centos防火墙安全级别怎么设置

在CentOS中，防火墙的设置和管理主要通过firewalld这个工具来完成。firewalld是一个动态管理防火墙的工具，它使用区域（zones）来定义不同的网络环境，并为每个区域设置相应的安全策略。以下是如何设置CentOS防火墙安全级别的基本步骤：

1. 查看防火墙状态

首先，确保防火墙服务已经启动并正在运行。可以使用以下命令查看防火墙状态：

sudo systemctl status firewalld

2. 设置防火墙开机自启

如果希望防火墙在系统启动时自动运行，可以使用以下命令设置开机自启：

sudo systemctl enable firewalld

3. 配置防火墙区域

firewalld使用区域来定义不同的网络环境，如公共网络、内部网络和信任网络等。每个区域都有自己的防火墙规则集合。可以使用以下命令查看当前活动的区域：

sudo firewall-cmd get-active-zones

4. 添加端口规则

假设我们需要开放TCP协议的80端口（HTTP）和443端口（HTTPS），可以使用以下命令添加规则：

sudo firewall-cmd --permanent --zone=public --add-port=80/tcp
sudo firewall-cmd --permanent --zone=public --add-port=443/tcp

这里，--zone=public指定了规则适用的区域，--add-port=80/tcp表示添加80端口的TCP协议规则，--permanent表示这些规则是永久生效的，即系统重启后仍然有效。

5. 重载防火墙配置

添加完规则后，需要重新加载防火墙配置以使新规则生效：

sudo firewall-cmd --reload

6. 设置安全级别

firewalld本身并没有直接提供设置“安全级别”的命令，但可以通过定义不同的区域和规则来间接实现这一需求。例如，可以创建一个名为“信任”的区域，只允许信任网络内部的访问，而创建一个名为“公共”的区域，允许外部网络访问。

sudo firewall-cmd --new-zone=trusted --set-description="Trusted Zone"
sudo firewall-cmd --new-zone=public --set-description="Public Zone"

然后将特定的服务或端口添加到相应的区域中。

7. 禁用某个IP或IP地址段的访问

如果需要禁用某个IP或IP地址段的访问，可以使用--rich-rule参数来添加规则：

sudo firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.0.100' port protocol='tcp' port='80' reject"

这条命令会拒绝来自IP地址192.168.0.100的TCP 80端口的访问。