Linux学习（7）：iptables与firewalld防火墙

iptables

iptables是一款基于命令行的防火墙策略管理工具

iptables服务的术语有：ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、FROP（拒绝流量通过）

DROP与REJECT的区别：DROP动作是丢包，不响应；REJECT是拒绝请求，同时向发送方会送拒绝信息

参数：

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加人新规则
-I num	在规则链的头部加人新规则
-D num	删除某一条规则
-s	匹配来源地址 IP/MASK，加叹号“!”表示除这个IP外
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-P	匹配协议，如 TCP、UDP、ICMP
-j	用于指定匹配规则执行的目标动作。如ACCEPT、DROP、REJECT、LOG、SNAT、DNAT
–dport num	匹配目标端口号
–sport num	匹配来源端口号

向INPUT规则链中添加一条允许ICMP流量进入的策略规则

iptables -I INPUT -p icmp -j ACCEPT

删除INPUT规则（规则表里第一条规则）

iptables -D INPUT 1

把INPUT规则链的默认策略设置为拒绝

iptables -P INPUT DROP

将INPUT规则链设置为只允许指定网段的主机访问本机的22端口（ssh），拒绝来自其他所有主机的流量

iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT

向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则：

iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT

向INPUT规则链中添加拒绝所有主机访问本机1000-1024端口的策略规则：

iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT
iptables -A INPUT -p udp --dport 1000:1024 -j REJECT

使防火墙策略永久生效（重启则失效）

service iptables save

firewalld

firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会生效，想让策略一直存在，就要使用永久（Permanent）模式。

firewalld中常用的区域名称及策略规则：（默认为public）

区域	默认策略规则
trusted	允许所有的数据包
home	拒绝流人的流量，除非与流出的流量相关;而如果流量与 ssh、mdns、ipp-client、amba-client与dhcpv6-client 服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流量相关;而如果流量与ssh、ipp-client 与dhcpv6-client 服务相关，则允许流量
public	拒绝流人的流量，除非与流出的流量相关;而如果流量与 ssh、dhcpv6-client 服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关;而如果流量与 ssh 服务相关，则允许流量
dmz	拒绝流人的流量，除非与流出的流量相关;而如果流量与 ssh 服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

防火墙配置管理的命令行工具的CLI——firewall-cmd

参数	作用
–get-default-zone	查询默认的区域名称
–set-default-zone=<区域名称>	设置默认的区域，使其永久生效
–get-zones	显示可用的区域
–get-services	显示预先定义的服务
–get-active-zones	显示当前正在使用的区域与网卡名称
–add-source=	将源自此 IP 或子网的流量导向指定的区域
–remove-source=	不再将源自此 IP 或子网的流量导向某个指定区域
–add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域
–change-interface=<网卡名称>	将某个网卡与区域进行关联
–list-al1	显示当前区域的网卡配置参数、资源、端口以及服务等信息
–list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
–add-service=<服务名>	设置默认区域允许该服务的流量
–add-port=<端口号/协议>	设置默认区域允许该端口的流量
–remove-service=<服务名>	设置默认区域不再允许该服务的流量
–remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量
–reload	让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
–panic-on	开启应急状况模式
–panic-off	关闭应急状况模式

查询 public 区域是否允许请求SSH和HTTPS协议的流量:

[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=ssh
ves
[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=https
no

把 frewalld 服务中请求 HTTPS 协议的流量设置为永久允许，并立即生效:

[root@linuxprobe ~]# firewall-cmd --zone-public --add-service=https
success
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-service=https
success
[root@linuxprobe ~]# firewall-cmd --reload
success

把在 firewalld 服务中访间 8080和 8081 端口的流量策略设置为允许，但仅限当前生效:

[root@linuxprobe ~]# firewall-cmd --zone=public --add-port=8080-8081/tcp
success
[root@linuxprobe ~]# firewall-cmd --zone=public --list-ports
8080-8081/tcp

流量转发命令格式为 firewall-cmd–permanent–zone-<区域>-add-forward-port-port-<源端口号>;proto=<协议>:toport-<目标端口号>:toaddr-<月标IP 地址>

把原本访问本机 888 端口的流量转发到 22 端口，要且求当前和长期均有效:

[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-forward port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10
success
[root@linuxprobe ~]# firewall-cmd --reload
success

防火墙配置管理的图形化工具——firewall-config