system - Wizard Doc

最后修改人	孙荣利
最后修改时间	2026-10-03 15:22:01
创建人	孙荣利
创建时间	2026-10-03 15:22:01

该文档由孙荣利创建于 2026-10-03 15:22:01 ，孙荣利在 2026-10-03 15:22:01 修改了该文档。

[TOCM]

## 一、简介

```text
firewalld 是 Linux（CentOS/RHEL 等）默认的动态防火墙管理工具，支持运行时/永久两种规则模式，通过 firewall-cmd 命令管理端口、服务及富规则（rich-rule）。

本文记录 firewalld 的安装、启动、端口/服务放行，以及"指定 IP 白名单放行指定端口"的富规则配置（公司出口 IP：221.0.92.88、58.57.5.154、58.57.26.218、58.57.26.222）。
```

## 二、操作步骤

#### 1. 安装 firewalld

```shell
# CentOS/RHEL 系
yum install firewalld

# Ubuntu/Debian 系
apt install firewalld
```

#### 2. 启动与开机自启

```shell
# 开启防火墙
systemctl start firewalld

# 让防火墙开机自启动
systemctl enable firewalld
```

#### 3. 查看防火墙信息

```shell
# 查看当前所有规则（区域、端口、服务、富规则、源地址）
firewall-cmd --list-all
```

#### 4. 端口放行 / 移除

```shell
# 放行 TCP 端口（--permanent：永久生效，重启不丢）
sudo firewall-cmd --permanent --add-port=8902/tcp
sudo firewall-cmd --permanent --add-port=8818/tcp

# 移除已放行的端口
sudo firewall-cmd --permanent --remove-port=8902/tcp

# 按服务放行（http/https 服务对应的标准端口）
sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --permanent --zone=public --add-service=https
# 移除服务放行
sudo firewall-cmd --permanent --zone=public --remove-service=https

# 放行监控端口 9100（node_exporter）
sudo firewall-cmd --permanent --add-port=9100/tcp

# 重新加载（永久规则改动后必须 reload 才生效）
sudo firewall-cmd --reload
```

#### 5. IP 白名单富规则（仅指定 IP 放行指定端口）

```text
格式说明：rule family="ipv4" source address="IP" port port="端口" protocol="tcp" accept
含义：允许指定源 IP 通过 TCP 访问指定端口，其余 IP 不可访问（配合默认拒绝策略实现白名单）。
以下每组 4 条为同一端口对 4 个公司出口 IP 的放行。
```

**端口 22（SSH）白名单**

```shell
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="221.0.92.88" port port="22" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.5.154" port port="22" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.26.218" port port="22" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.26.222" port port="22" protocol="tcp" accept'
```

**端口 9001 白名单**

```shell
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="221.0.92.88" port port="9001" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.5.154" port port="9001" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.26.218" port port="9001" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.26.222" port port="9001" protocol="tcp" accept'
sudo firewall-cmd --reload  # 重新加载使规则生效
```

**端口 8210 白名单**

```shell
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="221.0.92.88" port port="8210" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.5.154" port port="8210" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.26.218" port port="8210" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="58.57.26.222" port port="8210" protocol="tcp" accept'
sudo firewall-cmd --reload
```

#### 6. 移除富规则（以 9115 端口为例）

```shell
# 方式一：仅移除运行时规则（不写入永久配置，重启后规则会重新加载）
sudo firewall-cmd --remove-rich-rule='rule family="ipv4" source address="221.0.92.88" port port="9115" protocol="tcp" accept'
sudo firewall-cmd --remove-rich-rule='rule family="ipv4" source address="58.57.5.154" port port="9115" protocol="tcp" accept'
sudo firewall-cmd --remove-rich-rule='rule family="ipv4" source address="58.57.26.218" port port="9115" protocol="tcp" accept'
sudo firewall-cmd --remove-rich-rule='rule family="ipv4" source address="58.57.26.222" port port="9115" protocol="tcp" accept'

# 方式二：永久移除（推荐，重启后不再出现）
sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="221.0.92.88" port port="9115" protocol="tcp" accept'
sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="58.57.5.154" port port="9115" protocol="tcp" accept'
sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="58.57.26.218" port port="9115" protocol="tcp" accept'
sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="58.57.26.222" port port="9115" protocol="tcp" accept'
```

#### 7. 9115 端口调整（放行 GitLab 服务器 IP + 移除端口放行）

```shell
# 放行 9115 端口：仅允许 GitLab 服务器 111.231.90.76 访问
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="111.231.90.76" port port="9115" protocol="tcp" accept'
sudo firewall-cmd --reload  # 重新加载使规则生效

# 移除 9115 端口的全局放行（如之前有 add-port 放行记录）
sudo firewall-cmd --remove-port=9115/tcp --permanent
```

#### 8. 重新加载与验证

```shell
# 永久规则改动后重新加载（不中断现有连接）
firewall-cmd --reload

# 验证规则是否生效
firewall-cmd --list-all
firewall-cmd --list-rich-rules
```