本篇文章给大家谈谈新的linux防火墙-nft-带有串联和间隔的映射似乎不起作用，以及linux防火墙放行连续端口的知识点，同时本文还将给你拓展Linux7.x防火墙&端口、LinuxCenOS7防火

本篇文章给大家谈谈新的 linux 防火墙 - nft - 带有串联和间隔的映射似乎不起作用，以及linux防火墙放行连续端口的知识点，同时本文还将给你拓展Linux 7.x 防火墙&端口、Linux CenOS 7 防火墙 端口 systemctl 操作项、Linux CentOS 7 防火墙 / 端口设置【转发】、Linux CentOS 7 防火墙/端口设置等相关知识，希望对各位有所帮助，不要忘了收藏本站喔。

• 新的 linux 防火墙 - nft - 带有串联和间隔的映射似乎不起作用（linux防火墙放行连续端口）
• Linux 7.x 防火墙&端口
• Linux CenOS 7 防火墙 端口 systemctl 操作项
• Linux CentOS 7 防火墙 / 端口设置【转发】
• Linux CentOS 7 防火墙/端口设置

新的 linux 防火墙 - nft - 带有串联和间隔的映射似乎不起作用（linux防火墙放行连续端口）

如何解决新的 linux 防火墙 - nft - 带有串联和间隔的映射似乎不起作用

你好 linux 防火墙大师，

我正在尝试从基于 iptables 的防火墙迁移到 nft。我发现集合/映射/连接非常有用，但现在我试图将更多的概念结合在一起......但它对我来说并不像我认为的那样工作。我想标记某些数据包以备后用。我在网络上有一些主机，它们由：输入接口、MAC 地址、IP 地址（或 IP 网络）标识。当然我可以逐案标记，但这里的地图似乎更好。

让我举一些例子来说明什么对我不起作用。这就是我加载包含一些 defs 的文件并将其从内核转储的方式（在 nft list ruleset 下）：

$ cat example.nft 
flush ruleset

table ip filter {

    set s1 {
        type iface_index . ether_addr . ipv4_addr
        flags interval
        elements = {
            "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1,"lan" . aa:aa:aa:aa:aa:02 . 10.1.1.2,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24
        }
    }

    map m1 {
        type ipv4_addr : mark;
        flags interval;
        elements = {
            10.1.1.1 : 1,10.1.1.2 : 2,10.1.2.0/24 : 3
        }
    }

    map m2 {
        type iface_index . ether_addr . ipv4_addr : mark;
        elements = {
            "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1 : 1,"lan" . aa:aa:aa:aa:aa:02 . 10.1.1.2 : 2,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24 : 3
        }
    }

    map m3 {
        type iface_index . ether_addr . ipv4_addr : mark;
        flags interval;
        elements = {
            "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1 : 1,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24 : 3
        }
    }

}
$ nft -f example.nft 
$ nft list ruleset
table ip filter {
        set s1 {
                type iface_index . ether_addr . ipv4_addr
                flags interval
                elements = { "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24 }
        }

        map m1 {
                type ipv4_addr : mark
                flags interval
                elements = { 10.1.1.1 : 0x00000001,10.1.1.2 : 0x00000002,10.1.2.0/24 : 0x00000003 }
        }

        map m2 {
                type iface_index . ether_addr . ipv4_addr : mark
                elements = { "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1 : 0x00000001,"lan" . aa:aa:aa:aa:aa:02 . 10.1.1.2 : 0x00000002,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0 : 0x00000003 }
        }

        map m3 {
                type iface_index . ether_addr . ipv4_addr : mark
                flags interval
                elements = { "lan" . aa:aa:aa:aa:aa:01-aa:aa:aa:aa:aa:02 . 10.1.1.1-10.1.1.2 : 0x00000002,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0 : 0x00000003 }
        }
}

Set s1 在我的 lan 界面上显示“主机定义” - 2 台主机具有 1 个 IP 地址，1 台主机具有整个 /24 网络。从内核转储就像它应该的那样。效果很好！

Map m1 显示 map 可以使用间隔。这里也没有问题。

Map m2 表明 map 可以与串联一起使用。 m2 的转储版本看起来不错，但没有正确显示第三行：10.1.2.0 代替 10.1.2.0/24。但这是意料之中的，因为 m2 不使用间隔标志。

Map m1 在源文件中显示了我想要的内容 - 但不像您在转储中看到的那样工作。我想要一个映射，用各自的值标记每个元素（三元组：接口、MAC、IP 或 IPnet）。但是当它从内核中出来时，它与加载的配置完全不同。

最后我的问题是：如何使 map 与串联和间隔一起工作？

谢谢。

PS：这是在 linux 5.10.2 上。

Linux 7.x 防火墙&端口

Linux 7.x 防火墙&端口

　　查看当前防火墙的状态：

　　　　# firewall-cmd --state

　　　也可以使用指令：systemctl status firewall.service

　　启动防火墙

　　# systemctl start firewalld

　　关闭防火墙

　　# systemctl stop firewalld

　　重启防火墙

　　# systemctl restart firewalld

　　或者

　　# firewall-cmd --reload

　　查看已经开放的端口：

　　# firewall-cmd --list-ports

　　或者 查看配置文件（/etc/firewalld/zones/public.xml）

　　# cat /etc/firewalld/zones/public.xml

　　查询3306端口是否释放

　　# firewall-cmd --zone=public --query-port=3306/tcp      查询的结果输出：yes 或者 no

　　添加一个新的端口（释放对外提供端口：3306）

　　# firewall-cmd --zone=public --add-port=3306/tcp --permanent

　　添加一组连续的端口（释放对外提供端口：3306、3307、3308）

　　# firewall-cmd --zone=public --add-port=3306-3308/tcp --permanent

　　注意：

　　　　在进行添加端口后（对外释放端口操作后），需要重启一下防火墙。

　　　　# firewall-cmd --reload     重启操作

　　　　# firewall-cmd --list-ports    查看释放的端口.

　　关闭端口

　　# firewall-cmd --zone=public --remove-port=3306/tcp --permanent

Linux CenOS 7 防火墙 端口 systemctl 操作项

CenOS 7 防火墙 端口 systemctl 操作项

Linux CentOS 7 防火墙 / 端口设置【转发】

CentOS 升级到 7 之后用 firewall 代替了 iptables 来设置 Linux 端口，

下面是具体的设置方法：

[]：选填

<>：必填

[<zone>]：作用域（block、dmz、drop、external、home、internal、public、trusted、work）

<port>：端口号

[-<port>]：或者端口范围

<protocol>：端口协议（tcp、udp）

[<seconds>]：过期时间，使用 N 秒后自动关闭（秒）

[--permanent]：永久设置，在重启后依然保证设置可用，如果不加此项，重启后端口会恢复关闭状态

注：设置端口后要重启防火墙使其生效 firewall-cmd --reload

1、检查端口状态

yes：已开通

no：未开通

firewall-cmd --query-port=<port>[-<port>]/<protocol>

firewall-cmd [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>

firewall-cmd [--permanent] [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>

 查看已开放的端口

firewall-cmd --zone=public --list-ports

2、启用端口

success：执行成功

warning：警告 xxx

firewall-cmd --add-port=<port>[-<port>]/<protocol>

firewall-cmd [--zone=<zone>] --add-port=<port>[-<port>]/<protocol> [--timeout=<seconds>]

firewall-cmd [--permanent] [--zone=<zone>] --add-port=<port>[-<port>]/<protocol>

3、禁用端口 

success：执行成功

warning：警告 xxx

firewall-cmd --remove-port=<port>[-<port>]/<protocol>

firewall-cmd [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>

firewall-cmd [--permanent] [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>

4、防火墙相关

--reload：不改变状态的条件下重启防火墙

--complete-reload：状态信息将会丢失，当防火墙有问题时可以使用，如，状态信息和防火墙规则都正常却无法建立任何链接的情况等

firewall-cmd --reload
firewall-cmd --complete-reload

查看防火墙状态

firewall-cmd --state

查看、打开、关闭应急模式（应急模式阻断所有网络连接，防止出现紧急状况）

firewall-cmd --query-panic
firewall-cmd --panic-on
firewall-cmd --panic-off

打开、关闭、重启防火墙 

systemctl stop firewalld
systemctl start firewalld
systemctl restart firewalld

 开启 / 关闭 开机自启动防火墙

systemctl enable firewalld
systemctl disable firewalld

 原文：https://www.cnblogs.com/taiyonghai/p/5825578.html

Linux CentOS 7 防火墙/端口设置

CentOS升级到7之后用firewall代替了iptables来设置Linux端口，

下面是具体的设置方法：

[]：选填

<>：必填

[<zone>]：作用域（block、dmz、drop、external、home、internal、public、trusted、work）

<port>：端口号

[-<port>]：或者端口范围

<protocol>：端口协议（tcp、udp）

[<seconds>]：过期时间，使用N秒后自动关闭（秒）

[--permanent]：永久设置，在重启后依然保证设置可用，如果不加此项，重启后端口会恢复关闭状态

注：设置端口后要重启防火墙使其生效 firewall-cmd --reload

1、检查端口状态

yes：已开通

no：未开通

firewall-cmd --query-port=<port>[-<port>]/<protocol>

firewall-cmd [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>

firewall-cmd [--permanent] [--zone=<zone>] --query-port=<port>[-<port>]/<protocol>

 查看已开放的端口

firewall-cmd --zone=public --list-ports

2、启用端口

success：执行成功

warning：警告xxx

firewall-cmd --add-port=<port>[-<port>]/<protocol>

firewall-cmd [--zone=<zone>] --add-port=<port>[-<port>]/<protocol> [--timeout=<seconds>]

firewall-cmd [--permanent] [--zone=<zone>] --add-port=<port>[-<port>]/<protocol>

3、禁用端口 

success：执行成功

warning：警告xxx

firewall-cmd --remove-port=<port>[-<port>]/<protocol>

firewall-cmd [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>

firewall-cmd [--permanent] [--zone=<zone>] --remove-port=<port>[-<port>]/<protocol>

4、防火墙相关

--reload：不改变状态的条件下重启防火墙

--complete-reload：状态信息将会丢失，当防火墙有问题时可以使用，如，状态信息和防火墙规则都正常却无法建立任何链接的情况等

firewall-cmd --reload
firewall-cmd --complete-reload

查看防火墙状态

firewall-cmd --state

查看、打开、关闭应急模式（应急模式阻断所有网络连接，防止出现紧急状况）

firewall-cmd --query-panic
firewall-cmd --panic-on
firewall-cmd --panic-off

打开、关闭、重启防火墙 

systemctl stop firewalld
systemctl start firewalld
systemctl restart firewalld

 开启/关闭 开机自启动防火墙

systemctl enable firewalld
systemctl disable firewalld

我们今天的关于新的 linux 防火墙 - nft - 带有串联和间隔的映射似乎不起作用和linux防火墙放行连续端口的分享已经告一段落，感谢您的关注，如果您想了解更多关于Linux 7.x 防火墙&端口、Linux CenOS 7 防火墙 端口 systemctl 操作项、Linux CentOS 7 防火墙 / 端口设置【转发】、Linux CentOS 7 防火墙/端口设置的相关信息，请在本站查询。