firewalld
（1）我應該選用哪個區域?
例如，公共的 WIFI 連接配接應該主要為不受信任的，家庭的有線網絡應該是相當可信任的。根據與你使用的網絡最符合的區域進行選擇。
如何配置或者增加區域?
你可以使用任何一種 firewalld 配置工具來配置或者增加區域，以及修改配置。工具有例如 firewall-config 這樣的圖形界面工具， firewall-cmd 這樣的指令行工具，以及D-BUS接口。或者你也可以在配置檔案目錄中建立或者拷貝區域檔案。 @PREFIX@/lib/firewalld/zones 被用于預設和備用配置，/etc/firewalld/zones 被用于使用者建立和自定義配置檔案。
（2）如何為網絡連接配接設定或者修改區域？
區域設定以 ZONE= 選項 存儲在網絡連接配接的ifcfg檔案中。如果這個選項缺失或者為空，firewalld 将使用配置的預設區域。
如果這個連接配接受到 NetworkManager 控制，你也可以使用 nm-connection-editor 來修改區域。
（3）由 NetworkManager 控制的網絡連接配接
防火牆不能夠通過 NetworkManager 顯示的名稱來配置網絡連接配接，隻能配置網絡接口。是以在網絡連接配接之前 NetworkManager 将配置檔案所述連接配接對應的網絡接口告訴 firewalld 。如果在配置檔案中沒有配置區域，接口将配置到 firewalld 的預設區域。如果網絡連接配接使用了不止一個接口，所有的接口都會應用到 fiwewalld。接口名稱的改變也将由 NetworkManager 控制并應用到firewalld。
如果一個接口斷開了， NetworkManager 也将告訴 firewalld 從區域中删除該接口。當 firewalld 由 systemd 或者 init 腳本啟動或者重新開機後，firewalld 将通知 NetworkManager 把網絡連接配接增加到區域。
$ rpm -qa|grep firewalld;rpm -qa|grep firewall-config
$ yum -y install firewall-config
$ yum -y update firewalld
$ rpm -qi firewalld firewall-config
$ systemctl start firewalld
$ systemctl status firewalld
$ systemctl disable firewalld
$ systemctl enable firewalld firewall-cmd詳解
在不改變狀态的條件下重新加載防火牆：
$ firewall-cmd --reload 如果你使用 --complete-reload ，狀态資訊将會丢失。這個選項應當僅用于處理防火牆問題時，例如，狀态資訊和防火牆規則都正常，但是不能建立任何連接配接的情況。
擷取支援的區域清單
$ firewall-cmd --get-zones 這條指令輸出用空格分隔的清單。
擷取所有支援的服務
$ firewall-cmd --get-services 這條指令輸出用空格分隔的清單。
擷取所有支援的ICMP類型
$ firewall-cmd --get-icmptypes 這條指令輸出用空格分隔的清單。
列出全部啟用的區域的特性
$ firewall-cmd --list-all-zones 輸出區域 全部啟用的特性。如果生略區域，将顯示預設區域的資訊。
$ firewall-cmd [--zone=] --list-all 擷取預設區域的網絡設定
$ firewall-cmd --get-default-zone 設定預設區域
$ firewall-cmd --set-default-zone= 流入預設區域中配置的接口的新通路請求将被置入新的預設區域。目前活動的連接配接将不受影響。
擷取活動的區域
$ firewall-cmd --get-active-zones 這條指令将用以下格式輸出每個區域所含接口：
: ..
: .. 根據接口擷取區域
firewall-cmd --get-zone-of-interface= 這條指令将輸出接口所屬的區域名稱。
将接口增加到區域
firewall-cmd [--zone=] --add-interface= 如果接口不屬于區域，接口将被增加到區域。如果區域被省略了，将使用預設區域。接口在重新加載後将重新應用。
修改接口所屬區域
firewall-cmd [--zone=] --change-interface= 這個選項與 --add-interface 選項相似，但是當接口已經存在于另一個區域的時候，該接口将被添加到新的區域。
從區域中删除一個接口
firewall-cmd [--zone=] --remove-interface= 查詢區域中是否包含某接口
firewall-cmd [--zone=] --query-interface= 傳回接口是否存在于該區域。沒有輸出。
列舉區域中啟用的服務
firewall-cmd [ --zone= ] --list-services 啟用應急模式阻斷所有網絡連接配接，以防出現緊急狀況
firewall-cmd --panic-on 禁用應急模式
firewall-cmd --panic-off 查詢應急模式
firewall-cmd --query-panic 此指令傳回應急模式的狀态，沒有輸出。可以使用以下方式獲得狀态輸出：
firewall-cmd --query-panic && echo "On" || echo "Off" 處理運作時區域
運作時模式下對區域進行的修改不是永久有效的。重新加載或者重新開機後修改将失效。
啟用區域中的一種服務
firewall-cmd [--zone=] --add-service= [--timeout=] 此舉啟用區域中的一種服務。如果未指定區域，将使用預設區域。如果設定了逾時時間，服務将隻啟用特定秒數。如果服務已經活躍，将不會有任何警告資訊。
例: 使區域中的 ipp-client 服務生效60秒:
firewall-cmd --zone=home --add-service=ipp-client --timeout=60 例: 啟用預設區域中的http服務:
firewall-cmd --add-service=http 禁用區域中的某種服務
firewall-cmd [--zone=] --remove-service= 此舉禁用區域中的某種服務。如果未指定區域，将使用預設區域。
例: 禁止 home 區域中的 http 服務:
firewall-cmd --zone=home --remove-service=http 區域種的服務将被禁用。如果服務沒有啟用，将不會有任何警告資訊。
查詢區域中是否啟用了特定服務
firewall-cmd [--zone=] --query-service= 如果服務啟用，将傳回1,否則傳回0。沒有輸出資訊。
啟用區域端口和協定組合
firewall-cmd [--zone=] --add-port=
[-
]/
[--timeout=]
此舉将啟用端口和協定的組合。端口可以是一個單獨的端口 或者是一個端口範圍 - 。協定可以是 tcp 或 udp。
禁用端口和協定組合
firewall-cmd [--zone=] --remove-port=
[-
]/
查詢區域中是否啟用了端口和協定組合
firewall-cmd [--zone=] --query-port=
[-
]/
如果啟用，此指令将有傳回值。沒有輸出資訊。
啟用區域中的 IP 僞裝功能
firewall-cmd [--zone=] --add-masquerade 此舉啟用區域的僞裝功能。私有網絡的位址将被隐藏并映射到一個公有IP。這是位址轉換的一種形式，常用于路由。由于核心的限制，僞裝功能僅可用于IPv4。
禁用區域中的 IP 僞裝
firewall-cmd [--zone=] --remove-masquerade 查詢區域的僞裝狀态
firewall-cmd [--zone=] --query-masquerade 如果啟用，此指令将有傳回值。沒有輸出資訊。
firewall-cmd [--zone=] --add-icmp-block= 此舉将啟用選中的 Internet 控制封包協定 （ICMP） 封包進行阻塞。 ICMP 封包可以是請求資訊或者建立的應答封包，以及錯誤應答。
禁止區域的 ICMP 阻塞功能
firewall-cmd [--zone=] --remove-icmp-block= 查詢區域的 ICMP 阻塞功能
firewall-cmd [--zone=] --query-icmp-block= 如果啟用，此指令将有傳回值。沒有輸出資訊。
例: 阻塞區域的響應應答封包:
firewall-cmd --zone=public --add-icmp-block=echo-reply 在區域中啟用端口轉發或映射
firewall-cmd [--zone=] --add-forward-port=port=
[-
]:proto=
{ :toport=
[-
] | :toaddr= | :toport=
[-
]:toaddr= }
端口可以映射到另一台主機的同一端口，也可以是同一主機或另一主機的不同端口。端口号可以是一個單獨的端口 或者是端口範圍 - 。協定可以為 tcp 或udp 。目标端口可以是端口号 或者是端口範圍 - 。目标位址可以是 IPv4 位址。受核心限制，端口轉發功能僅可用于IPv4。
禁止區域的端口轉發或者端口映射
firewall-cmd [--zone=] --remove-forward-port=port=
[-
]:proto=
{ :toport=
[-
] | :toaddr= | :toport=
[-
]:toaddr= }
查詢區域的端口轉發或者端口映射
firewall-cmd [--zone=] --query-forward-port=port=
[-
]:proto=
{ :toport=
[-
] | :toaddr= | :toport=
[-
]:toaddr= }
如果啟用，此指令将有傳回值。沒有輸出資訊。
例: 将區域 home 的 ssh 轉發到 127.0.0.2
firewall-cmd --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2 處理永久區域
永久選項不直接影響運作時的狀态。這些選項僅在重載或者重新開機服務時可用。為了使用運作時和永久設定，需要分别設定兩者。 選項 --permanent 需要是永久設定的第一個參數。
擷取永久選項所支援的服務
firewall-cmd --permanent --get-services 擷取永久選項所支援的ICMP類型清單
firewall-cmd --permanent --get-icmptypes 擷取支援的永久區域
firewall-cmd --direct --get-rules { ipv4 | ipv6 | eb } 擷取表
中所有增加到鍊 的規則，并用換行分隔。
如果啟用，此指令将有傳回值。此指令沒有輸出資訊。
firewall-cmd --direct --query-rule { ipv4 | ipv6 | eb } 查詢 帶參數 的鍊 是否存在表
中. 如果是，傳回0,否則傳回1.
firewall-cmd --direct --remove-rule { ipv4 | ipv6 | eb } 從表
中删除帶參數 的鍊 。
firewall-cmd --direct --add-rule { ipv4 | ipv6 | eb }
為表
增加一條參數為 的鍊 ，優先級設定為 。
firewall-cmd --direct --get-chains { ipv4 | ipv6 | eb } 擷取用空格分隔的表
中鍊的清單。
如果啟用，此指令将有傳回值。此指令沒有輸出資訊。
firewall-cmd --direct --query-chain { ipv4 | ipv6 | eb } 查詢 鍊是否存在與表
. 如果是，傳回0,否則傳回1.
firewall-cmd --direct --remove-chain { ipv4 | ipv6 | eb } 從表
中删除鍊 。
firewall-cmd --direct --add-chain { ipv4 | ipv6 | eb } 為表
增加一個新鍊 。
firewall-cmd --direct --passthrough { ipv4 | ipv6 | eb } 将指令傳遞給防火牆。參數 可以是 iptables, ip6tables 以及 ebtables 指令行參數。
選項 --direct 需要是直接選項的第一個參數。
直接選項主要用于使服務和應用程式能夠增加規則。 規則不會被儲存，在重新加載或者重新開機之後必須再次送出。傳遞的參數 與 iptables, ip6tables 以及 ebtables 一緻。
直接選項
firewall-cmd --permanent --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2 例: 将 home 區域的 ssh 服務轉發到 127.0.0.2
如果服務啟用，此指令将有傳回值。此指令沒有輸出資訊。
firewall-cmd --permanent [--zone=] --query-forward-port=port=
[-
]:proto=
{ :toport=
[-
] | :toaddr= | :toport=
[-
]:toaddr= }
查詢區域的端口轉發或者端口映射狀态
firewall-cmd --permanent [--zone=] --remove-forward-port=port=
[-
]:proto=
{ :toport=
[-
] | :toaddr= | :toport=
[-
]:toaddr= }
永久禁止區域的端口轉發或者端口映射
端口可以映射到另一台主機的同一端口，也可以是同一主機或另一主機的不同端口。端口号可以是一個單獨的端口 或者是端口範圍 - 。協定可以為 tcp 或udp 。目标端口可以是端口号 或者是端口範圍 - 。目标位址可以是 IPv4 位址。受核心限制，端口轉發功能僅可用于IPv4。
firewall-cmd --permanent [--zone=] --add-forward-port=port=
[-
]:proto=
{ :toport=
[-
] | :toaddr= | :toport=
[-
]:toaddr= }
在區域中永久啟用端口轉發或映射
firewall-cmd --permanent --zone=public --add-icmp-block=echo-reply 例: 阻塞公共區域中的響應應答封包:
如果服務啟用，此指令将有傳回值。此指令沒有輸出資訊。
firewall-cmd --permanent [--zone=] --query-icmp-block= 查詢區域中的ICMP永久狀态
firewall-cmd --permanent [--zone=] --remove-icmp-block= 永久禁用區域中的ICMP阻塞
此舉将啟用選中的 Internet 控制封包協定 （ICMP） 封包進行阻塞。 ICMP 封包可以是請求資訊或者建立的應答封包或錯誤應答封包。
firewall-cmd --permanent [--zone=] --add-icmp-block= 永久啟用區域中的ICMP阻塞
如果服務啟用，此指令将有傳回值。此指令沒有輸出資訊。
firewall-cmd --permanent [--zone=] --query-masquerade 查詢區域中的僞裝的永久狀态
firewall-cmd --permanent [--zone=] --remove-masquerade 永久禁用區域中的僞裝
此舉啟用區域的僞裝功能。私有網絡的位址将被隐藏并映射到一個公有IP。這是位址轉換的一種形式，常用于路由。由于核心的限制，僞裝功能僅可用于IPv4。
firewall-cmd --permanent [--zone=] --add-masquerade 永久啟用區域中的僞裝
firewall-cmd --permanent --zone=home --add-port=443/tcp 例: 永久啟用 home 區域中的 https (tcp 443) 端口
如果服務啟用，此指令将有傳回值。此指令沒有輸出資訊。
firewall-cmd --permanent [--zone=] --query-port=
[-
]/
查詢區域中的端口-協定組合是否永久啟用
firewall-cmd --permanent [--zone=] --remove-port=
[-
]/
永久禁用區域中的一個端口-協定組合
firewall-cmd --permanent [--zone=] --add-port=
[-
]/
永久啟用區域中的一個端口-協定組合
firewall-cmd --permanent --zone=home --add-service=ipp-client 例: 永久啟用 home 區域中的 ipp-client 服務
如果服務啟用，此指令将有傳回值。此指令沒有輸出資訊。
firewall-cmd --permanent [--zone=] --query-service= 查詢區域中的服務是否啟用
firewall-cmd --permanent [--zone=] --remove-service= firewall-cmd --permanent [--zone=] --add-service= firewall-cmd --permanent --get-zones
firewall-cmd --permanent --get-zones ![linux-svn解除安裝與安裝[圖]](data:image/gif;base64,R0lGODlhAQABAIAAAP///wAAACwAAAAAAQABAAACAkQBADs=)