firewalld、ufw、iptables 防火墙相关命令

一、firewalld

安装：yum install firewalld

1、firewalld 的基本使用

查看状态： systemctl status firewalld
启动： systemctl start firewalld
停止： systemctl stop firewalld
启用开机自启：systemctl enable firewalld
禁止开机启动： systemctl disable firewalld

2、配置 firewalld-cmd

查看版本： firewall-cmd --version
查看帮助： firewall-cmd --help
显示状态： firewall-cmd --state
查看所有打开的端口：firewall-cmd --zone=public --list-ports
更新防火墙规则： firewall-cmd --reload
更新防火墙规则，重启服务： firewall-cmd --completely-reload
查看已激活的Zone信息: firewall-cmd --get-active-zones
查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0
拒绝所有包：firewall-cmd --panic-on
取消拒绝状态： firewall-cmd --panic-off
查看是否拒绝： firewall-cmd --query-panic

3、信任级别，通过Zone的值指定

drop: 丢弃所有进入的包，而不给出任何响应
block: 拒绝所有外部发起的连接，允许内部发起的连接
public: 允许指定的进入连接
external: 同上，对伪装的进入连接，一般用于路由转发
dmz: 允许受限制的进入连接
work: 允许受信任的计算机被限制的进入连接，类似 workgroup
home: 同上，类似 homegroup
internal: 同上，范围针对所有互联网用户
trusted: 信任所有连接

4、firewall开启和关闭端口

以下都是指在public的zone下的操作，不同的Zone只要改变Zone后面的值就可以
添加：
firewall-cmd --zone=public --add-port=80/tcp --permanent （–permanent永久生效，没有此参数重启后失效）
重新载入：
firewall-cmd --reload
查看：
firewall-cmd --zone=public --query-port=80/tcp
删除：
firewall-cmd --zone=public --remove-port=80/tcp --permanent

5、管理服务

以smtp服务为例， 添加到work zone
添加：
firewall-cmd --zone=work --add-service=smtp
查看：
firewall-cmd --zone=work --query-service=smtp
删除：
firewall-cmd --zone=work --remove-service=smtp

6、配置 IP 地址伪装

查看：
firewall-cmd --zone=external --query-masquerade
打开：
firewall-cmd --zone=external --add-masquerade
关闭：
firewall-cmd --zone=external --remove-masquerade

7、端口转发

打开端口转发，首先需要打开IP地址伪装：
firewall-cmd --zone=external --add-masquerade

转发 tcp 22 端口至 3753：
firewall-cmd --zone=external --add-forward-port=22:porto=tcp:toport=3753
转发端口数据至另一个IP的相同端口：
firewall-cmd --zone=external --add-forward-port=22:porto=tcp:toaddr=192.168.1.112
转发端口数据至另一个IP的 3753 端口：
firewall-cmd --zone=external --add-forward-port=22:porto=tcp:：toport=3753:toaddr=192.168.1.112

8、systemctl

启动一个服务：systemctl start firewalld.service
关闭一个服务：systemctl stop firewalld.service
重启一个服务：systemctl restart firewalld.service
显示一个服务的状态：systemctl status firewalld.service
在开机时启用一个服务：systemctl enable firewalld.service
在开机时禁用一个服务：systemctl disable firewalld.service
查看服务是否开机启动：systemctl is-enabled firewalld.service
查看已启动的服务列表：systemctl list-unit-files|grep enabled
查看启动失败的服务列表：systemctl --failed

二、ufw

安装： sudo apt-get install ufw

1、ufw基本使用

查看状态：sudo ufw status
开机自启动、启动：sudo ufw enable
禁用自启动、停止：sudo ufw disable

2、ufw防火墙策略

sudo ufw default deny 默认禁止所有端口外部访问
sudo ufw default allow 默认开启所有端口外部访问；

如果是default deny，那么我们的规则中则应该是allow的规则；
如果是default allow，那么我们的规则中则应该是deny的规则；

3、ufw开启和关闭端口

查看：
sudo ufw status verbose

添加： （在 sudo ufw default deny 条件下）
sudo ufw allow 80
sudo ufw allow smtp　允许所有的外部IP访问本机的25/tcp （smtp）端口
sudo ufw allow 22/tcp 允许所有的外部IP访问本机的22/tcp （ssh）端口
sudo ufw allow 53 允许外部访问53端口（tcp/udp）
sudo ufw allow from 192.168.1.100 允许此IP访问所有的本机端口
sudo ufw allow proto udp 192.168.0.1 port 53 to 192.168.0.2 port 53

禁用：
sudo ufw deny 80 禁止外部访问80端口

删除：
sudo ufw delete allow 80 删除允许通过80端口的规则