ESXi ESXCLI 防火墙命令详解
本文档概述了用于在命令行界面配置 ESXi 防火墙的 ESXCLI 命令。 您可以通过 ESXi Shell 或 vSphere CLI 使用这些命令实现防火墙配置的自动化。 更多详细信息，请参考 VMware 官方文档《vSphere Command-Line Interface 入门》和《vSphere Command-Line Interface 概念和示例》，以及 VMware 知识库文章 2008226（关于创建自定义防火墙规则）。
ESXi 防火墙命令列表
下表列出了常用的 ESXCLI 防火墙命令及其功能：
| 命令 | 描述 |
|---|---|
esxcli network firewall get |
获取防火墙的启用状态和默认操作。 |
esxcli network firewall set --default-action |
设置默认操作为允许 (true) 或拒绝 (false)。 |
esxcli network firewall set --enabled |
启用 (true) 或禁用 (false) ESXi 防火墙。 |
esxcli network firewall load |
加载防火墙模块和规则集配置文件。 |
esxcli network firewall refresh |
刷新防火墙配置（如果防火墙模块已加载）。 |
esxcli network firewall unload |
卸载防火墙模块。 |
esxcli network firewall ruleset list |
列出所有规则集信息。 |
esxcli network firewall ruleset set --allowed-all |
设置规则集是否允许所有 IP 地址访问 (true) 或仅允许指定 IP 地址访问 (false)。 ruleset_id 为规则集 ID。 |
esxcli network firewall ruleset set --enabled |
启用 (true) 或禁用 (false) 指定的规则集。 ruleset_id 为规则集 ID。 |
esxcli network firewall ruleset allowedip list --ruleset-id= |
列出指定规则集允许的 IP 地址。 ruleset_id 为规则集 ID。 |
esxcli network firewall ruleset allowedip add --ip-address= |
为指定规则集添加允许的 IP 地址或 IP 地址范围。 ruleset_id 为规则集 ID， |
esxcli network firewall ruleset allowedip remove --ip-address= |
从指定规则集中移除允许的 IP 地址或 IP 地址范围。 ruleset_id 为规则集 ID， |
esxcli network firewall ruleset rule list --ruleset-id= |
列出指定规则集中的所有规则。 ruleset_id 为规则集 ID。 |
防火墙命令示例
以下示例基于virtuallyGhetto博客文章中的内容：
-
验证规则集: 使用
esxcli network firewall ruleset rule list | grep virtuallyGhetto命令验证名为 "virtuallyGhetto" 的规则集是否存在。 -
配置特定 IP 访问: 以下命令禁用 "allow all" 选项，并为 "virtuallyGhetto" 规则集指定允许的 IP 地址范围 172.30.0.0/24：
esxcli network firewall ruleset set --allowed-all false --ruleset-id=virtuallyGhetto esxcli network firewall ruleset allowedip add --ip-address=172.30.0.0/24 --ruleset-id=virtuallyGhetto
请注意，以上命令需要在 ESXi 主机上使用 ESXi Shell 或 vSphere CLI 执行。 在执行任何命令之前，请务必备份您的 ESXi 配置。
