RHEL中的防火墙种类
1.iptables
2.firewalld
3.ip6tables
4.ebtables
系统中防火墙的结构：
firewalld
firewalld不是防火墙，只是用来管理防火墙的一种软件，对iptables进行操作，之后会对内核进行修改
Firewalld的工作状态
firewall-config & ##打开图形管理防火墙界面
Runtime ##临时性修改会立即生效，服务重启后消失
Permanet ##永久性修改，需要重启服务后才会生效
监控命令:
临时性修改：（会立即生效）
永久性修改：（不会立即生效）
需要重启防火墙服务
永久性更改火墙的服务，会记录到防火墙的配置文件中
public.xml.old是对public.xml的备份
/usr/lib/firewalld/目录下是对所有火墙服务状态的记录，永久性更改火墙服务，该目录下的文件也会及时做出相应的修改
firewall-cmd --state ##查看防火墙的状态
firewall-cmd --get-active-zones ##查看防火墙正在运行的网络区
firewall-cmd --get-services ##查看防火墙所有的服务
firewall-cmd --get-default-zone ##查看默认网络区
firewall-cmd --get-zones ##查看防火墙所有的网络区
如果想更改服务的名称，可以切换到/usr/lib/firewalld/services目录下进行修改，修改后需要重启火墙服务
但是一般不建议随意修改服务的名称
firewall-cmd --list-all-zones ##查看防火墙所有网络区的详细信息
firewall-cmd --list-all --zone=public ##查看public网络区的所有信息
firewall-cmd --list-all --zone=trusted ##查看trusted网络区的所有信息
firewall-cmd --set-default-zone=trusted ##设定默认网络区为trusted
firewall-cmd --add-sourse=172.25.254.49 --zone=trusted ##将172.25.254.49这个ip添加到trusted网络区
firewall-cmd --remove-sourse=172.25.254.49 --zone=trusted ##将172.25.254.49这个ip移除trusted网络区
为了方便实验，我们可以安装一个httpd服务来检测试验的效果
编辑服务下可读取的文件，启动服务
将默认网络区设为dmz，将eth1网卡从dmz网络区中移除添加到trusted网络区
eth0的ip为：172.25.254.149
eth1的ip为：172.25.49.149
此时httpd服务只能通过eth1这块网卡的ip
上面的更改为临时性更改，重启火墙服务后会消失
编辑httpd的主配置文件，将服务端口改为8080
在图形管理火墙界面中添加8080/tcp端口
Reload Firewalld ##重启火墙服务
此时默认的80端口将无法登陆httpd服务，需在访问的ip后添加8080端口
永久性的移除http和https服务，需要重启火墙服务才会生效
永久性移除8080/tcp端口，也需要重启火墙服务才会生效
此时将无法登陆httpd服务
firewall-cmd --reload ##重启火墙服务临时性的修改会消失，但临时性正在连接中的服务不会断开
firewall-cmd --complete-reload ##重启火墙服务临时性的修改会消失，如果临时性的服务正在连接中服务将会断开
firewall-cmd --direct --get-all-rules ##查看火墙服务中的所有规则
firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -s 172.25.254.49 -p tcp --dport 22 -j REJECT
拒绝ip为172.25.254.49的主机访问22端口的ssh服务
测试：
firewall-cmd --direct --add-rule ipv4 filter INPUT 1 ! -s 172.25.254.49 -p tcp --dport 21 -j REJECT
只允许ip为172.25.254.49的主机访问21端口的ftp服务，其他主机都拒绝
测试之前需要将ftp服务添加到火墙服务上
测试：