Linux就该这么学笔记-------iptables防火墙

防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。

iptables 与 firewalld 都不是真正的防火墙，
它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务。

iptables
服务会把配置好的防火墙策略交由内核层面的 netfilter 网络过滤器来处理，而 firewalld 服务
则是把配置好的防火墙策略交由内核层面的 nftables 包过滤框架来处理。

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

➢ 在进行路由选择前处理数据包（PREROUTING）；
➢ 处理流入的数据包（INPUT）；
➢ 处理流出的数据包（OUTPUT）；
➢ 处理转发的数据包（FORWARD）；
➢ 在进行路由选择后处理数据包（POSTROUTING）。

ACCEPT（允许流量通过）
REJECT（拒绝流量通过）
LOG（记录日志信息）
DROP（拒绝流量通过）。
就 DROP 来说，它是直接将流量丢弃而且不响应；
REJECT 则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。
当把 Linux 系统中的防火墙策略设置为 REJECT 拒绝动作后，流量发送方会看到端口不可达的响应。
而把 Linux 系统中的防火墙策略修改成 DROP 拒绝动作后，流量发送方会看到响应超时的提醒。但是流量发送方无法判断流量是被拒绝，还是接收方主机当前不在线。

防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。

iptables -L 查看已有防火墙规则链
iptables -F 清空已有防火墙规则链
iptables -P INPUT DROP把INPUT规则链的默认策略设置为拒绝

但是请特别注意，使用 iptables 命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：

service iptables save