Centos 7 防火墙常见命令

防火墙

centos 7 一般都没有装防火墙启动命令

[root@localhost ~]# yum -y install firewalld 

systemctl stop firewalld.service             #停止firewall
systemctl disable firewalld.service        #禁止firewall开机启动

>>> 开启端口
firewall-cmd --zone=public --add-port=80/tcp --permanent
 命令含义:
--zone #作用域
--add-port=80/tcp #添加端口,格式为:端口/通讯协议
--permanent #永久生效,没有此参数重启后失效
>>> 重启防火墙
firewall-cmd --reload

常用命令介绍
firewall-cmd --state                           ##查看防火墙状态,是否是running
firewall-cmd --reload                          ##重新载入配置,比如添加规则之后,需要执行此命令
firewall-cmd --get-zones                       ##列出支持的zone
firewall-cmd --get-services                    ##列出支持的服务,在列表中的服务是放行的
firewall-cmd --query-service ftp               ##查看ftp服务是否支持,返回yes或者no
firewall-cmd --add-service=ftp                 ##临时开放ftp服务
firewall-cmd --add-service=ftp --permanent     ##永久开放ftp服务
firewall-cmd --remove-service=ftp --permanent  ##永久移除ftp服务
firewall-cmd --add-port=80/tcp --permanent     ##永久添加80端口 
iptables -L -n                                 ##查看规则,这个命令是和iptables的相同的
man firewall-cmd                               ##查看帮助

更多命令,使用  firewall-cmd --help 查看帮助文件

>>>  CentOS 7.0默认使用的是firewall作为防火墙,使用iptables必须重新设置一下
1、直接关闭防火墙

systemctl stop firewalld.service           #停止firewall
systemctl disable firewalld.service     #禁止firewall开机启动

2、设置 iptables service
yum -y install iptables-services
如果要修改防火墙配置,如增加防火墙端口3306
vi /etc/sysconfig/iptables 
增加规则
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT

保存退出后
systemctl restart iptables.service #重启防火墙使配置生效
systemctl enable iptables.service #设置防火墙开机启动

[root@localhost ~]# yum -y install iptables-services   #这是防火墙启动命令

[root@localhost ~]# iptables -A INPUT -p tcp --dport 3306 -j ACCEPT   #允许3306端口/tcp协议

[root@localhost ~]# systemctl restart iptables.service  #启动防火墙服务

[root@localhost ~]# service iptables save   #保存防火墙规则,默认保存的这个位置/etc/sysconfig/iptables

[root@localhost ~]# vim /etc/sysconfig/iptables

防火墙规则详细解释

1基本的命令格式

Iptables  [-t 表名]  管理选项  [链名]  [匹配条件] [-j 控制类型]

表名:raw表:确定是否对该数据包进行状态跟踪

mangle表:为数据包设置标记

nat表:修改数据包中的源、目标IP地址或端口

filter表:确定是否放行该数据包(过滤)

管理选项

-A:在链的末尾追加一条规则

-I:在链的开头(或指定序号)插入一条规则

-L:列出所有的规则条目

-n:以数字形式显示地址、端口等信息

-v:以更详细的方式显示规则信息

--line-numbers:查看规则时,显示规则的序号

-D:删除链内指定序号(或内容)的一条规则

-F:清空所有的规则

-P:为指定的链设置默认规则

-h:查看命令帮助信息(--help)

-R:修改、替换(--replace)指定链中的某一条规则,可指定规则序号或具体内容

 

链名

INPUT:处理入站数据包

OUTPUT:处理出站数据包

FORWARD:处理转发数据包

POSTROUTING链:在进行路由选择后处理数据包

PREROUTING链:在进行路由选择前处理数据包

匹配条件

协议匹配:-p 协议名

地址匹配:-s 源地址、-d 目的地址

接口匹配:-i 入站网卡、-o 出站网卡

 

控制类型

ACCEPT:允许通过

DROP:直接丢弃,不给出任何回应

REJECT:拒绝通过,必要时会给出提示

LOG:记录日志信息,然后传给下一条规则继续匹配

2添加新的规则

例如:

1)iptables -t filter -A INPUT -p tcp -j ACCEPT

2)iptables -I INPUT -p udp -j ACCEPT

3查看规则列表

1)    iptables -L INPUT--line-numbers

2)    iptables -n -L INPUT //-n选项是以数字形式显示地址和端口信息。

4删除、清空规则

1)iptables -D INPUT 3 //删除filter表INPUT链中的第三条规则

2)iptables -n -L INPUT //确认删除结果

3)iptables –F INPUT //清空filter表INPUT链中的所有的规则

4)iptables  –F //允许省略链名而清空指定表的所有链的规则

5) iptables -t nat –F // 清空net表

6)iptables -t mangle –F //清空mangle表

7)iptables -t filter –F //清空filter表

4设置默认策略

 [root@localhost 桌面]# iptables -t filter -P FORWARD DROP

[root@localhost 桌面]# iptables -P OUTPUT ACCEPT

5通用匹配

可直接使用,不依赖于其他条件或扩展

包括网络协议、IP地址、网络接口等条件

1)协议匹配//“!”表示取反 -p 协议名

1 iptables -I INPUT -p icmp -j DROP

2 iptables -A FORWARD ! -p icmp -j ACCEPT

2)地址匹配//-s”表示源地址,“-d”表示目的地址。

1 iptables -A FORWARD -s 192.168.1.11 -j REJECT

    2 iptables -A FORWARD -s 192.168.7.0/24 -j ACCEPT

    3 iptables -I INPUT -s 10.20.30.0/24 -j DROP

   4  iptables -I FORWARD -s10.10.30.0/24

    5 iptables -I FORWARD -s 10.10.30.0/24 -j DROP

3)网络接口匹配 //-i”接口名,和“-o“接口名的形式,用于检查数据包从防火墙的哪一个接口进入或发出,分别对应入站网卡(--in-interface)、出站网卡(--out-interface)。

iptables -A INPUT-i ens33 -s 10.0.0.0/8 -j DROP

    2 iptables -A INPUT -iens33 -s 172.16.0.0/12 -j DROP

    3 iptables -A INPUT -iens33 -s 192.168.0.0/16 -j DROP

     

6隐含匹配

要求以特定的协议匹配作为前提

包括端口、TCP标记、ICMP类型等条件

(1)  端口配置 //“--sport源端口“或”的port目标端口“的形式

iptables -A FORWARD -s 192.168.4.0/24 -p udp--dport 53 -j ACCEPT

iptables -A FORWARD -d 192.168.4.0/24 -p udp--sport 53 -j ACCEPT

iptables -A INPUT -p tcp --dport 20:21 -jACCEPT //若要开发2021端口

iptables -A INPUT -p tcp --dport 24500:24600-j ACCEPT //以及用于被动模式的端口范围24500~24600

(2)ICMP类型匹配//--icmp-typeICMP类型 ,Echo-Request“(代码为8)、“Echo-Reply”(代码为0)、“Destination-Unreachable(代码为3),分别对应ICMP协议的的请求、回显、目标不可达。

 

iptables -A INPUT-p icmp --icmp-type 8 -j DROP

    2  iptables -A INPUT -p icmp --icmp-type 0 -jACCEPT

    3 iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT

    4 iptables -A INPUT -p icmp -j DROP

    

iptables -p icmp –h //帮助命令

 

7显式匹配

要求以“-m 扩展模块”的形式明确指出类型

包括多端口、MAC地址、IP范围、数据包状态等条件

(1)  多端口匹配//-m multiport --sports源端口列表

         -m multiport --dports目的端口列表

iptables -AINPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT

(2)  IP范围匹配 //-m iprange --src-range IP范围

 

iptables -AFORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT

(3)  MAC地址匹配//-m mac--mac-source MAC地址

iptables -AINPUT -m mac --mac-source 00:0c:29:0c:55:3f -j DROP

(4)  状态匹配//-m state --state连接状态

iptables -A FORWARD -m state --state NEW -ptcp ! --syn -j DROP


 

 

 




评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值