負責訪問控制。在OS中，在Linux內核上開發的CentOS 7有一個內置防火牆，它由防火牆控制。涉及默認的防火牆，我們今天想談談它。
在CentOS 7中自定義防火牆
如上所述，CentOS 7中的標準防火牆被分配了防火牆實用程序。這就是為什麼將在此工具的示例上考慮防火牆設置。您可以使用相同的Iptables設置過濾規則，但它略有不同。我們建議您通過單擊以下鏈接熟悉所提到的實用程序的配置，並且我們將開始拆卸防火牆。如果您暫時或永久禁用防火牆，我們建議您使用以下鏈接使用其他文章中呈現的指令。
閱讀更多：禁用Centos 7中的防火牆
查看默認規則和經濟實惠的區域
即使是常規防火牆也有自己的確定規則和可訪問的區域。在開始政治家編輯之前，我們建議您熟悉當前配置。這是使用簡單命令完成的：
- 默認區域將確定防火牆-cmd - 默認區域命令。
- 激活後，您將看到將顯示所需參數的新字符串。例如，在下面的屏幕截圖中考慮“公共”區域。
- 然而，幾個區域可以立即激活，除此之外，它們與單獨的接口相關聯。通過防火牆-cmd - active-zones查找此信息。
- 防火牆-cmd --list-all命令將顯示為默認區域設置的規則。注意下面的屏幕截圖。您可以看到活動區域“public”分配了“默認”規則 - 默認函數，ENP0S3接口和添加兩個服務。
- 如果您需要了解所有可用的防火牆區域，請輸入防火牆-CMD - 凝聚區域。
- 特定區域的參數通過防火牆-cmd --zone = name - 所有列表定義，其中名稱是區域的名稱。
確定所需參數後，您可以轉移到更改並添加。讓我們詳細分析幾個最流行的配置。
設置接口區域
根據您從上面的信息知道，您的默認區域是為每個接口定義的。它將在其中，直到設置更改用戶或以編程方式更改。可以手動將接口傳輸到每個會話區域，並且通過激活sudo防火牆-cmd --zone = home命令--change-interface = eth0來執行它。結果“成功”表明轉移成功。回想一下，重新啟動防火牆後，此類設置會立即重置。
通過參數的這種變化，應該考慮到服務的操作可以重置。其中一些不支持某些區域的運作，讓我們說，SSH雖然在“家”中可以訪問，但在用戶或特殊服務將解決。通過輸入防火牆-Cmd - active-zones，請確保接口已成功與新分支相關聯。
如果要重置以前進行的設置，只需運行防火牆的重新啟動：sudo systemctl重新啟動firewalld.service。
有時，在一個會話中更改接口區域並不總是方便。在這種情況下，您需要編輯配置文件，以便將所有設置永久搪瓷。為此，我們建議您使用納米文本編輯器，該編輯器從Sudo Yum安裝Nano的官方存儲安裝。接下來仍然是這樣的行動：
- 通過輸入sudo nano / etc / sysconfig / network-scripts / ifcfg-eth0，通過編輯器打開配置文件，其中eth0是所需接口的名稱。
- 確認您的帳戶身份驗證以執行進一步的操作。
- 佈局“區域”參數並將其值更改為所需的值，例如，公共或家庭。
- 按住Ctrl + O鍵以保存更改。
- 請勿更改文件名，但只需單擊“終端”。
- 通過Ctrl + X退出文本編輯器。
現在，接口區域將是您指定的那個，直到下一個編輯配置文件。有關更新的參數，請運行sudo systemctl重新啟動network.service和sudo systemctl重新啟動firewalld.service。
設置默認區域
上面，我們已經演示了一個團隊，允許您學習默認區域。它也可以通過將參數設置為您的選擇來更改。要做到這一點，在控制台，它足以註冊sudo的防火牆CMD --set默認區=名稱，其中名稱是所需區域的名稱。
命令的成功將通過單獨的線路中的銘文“成功”證明。之後，如果在配置文件中未指定另一個，則所有當前接口將生出到指定區域。
為程序和實用程序創建規則
在這篇文章的開始，我們談到了每個區域的動作。在此類分支中定義服務，實用程序和程序將允許為每個用戶請求中的每一個應用各個參數。首先，我們建議您熟悉目前可用的全部服務列表：防火牆-CMD - 植物服務。
結果將直接顯示在控制台中。每個服務器都被空格劃分，您可以輕鬆找到您感興趣的工具。如果缺少所需的服務，則應另外安裝它。在安裝規則上，閱讀官方軟件文檔。
上面的命令只演示了服務的名稱。通過路徑/ usr / lib / firewalld / services上的各個文件獲取它們的詳細信息。這些文件有一個XML格式的路徑，例如，SSH看起來像這樣：/usr/lib/firewalld/services/ssh.xml，並且文檔包含以下內容：
ssh。
Secure Shell（SSH）是用於登錄和執行遠程計算機上的命令的協議。它提供安全的加密通信。如果您計劃通過SSH通過防火牆接口訪問計算機RemotEnet，請啟用此選項。您需要安裝OpenSsh-Server軟件包以使此選項有用。
服務支持在手動中在特定區域中激活。在終端中，您應該設置sudo firewall-cmd --zone = public --dd-service = http命令，其中--zone = public是一個激活區域，--dd-service = http - 服務名稱。請注意，此類更改只會在一個會話中有效。
永久添加通過sudo防火牆-cmd --zone = public -permanent --dd-service = http，結果“成功”表示成功完成操作。
您可以通過在控制台的單獨行中顯示列表來查看特定區域的完整列表：sudo防火牆-cmd --zone = public -permanent -list-services。
缺乏訪問服務的決策問題
標準防火牆規則是由允許的最流行和最安全的服務表示的，但它塊的一些標准或第三方應用程序。在這種情況下，用戶手動需要更改設置以解決訪問問題。您可以用兩種不同的方法執行此操作。
港口港口
如您所知，所有網絡服務都使用特定端口。它由防火牆容易地檢測，並且可以執行塊。要從防火牆避免此類操作，您需要打開所需的sudo防火牆-cmd --zone = public - portd-port = 0000 / tcp，其中--zone = public是一個端口區域， - 端口= 0000 / TCP -端口號和協議。防火牆-cmd --list-ports選項將顯示打開端口列表。
如果需要打開該範圍內的端口，請使用sudo防火牆-cmd字符串--zone = public --dd-port = 0000-9999 / UDP，其中--add-port = 0000-9999 / UDP - 端口範圍和他們的協議。
上述命令僅允許您測試類似參數的使用。如果它已成功傳遞，則應添加相同的端口到常量設置，這是通過輸入sudo防火牆-cmd --zone = public -perment --add-port = 0000 / TCP或Sudo防火牆-CMD - 區=公共--permanent --add端口= 0000〜9999 / UDP。打開的永久端口列表如下：sudo防火牆-cmd --zone = public -permanent -list-ports。
服務定義
正如您所看到的，添加端口不會導致任何困難，但是當應用程序使用大量時，程序很複雜。要追踪所有使用的端口都變得困難，因此服務確定將更正確選項：
- 通過編寫sudo cp /usr/lib/firewalld/services/service.xml /etc/firewalld/services/example.xml來複製配置文件，其中service.xml是服務文件的名稱，example.xml是其副本的名稱。
- 打開副本以通過任何文本編輯器更改，例如sudo nano /etc/firewalld/services/example.xml。
- 例如，我們創建了一個HTTP服務的副本。在文檔中，您基本上看到各種元數據，例如，短名稱和描述。它影響服務器僅工作端口號和協議的更改。在字符串上方“”應該添加以打開端口。 TCP - 二手協議，0000 - 端口號。
- 保存所有更改（按Ctrl + O），關閉文件（Ctrl + X），然後重新啟動防火牆通過sudo來應用這些參數防火牆CMD --reload。之後，該服務將出現在可用列表中，可以通過防火牆-cmd -get-et服務查看。
您只需要為服務問題選擇最合適的解決方案，並對服務進行執行並執行所提供的說明。如您所見，所有操作都非常容易執行，並且應該沒有困難。
創建自定義區域
您已經知道，在Firewalld中最初在具有具有定義規則的大量具有定義規則的不同區域中。但是，系統管理員需要創建用戶區域（例如已安裝的Web Server或“PrivateNS”）的用戶區域時出現情況 - 對於DNS服務器。在這兩個例子上，我們將分析增加分支機構：
- 由sudo firewall-cmd -permanent創建兩個新的永久區域 - new-zone = publicebyb和sudo firewall-cmd -permanent --new-zone = privatens。
- 重新啟動sudo防火牆-cmd - 中加入工具後，它們將可用。要顯示永久區域，請輸入sudo firewall-cmd -permanent -get-zones。
- 將它們分配必要的服務，例如“ssh”，“http”和“https”。這些是由sudo防火牆-cmd --zone = publicebl -add-service = ssh，sudo防火牆-cmd --zone = publyweb - do-service = publickeb --do防火牆-cmd - priceweb - priceweb - Add-service = https，其中--zone = publiceby是要添加的區域的名稱。您可以通過掛起防火牆-cmd --zone查看服務的活動= publiceble -list -lis-all。
從本文中，您學習瞭如何創建自定義區域並向它們添加服務。我們已經告訴他們默認和在上面分配界面，只能指定正確的名稱。在進行任何永久性變更後，不要忘記重新啟動防火牆。
如您所見，Firewalld防火牆是一個相當容量的工具，允許您做出防火牆最靈活的配置。它仍然是為了確保使用系統的實用程序和指定的規則立即開始工作。使用sudo systemctl啟用firewalld命令。