配置一个生产的iptables防火墙规则

       注意执行顺序，-A表示Append，是在所有规则之后添加新的规则，iptables是从上往下匹配规则，成功后则不继续匹配，所以建议匹配量最大的规则放在最上面。

一、规则配置

1.清空原有规则（iptables会有一些初始规则配置）

iptables -F  #清空所有规则
iptables -X  #清空用户自定义的空链（iptables -N xx创建）
iptables -Z  #清空计数

2.添加正常使用

#开放对外提供服务的端口，建议匹配量最大的放在规则最上端，效率最高
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#添加ssh访问限制，使用白名单
iptables -A INPUT -p tcp -s 172.16.32.1 --dport 22 -j ACCEPT
#如果是本机发起的连接相关的包，放行（与之对应的状态是NEW，也就是外网对本机发起的请求，不只是TCP协议，UDP等无连接状态的协议iptables也会映射为这3个状态）
#如果不加本条配置，则由本机发出的包无法接收返回包（INPUT链默认DROP的情况下），典型的，ping外网是不通的
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允许本地回环地址访问
iptables -A INPUT -i lo -j ACCEPT

3.添加默认配置

iptables -P INPUT DROP    #默认不允许进包
iptables -P FORWARD DROP  #默认不允许转发包
iptables -P OUTPUT ACCEPT #默认允许本地包出去

默认配置也可以在链的最后加一条通配，如：

iptables -A INPUT -j DROP  #drop所有包，其他规则未匹配就丢弃

或

iptables -A INPUT -j REJECT --reject-with icmp-host-unreachable  #其他规则未匹配就返回一个icmp包，后面跟的是包类型

二、保存规则

1.查看现有配置规则

#因为没有保存为文件，所以只能通过命令查看
service iptables status

2.保存规则

#如果不保存，在iptables重启后，配置的规则会丢失
service iptables save

#保存的文件在/etc/sysconfig/iptables文件中
[root@wf sysconfig]# cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.7 on Mon Jan 16 13:41:35 2017
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [55:9248]
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -s 172.16.32.1/32 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-unreachable 
COMMIT
# Completed on Mon Jan 16 13:41:35 2017