提升网站建设品质信息基金会网站开发方案
Centos7服务器防火墙设置教程
系统环境：Centos7
首先，确保你的系统上安装了 firewalld。通常，在 CentOS 7 上，firewalld 已经预装。如果没有安装，可以通过以下命令安装：
sudo yum install firewalld
启动并设置 firewalld 在系统启动时自动启动：
sudo systemctl start firewalld
sudo systemctl enable firewalld
以下是一些防火墙的常用安全设置实例
开放Web服务端口
对于运行Web服务的服务器，通常需要开放80（HTTP）和443（HTTPS）端口。
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --reload
开放SSH端口
为了安全地远程管理服务器，需要开放SSH端口（默认22）。
firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload
开放数据库端口
如果运行MySQL/MariaDB数据库，需要开放3306端口。
firewall-cmd --permanent --add-port=3306/tcp
firewall-cmd --reload
开放DNS服务端口
运行DNS服务需要开放53端口（TCP和UDP）。
firewall-cmd --permanent --add-service=dns
firewall-cmd --reload
配置FTP服务
FTP服务通常需要开放21端口和被动模式端口范围。
firewall-cmd --permanent --add-service=ftp
firewall-cmd --permanent --add-port=30000-31000/tcp # 被动模式端口范围
firewall-cmd --reload
配置邮件服务器
邮件服务器可能需要开放多个端口，如25（SMTP）、110（POP3）、143（IMAP）等。
firewall-cmd --permanent --add-service=smtp
firewall-cmd --permanent --add-service=pop3
firewall-cmd --permanent --add-service=imap
firewall-cmd --reload
配置网络文件系统服务
网络文件系统服务需要开放2049端口和其他相关端口。
firewall-cmd --permanent --add-service=nfs
firewall-cmd --permanent --add-service=rpc-bind
firewall-cmd --permanent --add-service=mountd
firewall-cmd --reload
配置Windows文件共享服务
Windows文件共享服务需要开放137-139和445端口。
firewall-cmd --permanent --add-service=samba
firewall-cmd --reload
配置DHCP服务
DHCP服务需要开放67和68端口（UDP）。
firewall-cmd --permanent --add-service=dhcp
firewall-cmd --reload
注意事项
规则生效：在配置完所有规则后，需要重新加载firewalld以使规则生效。使用firewall-cmd --reload命令。
安全性：在开放端口时，应仅开放必要的服务端口，避免开放不必要的端口以减少安全风险。
补充：
禁用某个IP为192.168.0.100的地址禁止访问80端口：
firewall-cmd --permanent --add-rich-rule=“rule family=“ipv4” source address=“192.168.0.100” port protocol=“tcp” port=“80” reject”
firewall-cmd --reload
解除刚才被限制的192.168.0.100
firewall-cmd --permanent --add-rich-rule=“rule family=“ipv4” source address=“192.168.0.200” port protocol=“tcp” port=“80” accept”
firewall-cmd --reload
限制IP地址段
firewall-cmd --permanent --add-rich-rule=“rule family=“ipv4” source address=“172.16.1.0/24” port protocol=“tcp” port=“80” reject”
firewall-cmd --reload