7、Firewalld富规则策略
7.1、Rule基本介绍
firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置
优先级在所有的防火墙策略中也是最高的
7.2、Rule命令语法
#富规则相关命令
--add-rich-rule='<RULE>' #在指定的区添加一条富规则
--remove-rich-rule='<RULE>' #在指定的区删除一条富规则
--query-rich-rule='<RULE>' #找到规则返回0，找不到返回1
--list-rich-rule #列出指定区里的所有富规则
7.3、Rule执行顺序
7.4、Rule场景示例1
1、比如允许10.0.0.主机能够访问http服务，允许172.16.1.0/24能访问10050端口
firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 service name=http accept'
firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 port port="10050" protocol="tcp" accept'
7.5、Rule场景示例2
默认public区域对外开放所有人能通过ssh服务连接，但拒绝172.16.1.0/24网段通过ssh连接服务器
firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.16.1.0/24 service name=ssh drop'
7.6、Rule场景示例3
使用firewalld，允许所有人能访问http,https服务，但只有10.0.0.1主机可以访问ssh服务
firewall-cmd --add-service={http,https}
firewall-cmd --remove-service=ssh
firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 service name=ssh accept'
7.7、Rule场景示例4
当用户来源IP地址是10.0.0.1主机，则将用户请求的5555端口转发至后端172.16.1.9的22端口
firewall-cmd --add-masquerate
firewall-cmd --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 forward-port port=5555 protocol=tcp to-port=22 to-addr=172.16.1.9'
