firewalld针对指定ip开放指定端口

# 一、查看防火墙状态

## 1、首先查看防火墙是否开启，如未开启，需要先开启防火墙并作开机自启

systemctl status firewalld

开启防火墙并设置开机自启

systemctl start firewalld
systemctl enable firewalld

或者是 systemctl enable --now firewalld

# 二、开放或限制端口

## 1、开放端口

### （1）如我们需要开启XShell连接时需要使用的22端口

放行端口号
firewall-cmd --zone=public --add-port=22/tcp --permanent

放行协议
firewall-cmd --zone=public --add-service=ssh --permanent

其中`--permanen`t的作用是使设置永久生效，不加的话机器重启之后失效

### （2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

### （3）可通过如下命令查看是否生效

查询ssh使用的默认22端口号
firewall-cmd --zone=public --query-port=22/tcp

查询ssh这个服务本身
firewall-cmd --zone=public --query-service=ssh

### （4）如下命令可查看当前系统打开的所有端口或服务

查看端口号
firewall-cmd --zone=public --list-ports

查看协议
firewall-cmd --zone=public --list-services

## 2、限制端口

### （1）关掉打开的22端口

firewall-cmd --zone=public --remove-port=22/tcp --permanent

或者移除协议
firewall-cmd --zone=public --remove-service=ssh --permanent

### （2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

### （3）再去查看系统所有开放的端口，已经看到没有22端口了

firewall-cmd --zone=public --list-ports
firewall-cmd --zone=public --list-services

## 3、批量开放或限制端口

### （1）批量开放端口，如从100到500这之间的端口全部要打开

firewall-cmd --zone=public --add-port=100-500/tcp --permanent

### （2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

### （ 3）查看系统所有开放的端口，可以看到从100到500的端口已被全部开放

firewall-cmd --zone=public --list-ports

### （4）同理，批量限制端口为

firewall-cmd --zone=public --remove-port=100-500/tcp --permanent
firewall-cmd --reload

# 三、开放或限制IP

## 1、限制IP地址访问

### （1）限制IP为192.168.0.200的地址禁止访问80端口即禁止访问机器

firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject" --permanent

### （2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

### （3）查看已经设置的规则

firewall-cmd --zone=public --list-rich-rules

## 2、解除IP地址限制

### （1）解除刚才被限制的192.168.0.200

firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept" --permanent

或者是
firewall-cmd --zone=public --remove-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject" --permanent

增加针对某个IP进行端口开放

firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="IP地址" port port="8082" protocol="tcp" accept' --permanent

删除添加的规则(删除后也需要重启防火墙),和增加的区别是 --remove-rich-rule

firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source address="IP地址" port port="8082" protocol="tcp" accept' --permanent

### （2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

### （3）再查看规则设置发现已经没有192.168.0.200的限制了

firewall-cmd --zone=public --list-rich-rules

如设置未生效，可尝试直接编辑规则文件，删掉原来的设置规则，重新载入一下防火墙即可

vim /etc/firewalld/zones/public.xml

## 3、限制IP地址段

### （1）如我们需要限制10.0.0.0-10.0.0.255这一整个段的IP，禁止他们访问

firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" reject" --permanent

其中`10.0.0.0/24`表示为从`10.0.0.0`这个IP开始，24代表子网掩码为`255.255.255.0`，共包含256个地址，即从0-255共256个IP，即正好限制了这一整段的IP地址，具体的设置规则可参考下表

### （2）重新载入一下防火墙设置，使设置生效

firewall-cmd --reload

### （3）查看规则，确认是否生效

firewall-cmd --zone=public --list-rich-rules

### （4）同理，打开限制为

firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="80" accept" --permanent

firewall-cmd --reload

firewall-cmd --zone=public --remove-port=9999/tcp --permanent
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="171.15.115.49" port port="9999" protocol="tcp" accept' --permanent
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.2.0/24" port port="9999" protocol="tcp" accept' --permanent
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.17.17.0/24" port port="9999" protocol="tcp" accept' --permanent
firewall-cmd --reload