七月学习之Firewalld富规则策略

7、Firewalld富规则策略

7.1、Rule基本介绍

firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置
优先级在所有的防火墙策略中也是最高的

7.2、Rule命令语法

#富规则相关命令
--add-rich-rule='<RULE>'     #在指定的区添加一条富规则
--remove-rich-rule='<RULE>'  #在指定的区删除一条富规则
--query-rich-rule='<RULE>'   #找到规则返回0，找不到返回1
--list-rich-rule             #列出指定区里的所有富规则

7.3、Rule执行顺序

7.4、Rule场景示例1

1、比如允许10.0.0.主机能够访问http服务，允许172.16.1.0/24能访问10050端口
firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 service name=http accept'
firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 port port="10050" protocol="tcp" accept'

7.5、Rule场景示例2

默认public区域对外开放所有人能通过ssh服务连接，但拒绝172.16.1.0/24网段通过ssh连接服务器
firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 service name=ssh drop'

7.6、Rule场景示例3

使用firewalld，允许所有人能访问http,https服务，但只有10.0.0.1主机可以访问ssh服务
firewall-cmd --add-service={http,https}
firewall-cmd --remove-service=ssh
firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 service name=ssh accept'

7.7、Rule场景示例4

当用户来源IP地址是10.0.0.1主机，则将用户请求的5555端口转发至后端172.16.1.9的22端口
firewall-cmd --add-masquerate
firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 forward-port port=5555 protocol=tcp to-port=22 to-addr=172.16.1.9'