windows，linux防火墙配置

一.windows 2008及R2防火墙配置；
1.放行端口：
分为入站规则：发布服务端口（供外部访问如80，443等）
    出站规则：相当于该服务器出去的流量（如服务器浏览器访问百度，ping 公网地址等）


2.规则匹配顺序：自上而下，先匹配粒度精确的，后匹配范围大的。
    入站方向：默认最后一条拒绝所有，允许放行个别流量。
    出站规则：默认放行所有，拒绝个别流量。


3.开启不予许例外策略，防火墙启动将使所有的流量无法通过。（入站方向）


4.默认情况下其他策略，可以全部禁用，使用起作用的策略。


5.验证工具：windows下scanport 查看端口开放情况，linux下使用nmap端口扫描工具。




二.linux下防火墙的配置
1.关闭IP转发功能：echo 0 > /proc/sys/net/ipv4/ip_forward（内存生效）
  修改/etc/sysctl.conf文件 net.ipv4.ip_forward = 0 （永久关闭） （1：打开转发功能，0：关闭转发功能）


2.应用范围：入站，出站规则；
防火墙默认策略： 
入站规则：默认最后一条拒绝所有，允许放行个别流量。
出站规则：默认放行所有，拒绝个别流量。


注意：linux防火墙有各种状态标签，配置时特别需要注意这种标签参数所代表的含义对策略的影响。
example 1：
[root@localhost ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           


Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         


Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp 
REJECT     udp  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-port-unreachable 


[root@localhost ~]# iptables -L -n -v
Chain INPUT (policy ACCEPT 17442 packets, 912K bytes)
 pkts bytes target     prot opt in     out     source               destination         
    1    52 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
    4   172 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           


Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         


Chain OUTPUT (policy ACCEPT 17051 packets, 690K bytes)
 pkts bytes target     prot opt in     out     source               destination         
  379 22740 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    2   216 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp 
    0     0 REJECT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-port-unreachable