firewall-offline-cmd 是 firewalld 的一个命令行工具,专门设计用于在没有运行 firewalld 服务的环境中配置防火墙规则,这篇文章主要介绍了Linux系统之firewall-offline-cmd详解,需要的朋友可以参考下
firewall-offline-cmd 是 firewalld 的一个命令行工具，专门设计用于在没有运行 firewalld 服务的环境中配置防火墙规则。这意味着它可以在系统启动之前或当 firewalld 服务不可用时进行防火墙规则的设置。这对于需要预先配置防火墙策略的场景特别有用，例如在系统安装过程中或者网络配置阶段。
主要用途
- 离线配置：在无法运行 firewalld 的情况下（如系统未启动或处于救援模式），使用
firewall-offline-cmd 进行防火墙规则配置。 - 初始化设置：在首次部署系统时，通过该命令预设防火墙规则，确保系统在网络中上线时就具备所需的安全策略。
基本语法
firewall-offline-cmd [选项...]
选项
1. 状态管理
| 选项 | 描述 | 示例 | 注意事项 |
|---|
--enabled | 启用防火墙。如果未指定 --disabled，默认启用。 | firewall-offline-cmd --enabled | 与 --disabled 互斥。 |
--disabled | 禁用防火墙（禁用 firewalld 服务）。 | firewall-offline-cmd --disabled | 会永久禁用 firewalld。 |
--check-config | 检查永久配置（默认和系统配置）的 XML 有效性及语义。 | firewall-offline-cmd --check-config | 需结合 --system-config 使用。 |
2. 区域管理
| 选项 | 描述 | 示例 | 注意事项 |
|---|
--get-default-zone | 获取默认区域。 | firewall-offline-cmd --get-default-zone | 默认区域影响未指定区域的连接和接口。 |
--set-default-zone=zone | 设置默认区域。 | firewall-offline-cmd --set-default-zone=public | 修改后会影响所有使用默认区域的连接和接口。 |
--get-zones | 列出所有预定义区域。 | firewall-offline-cmd --get-zones | 输出以空格分隔的区域列表。 |
--info-zone=zone | 显示指定区域的详细信息（接口、服务、端口等）。 | firewall-offline-cmd --info-zone=public | 输出格式包含接口、源地址、服务等信息。 |
3. 服务管理
| 选项 | 描述 | 示例 | 注意事项 |
|---|
[--zone=zone] --add-service=service | 在指定区域添加服务。 | firewall-offline-cmd --zone=public --add-service=http | 服务需为 firewalld 提供的预定义服务。 |
[--zone=zone] --remove-service-from-zone=service | 从指定区域移除服务。 | firewall-offline-cmd --zone=public --remove-service-from-zone=http | 服务需已存在。 |
[--zone=zone] --list-services | 列出指定区域的所有服务。 | firewall-offline-cmd --zone=public --list-services | 输出以空格分隔的服务列表。 |
4. 端口管理
| 选项 | 描述 | 示例 | 注意事项 |
|---|
[--zone=zone] --add-port=portid[-portid]/protocol | 在指定区域添加端口和协议。 | firewall-offline-cmd --zone=public --add-port=8080/tcp | 协议支持 tcp、udp、sctp、dccp。 |
[--zone=zone] --remove-port=portid[-portid]/protocol | 从指定区域移除端口和协议。 | firewall-offline-cmd --zone=public --remove-port=8080/tcp | 端口需已存在。 |
[--zone=zone] --list-ports | 列出指定区域的所有端口。 | firewall-offline-cmd --zone=public --list-ports | 输出格式为 端口/协议。 |
5. ICMP 阻断
| 选项 | 描述 | 示例 | 注意事项 |
|---|
[--zone=zone] --add-icmp-block=icmptype | 在指定区域添加 ICMP 阻断类型。 | firewall-offline-cmd --zone=public --add-icmp-block=echo-request | 需使用 firewall-cmd --get-icmptypes 查询支持的 ICMP 类型。 |
[--zone=zone] --remove-icmp-block=icmptype | 从指定区域移除 ICMP 阻断类型。 | firewall-offline-cmd --zone=public --remove-icmp-block=echo-request | ICMP 类型需已存在。 |
6. IP 转发与 NAT
| 选项 | 描述 | 示例 | 注意事项 |
|---|
[--zone=zone] --add-forward-port=port=...:proto=...:toaddr=... | 添加 IPv4 端口转发规则。 | firewall-offline-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=192.168.1.100 | 仅支持 IPv4，IPv6 需使用富语言。 |
[--zone=zone] --remove-forward-port=port=...:proto=...:toaddr=... | 移除 IPv4 端口转发规则。 | firewall-offline-cmd --zone=public --remove-forward-port=port=80:proto=tcp:toaddr=192.168.1.100 | 需完全匹配规则。 |
7. 接口绑定
| 选项 | 描述 | 示例 | 注意事项 |
|---|
[--zone=zone] --add-interface=interface | 将接口绑定到指定区域。 | firewall-offline-cmd --zone=public --add-interface=eth0 | 接口需存在且未绑定其他区域。 |
[--zone=zone] --change-interface=interface | 修改接口所属区域。 | firewall-offline-cmd --zone=public --change-interface=eth0 | 若接口未绑定，行为等同于 --add-interface。 |
8. 源地址绑定
| 选项 | 描述 | 示例 | 注意事项 |
|---|
| `[–zone=zone] --add-source=source[/mask] | MAC | ipset:ipset` | 将源地址绑定到指定区域。 |
9. IPSet 管理
| 选项 | 描述 | 示例 | 注意事项 |
|---|
--new-ipset=ipset --type=type | 创建新的永久 IPSet。 | firewall-offline-cmd --new-ipset=myset --type=hash:ip | 需指定 IPSet 类型（如 hash:ip）。 |
--ipset=ipset --add-entry=entry | 向 IPSet 添加条目。 | firewall-offline-cmd --ipset=myset --add-entry=192.168.1.100 | 条目需符合 IPSet 类型定义。 |
10. 日志记录
| 选项 | 描述 | 示例 | 注意事项 |
|---|
--set-log-denied=value | 设置拒绝日志记录方式。 | firewall-offline-cmd --set-log-denied=all | value 可为 all、unicast、broadcast、multicast、off。 |
11. 锁定功能
| 选项 | 描述 | 示例 | 注意事项 |
|---|
--lockdown-on | 启用锁定模式（限制非白名单应用修改防火墙）。 | firewall-offline-cmd --lockdown-on | 启用后需通过白名单管理权限。 |
--add-lockdown-whitelist-command=command | 添加命令到白名单。 | firewall-offline-cmd --add-lockdown-whitelist-command=/usr/bin/firewall-cmd | 命令需绝对路径，结尾 * 表示通配。 |
12. 其他高级功能
| 选项 | 描述 | 示例 | 注意事项 |
|---|
--direct --add-rule ipv4 nat POSTROUTING 0 -s 192.168.1.0/24 -j MASQUERADE | 添加直接的 iptables 规则。 | firewall-offline-cmd --direct --add-rule ipv4 nat POSTROUTING 0 -s 192.168.1.0/24 -j MASQUERADE | 需熟悉 iptables 语法，优先使用富语言。 |
--new-zone-from-file=filename | 从文件导入自定义区域配置。 | firewall-offline-cmd --new-zone-from-file=/etc/firewalld/zones/custom.xml | 文件需符合 firewalld 区域配置格式。 |
示例
1. 状态管理
1.1 启用/禁用防火墙
firewall-offline-cmd --enabled
firewall-offline-cmd --disabled
- 作用：启用或禁用防火墙（通过禁用/启用
firewalld 服务）。 - 示例：
# 启用防火墙
$ firewall-offline-cmd --enabled
# 禁用防火墙
$ firewall-offline-cmd --disabled
1.2 检查配置有效性
firewall-offline-cmd --check-config
- 作用：检查永久配置（默认和系统配置）的 XML 有效性和语义正确性。
- 用途：在修改配置文件后验证是否符合规范。
2. 区域管理
2.1 获取默认区域
firewall-offline-cmd --get-default-zone
作用：查看默认区域（新接口/源的绑定区域）。
2.2 设置默认区域
firewall-offline-cmd --set-default-zone=<zone>
- 作用：将默认区域设置为
<zone>（如 public）。 - 示例：
$ firewall-offline-cmd --set-default-zone=public
2.3 列出活动区域
firewall-offline-cmd --list-all-zones
- 作用：列出所有区域及其配置（接口、源、服务、端口等）。
2.4 查询接口所属区域
firewall-offline-cmd --get-zone-of-interface=<interface>
- 作用：查看接口
<interface> 所属的区域。 - 示例：
$ firewall-offline-cmd --get-zone-of-interface=eth0public
2.5 查询源地址所属区域
firewall-offline-cmd --get-zone-of-source=<source>
- 作用：查看源地址
<source>（IP/MAC/ipset）所属的区域。 - 示例：
$ firewall-offline-cmd --get-zone-of-source=192.168.1.100home
3. 服务管理
3.1 添加服务到区域
firewall-offline-cmd [--zone=<zone>] --add-service=<service>
- 作用：将服务
<service>（如 http）添加到指定区域（默认区域或通过 --zone 指定）。 - 示例：
$ firewall-offline-cmd --zone=public --add-service=http
3.2 移除服务
firewall-offline-cmd [--zone=<zone>] --remove-service-from-zone=<service>
$ firewall-offline-cmd --zone=public --remove-service-from-zone=http
3.3 查询服务是否启用
firewall-offline-cmd [--zone=<zone>] --query-service=<service>
- 作用：检查服务是否在区域中启用。
- 返回值：
0（启用）、1（未启用）。
4. 端口管理
4.1 添加端口到区域
firewall-offline-cmd [--zone=<zone>] --add-port=<portid[-portid]/protocol>
- 作用：开放指定端口和协议（如
80/tcp）。 - 示例：
$ firewall-offline-cmd --zone=public --add-port=80/tcp
4.2 移除端口
firewall-offline-cmd [--zone=<zone>] --remove-port=<portid[-portid]/protocol>
$ firewall-offline-cmd --zone=public --remove-port=80/tcp
4.3 列出区域端口
firewall-offline-cmd [--zone=<zone>] --list-ports
作用：查看区域中开放的端口列表。
5. 协议管理
5.1 添加协议到区域
firewall-offline-cmd [--zone=<zone>] --add-protocol=<protocol>
$ firewall-offline-cmd --zone=public --add-protocol=icmp
5.2 移除协议
firewall-offline-cmd [--zone=<zone>] --remove-protocol=<protocol>
作用：禁止指定协议。
6. ICMP 类型管理
6.1 阻止 ICMP 类型
firewall-offline-cmd [--zone=<zone>] --add-icmp-block=<icmptype>
- 作用：阻止特定 ICMP 类型（如
echo-request）。 - 示例：
$ firewall-offline-cmd --zone=public --add-icmp-block=echo-request
6.2 移除 ICMP 阻止
firewall-offline-cmd [--zone=<zone>] --remove-icmp-block=<icmptype>
7. 转发端口
7.1 添加端口转发
firewall-offline-cmd [--zone=<zone>] --add-forward-port=port=<port>:proto=<protocol>[:toport=<port>][:toaddr=<address>]
$ firewall-offline-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.100
7.2 移除端口转发
firewall-offline-cmd [--zone=<zone>] --remove-forward-port=port=<port>:proto=<protocol>[:toport=<port>][:toaddr=<address>]
8. 富规则（Rich Rules）
8.1 添加富规则
firewall-offline-cmd [--zone=<zone>] --add-rich-rule='<rule>'
- 作用：添加复杂规则（如基于源地址、端口、服务的组合规则）。
- 示例：
$ firewall-offline-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
8.2 移除富规则
firewall-offline-cmd [--zone=<zone>] --remove-rich-rule='<rule>'
9. 永久配置
9.1 保存运行时配置
firewall-offline-cmd 默认操作的是 永久配置，无需额外保存。
9.2 永久配置选项
所有命令默认操作永久配置（如 --add-service 直接修改永久配置文件）。
10. 高级功能
10.1 IPset 管理 创建 IPset：
firewall-offline-cmd --new-ipset=<ipset> --type=<type>
添加条目：
firewall-offline-cmd --ipset=<ipset> --add-entry=<entry>
10.2 直接规则（Direct Rules）
firewall-offline-cmd --direct --passthrough <ipv4|ipv6|eb> <args>
- 作用：直接调用
iptables/ip6tables 命令。 - 示例：
$ firewall-offline-cmd --direct --passthrough ipv4 '-A INPUT -p tcp --dport 22 -j ACCEPT'
11. 锁定模式（Lockdown）
11.1 启用锁定
firewall-offline-cmd --lockdown-on
作用：限制只有白名单内的程序可修改防火墙规则。
11.2 添加白名单命令
firewall-offline-cmd --add-lockdown-whitelist-command=<command>
12. 常见错误代码
| 代码 | 含义 |
|---|
| 0 | 成功 |
| 11 | 已启用（ALREADY_ENABLED） |
| 12 | 未启用（NOT_ENABLED） |
| 252 | 服务未运行（NOT_RUNNING） |
| 253 | 权限不足（NOT_AUTHORIZED） |
| 254 | 未知错误（UNKNOWN_ERROR） |
13. 示例汇总
13.1 开放 HTTP 服务
# 添加 HTTP 服务到默认区域$ firewall-offline-cmd --add-service=http
13.2 配置端口转发
# 配置 IPv4 端口转发$ firewall-offline-cmd --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.100
13.3 限制源地址访问
# 添加富规则限制源地址访问 SSH$ firewall-offline-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept'
这篇文章主要介绍了wamp2.2e 64位 curl 开启不了的解决办法,需要的朋友可以参考下2014-12-12
本篇文章主要介绍了centos把网卡名称修改为eth0，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧2017-02-02
这篇文章主要介绍了Linux企业运维人员常用的150个命令（欢迎补充），具体多少个来着，我也没数。分享给大家，供需要的朋友参考。2017-10-10
这篇文章主要介绍了Linux如何启动SELinux问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2024-02-02
这篇文章主要介绍了Linux服务器上安装Python3，本文通过两种方式给大家详解,需要的朋友可以参考下2019-11-11
这篇文章主要介绍了清除CentOS 6或CentOS 7上的磁盘空间的方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2019-05-05
很多云VPS系统盘，也就是根目录（系统盘）都是10个G，宝塔安装完整环境基本5个G没有了，用了不到几个月，随着日志文件等乱七八糟的东西增加，面板就提示根目录低于1个G，随后mysql就莫名其妙挂掉，这里就为大家分享一下将面板安装到别的目录的方法2018-05-05
这篇文章主要介绍了如何在Apache中设置目录禁止访问，非常的简单实用，有需要的朋友可以参考下2014-11-11
今天小编就为大家分享一篇关于一条命令让你明白shell中read命令的常用参数，小编觉得内容挺不错的，现在分享给大家，具有很好的参考价值，需要的朋友一起跟随小编来看看吧2019-03-03
最新评论