Cent6.3 防火墙配置文件

CentOS6.3 系统的防火墙规则，虽然刚开始布置过一次就不用更改，但更因为这样，配置好后，过段时间需要更改的时候，很可能不知道里面的每句是啥意思？

今天先来解释下配置文件的时候需要的基本功能，最后给出一个自己的参考配置文件。

通过 命令 vi /etc/sysconfig/iptables 进入防火墙配置文件后，基本就是下面截图这样；

每一行前面有#的就是注释，只是给我们看的一些信息，有时候不确定那句的功能，可以把她注释起来【不用删除后，用的时候又要输入一次】，然后保存退出vi后进行测试或关机进行测试，观察被注释掉的语句起了多大的作用，调试中最大的风险就是不要把自己关在门外面了。

常用功能解释：

:INPUT ACCEPT [0:0]
# 该规则表示INPUT表默认策略是ACCEPT
:FORWARD ACCEPT [0:0]
# 该规则表示FORWARD表默认策略是ACCEPT
:OUTPUT ACCEPT [0:0]
# 该规则表示OUTPUT表默认策略是ACCEPT
-A INPUT -i lo -j ACCEPT
# 允许本机访问，-i 参数是指定接口，这里的接口是lo ，lo就是Loopback（本地环回接口），意思就允许本地环回接口在INPUT表的所有数据通信
-A INPUT -m state –state NEW -m tcp -p tcp –dport 22 -j ACCEPT 
-A INPUT -m state –state NEW -m tcp -p tcp –dport 80 -j ACCEPT 
-A INPUT -m state –state NEW -m tcp -p tcp –dport 3306 -j ACCEPT 
# 这三条的意思是开放22，80，3306端口
-A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)
-A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话)
# 这两条的意思是允许任何一台机器都可以ping通，一个是OUTPUT，就是允许在本地服务器ping别的ip+接口，INPUT就是允许在别的机器上ping本地服务器上开放的接口
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 意思是允许进入的数据包只能是刚刚我发出去的数据包的回应，ESTABLISHED：已建立的链接状态。RELATED：该数据包与本机发出的数据包有关
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
# 这两条的意思是在INPUT表和FORWARD表中拒绝所有其他不符合上述任何一条规则的数据包。并且发送一条host prohibited的消息给被拒绝的主机。
防火墙常见命令

（1）防火墙规则配置文件
vi /etc/sysconfig/iptables


（2）保存防护墙命令配置规则
/etc/rc.d/init.d/iptables save


（3）重启防火墙生效
service iptables restart


（4）常规配置实例

# Firewall configuration written by system-config-firewall 
# Manual customization of this file is not recommended. 
*filter 
:INPUT ACCEPT [0:0] 
:FORWARD ACCEPT [0:0] 
:OUTPUT ACCEPT [0:0] 
-A INPUT -i lo -j ACCEPT 
-A INPUT -m state –state NEW -m tcp -p tcp –dport 22 -j ACCEPT 
-A INPUT -m state –state NEW -m tcp -p tcp –dport 80 -j ACCEPT 
-A INPUT -m state –state NEW -m tcp -p tcp –dport 8080 -j ACCEPT 
-A INPUT -m state –state NEW -m tcp -p tcp –dport 3306 -j ACCEPT 
-A OUTPUT -p icmp -j ACCEPT 
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT 
-A INPUT -j REJECT –reject-with icmp-host-prohibited 
-A FORWARD -j REJECT –reject-with icmp-host-prohibited 
COMMIT 

（5）查看防火墙的规则配置信息
iptables -L -n
（6）查看防火墙的状态信息
service iptables status
（7）强制清除所有预先配置的规则【centos上会悲剧了】！！！，不熟悉前请不要执行此操作！
iptables -F
（8）清除所有自定义配置的规则【慎用】
iptables -X