iptables规则备份和恢复、firewalld的9个zone、firewalld关于zone和service操作

最新推荐文章于 2024-11-01 15:32:36 发布
最新推荐文章于 2024-11-01 15:32:36 发布
阅读量98 收藏
点赞数
文章标签： 运维 网络 数据库
原文链接：https://my.oschina.net/u/3791387/blog/1810456
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

保存和备份iptables规则

service iptables save //会把规则保存到/etc/sysconfig/iptables
把iptables规则备份到my.ipt文件中：
iptables-save > my.ipt 恢复刚才备份的规则：
iptables-restore < my.ipt

1.保存规则
[root@yong-02 ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  确定  ]

它会保存到配置文件/etc/sysconfig/iptables中

[root@yong-02 ~]# cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.21 on Thu May 10 21:26:10 2018
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [288:23091]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Thu May 10 21:26:10 2018
2.备份规则 另外一个位置
[root@yong-02 ~]# iptables-save > /tmp/ipt.txt

查看规则

[root@yong-02 ~]# cat /tmp/ipt.txt 
# Generated by iptables-save v1.4.21 on Thu May 10 21:28:08 2018
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [356:29367]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Thu May 10 21:28:08 2018
3.恢复规则
[root@yong-02 ~]# iptables-restore < /tmp/ipt.txt

恢复规则一般使用备份规则中，注意：服务器或者重启iptables，它会自动加载配置文件中的规则

Linux防火墙 

firewalld的9个zone

• 打开firewalld
• systemctl disable iptables  禁用iptables
• systemctl stop iptables
• systemctl enable firewalld
• systemctl start firewalld
• firewalld默认有9个zone
• 默认zone为public
• firewall-cmd --get-zones //查看所有zone
• firewall-cmd --get-default-zone//查看默认zone

  1. 关闭开机自动启动netfilter
[root@yong-02 ~]# systemctl disable iptables
Removed symlink /etc/systemd/system/basic.target.wants/iptables.service.
  1. 关闭暂停netfilter
[root@yong-02 ~]# systemctl stop iptables
  1. 设置开机启动firewalld
[root@yong-02 ~]# systemctl enable firewalld
Created symlink from /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service to /usr/lib/systemd/system/firewalld.service.
Created symlink from /etc/systemd/system/multi-user.target.wants/firewalld.service to /usr/lib/systemd/system/firewalld.service.
  1. 启动firewalld
[root@yong-02 ~]# systemctl start firewalld
  1. 查看firewalld的默认规则
[root@yong-02 ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 1 packets, 92 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    1    92 PREROUTING_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    1    92 PREROUTING_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    1    92 PREROUTING_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain INPUT (policy ACCEPT 1 packets, 92 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 OUTPUT_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 POSTROUTING_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 POSTROUTING_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 POSTROUTING_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT_direct (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING_ZONES (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 POST_public  all  --  *      ens33   0.0.0.0/0            0.0.0.0/0           [goto] 
    0     0 POST_public  all  --  *      +       0.0.0.0/0            0.0.0.0/0           [goto] 

Chain POSTROUTING_ZONES_SOURCE (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING_direct (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain POST_public (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 POST_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 POST_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 POST_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain POST_public_allow (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain POST_public_deny (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain POST_public_log (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain PREROUTING_ZONES (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    1    92 PRE_public  all  --  ens33  *       0.0.0.0/0            0.0.0.0/0           [goto] 
    0     0 PRE_public  all  --  +      *       0.0.0.0/0            0.0.0.0/0           [goto] 

Chain PREROUTING_ZONES_SOURCE (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain PREROUTING_direct (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain PRE_public (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    1    92 PRE_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    1    92 PRE_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    1    92 PRE_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain PRE_public_allow (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain PRE_public_deny (1 references)
 pkts bytes target     prot opt in     out     source               destination         

Chain PRE_public_log (1 references)
 pkts bytes target     prot opt in     out     source               destination

  • firewalld有9个zone；zone是firewalld的一个单位，centos7默认是public.

  • 查看所有的zone

[root@yong-02 ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
  • 查看系统默认的zone
[root@yong-02 ~]# firewall-cmd --get-default-zone
public

9个zone的介绍

 输入图片说明

firewalld关于zone的操作

• firewall-cmd --set-default-zone=work //设定默认zone
• firewall-cmd --get-zone-of-interface=ens33 //查指定网卡
• firewall-cmd --zone=public --add-interface=lo //给指定网卡设置zone
• firewall-cmd --zone=dmz --change-interface=lo //针对网卡更改zone
• firewall-cmd --zone=dmz --remove-interface=lo //针对网卡删除zone
• firewall-cmd --get-active-zones //查看系统所有网卡所在的zone

  1. 修改默认的zone值
[root@yong-02 ~]# firewall-cmd --get-default-zone   //查看系统默认的zone
public
[root@yong-02 ~]# firewall-cmd --set-default-zone=work //修改默认的zone值
success
[root@yong-02 ~]# firewall-cmd --get-default-zone  //查看系统默认的zone
work
  1. 查看指定网卡所在zone
[root@yong-02 ~]# firewall-cmd --get-zone-of-interface=ens33
work
  1. 给指定的网卡设置zone
[root@yong-02 ~]# firewall-cmd --zone=home --add-interface=lo     //指定网卡lo为zone
success
[root@yong-02 ~]# firewall-cmd --get-zone-of-interface=lo   //查看网卡lo的zone
home
  1. 针对网卡更改zone
[root@yong-02 ~]# firewall-cmd --zone=dmz --change-interface=lo  //将网卡lo的zone修改成dmz
success
[root@yong-02 ~]# firewall-cmd --get-zone-of-interface=lo  //查看网卡lo的zone
dmz
  1. 针对网卡删除zone
[root@linux-128 ~]# firewall-cmd --zone=dmz  --remove-interface=lo
success
[root@linux-128 ~]# firewall-cmd --get-zone-of-interface=lo
no zone
  1. 查看系统所有网卡所在的zone
[root@yong-02 ~]# firewall-cmd --get-active-zones
dmz
  interfaces: lo
work
  interfaces: ens33

firewalld关于service的操作

• firewall-cmd --get-services 查看所有的servies
• firewall-cmd --list-services //查看当前zone下有哪些services
• firewall-cmd --zone=public --add-service=http //把http增加到public zone下面
• firewall-cmd --zone=public --remove-service=http //移除
• ls /usr/lib/firewalld/zones/ //zone的配置文件模板
• firewall-cmd --zone=public --add-service=http --permanent //更改配置文件，之后会在/etc/firewalld/zones目录下面生成配置文件
• 需求：ftp服务自定义端口1121，需要在work zone下面放行ftp
• cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services
• vi /etc/firewalld/services/ftp.xml //把21改为1121
• cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones/
• vi /etc/firewalld/zones/work.xml //增加一行
• <service name="ftp"/>
• firewall-cmd --reload //重新加载
• firewall-cmd --zone=work --list-services

  1. 查看所有的services
[root@yong-02 ~]# firewall-cmd --get-services
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
  1. 查看当前zone下有哪些services
[root@yong-02 ~]# firewall-cmd --get-default-zone   //查看当前系统默认的zone
work
[root@yong-02 ~]# firewall-cmd --list-services   //查看当前系统默认的zone下有那些service
ssh dhcpv6-client
  1. 查看指定zone下有那些service
[root@yong-02 ~]# firewall-cmd --zone=public --list-services
ssh dhcpv6-client

  1. 添加一个service到指定的zone下

[root@yong-02 ~]# firewall-cmd --zone=public --add-service=ftp  //将服务ftp添加到public下 
success 
[root@yong-02 ~]# firewall-cmd --zone=public --list-services //查看public下的services
ssh dhcpv6-client ftp

 

  1. 删除指定zone下的service

[root@yong-02 ~]# firewall-cmd --zone=public --remove-service=http //删除public下的服务http
success
[root@yong-02 ~]# firewall-cmd --zone=public --list-services //查看是否删除成功
ssh dhcpv6-client ftp

  1. zone的配置文件模板

[root@yong-02 ~]#  ls /usr/lib/firewalld/zones 
block.xml  drop.xml      home.xml      public.xml   work.xml
dmz.xml    external.xml  internal.xml  trusted.xml

  1. 更改zone的配置文件

[root@yong-02 ~]# firewall-cmd --zone=public --add-service=http --permanent
success
[root@yong-02 ~]# cat /etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="http"/>   //已经添加
</zone>

在添加一个service ftp

[root@yong-02 ~]# firewall-cmd --zone=public --add-service=ftp --permanent
success
[root@yong-02 ~]# cat /etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="http"/>
  <service name="ftp"/>
</zone>

案例：需求：ftp服务自定义端口1121，需要在work zone下面放行ftp
拷贝配置文件ftp.xml

[root@yong-02 ~]# cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/
[root@yong-02 ~]# vi /etc/firewalld/services/ftp.xml

配置文件如下：

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>FTP</short>
  <description>FTP is a protocol used for remote file transfer. If you plan to make your FTP server publicly available, enable this option. You need the vsftpd package installed for this option to be useful.</description>
  <port protocol="tcp" port="1121"/>
  <module name="nf_conntrack_ftp"/>
</service>

拷贝配置文件work.xml

[root@yong-02 ~]# cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones/
[root@yong-02 ~]# vi /etc/firewalld/zones/work.xml

配置文件如下：

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Work</short>
  <description>For use in work areas. You mostly trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="ftp"/>
</zone>

重新加载 firewall-cmd --reload

[root@yong-02 ~]# firewall-cmd --reload
success

查看work下面的service

[root@yong-02 ~]# firewall-cmd --zone=work --list-services 
ssh dhcpv6-client ftp

转载于:https://my.oschina.net/u/3791387/blog/1810456

weixin_33881050
关注
Iptables应用
zt_96123的博客
02-12 2233
一 、防火墙的分类 1 、包过滤防火墙。 数据包过滤(packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，称为访问控制表(access control lable,ACL)。通过检查数据流中每个数据包的源地址和目的地址，所用的端口号和协议状态等因素，或他们的组合来确定是否允许该数据包通过。 包过滤防火墙的优点是它对用户来说是透明的，处理速度快且易于维...
iptables
genshengxiao的专栏
06-10 884
1. 清除规则     iptables -F    2. 查看规则     iptables -nvL   3 查看规则ID     iptables -nL --line-number   4. 追加规则     Chain INPUT区域     iptables -I INPUT 3  -s 1.1.1.1 -d 2.2.2.2 -p tcp --sport 100 ...
Linux运维工程师，你能把iptables玩转麽？
运维派
12-11 601
保存和备份iptables规则service iptables save //会把规则保存到/etc/sysconfig/iptables把iptables规则备份到my.ipt文件中：iptables-save > my.ipt 恢复刚才备份的规则：iptables-restore 1.保存规则[root@linux-128 ~]# service iptables saveiptables:
iptables规则备份和恢复 firewalld的9个zone 关于zone、关于service的操作
wanli245的博客
05-11 430
1，iptables规则备份和恢复。    前面设定的防火墙规则只保存在内存中，并没有保存到某一个文件中。当系统启动后以前设定的规则就没有了，所以设定好规则后先保存一下。命令如下：        它会提示你防火墙规则保存在/etc/sysconfig/iptables文件内，这个文件就是iptables的配置文件。遇到备份防火墙规则的任务，我们只要复制一份这个文件的副本即可。    清除防火墙的规...
iptables规则备份和恢复、firewalld的9个zone以及操作和service的操作
weixin_33893473的博客
07-16 137
2019独角兽企业重金招聘Python工程师标准>>> ...
iptables规则备份和恢复 firewalld的9个zone firewalld关于zone的操作 firewalld关于service的操作...
b305723的专栏
01-27 140
iptables规则备份和恢复 保存和备份iptables规则Service iptables save //会把规则保存到/etc/sysconfig/iptables把iptables规则备份到my.ipt文件中Iptables-save > my.ipt恢复刚才备份的规则iptables-restore < my.ipt firewalld的9个zone 打...
iptables规则备份和恢复 firewalld的9个zone与zone的操作service的操作
weixin_33700350的博客
01-26 109
10.19 iptables规则备份和恢复10.20 firewalld的9个zone9个zone的介绍10.21 firewalld关于zone的操作10.22 firewalld关于service的操作selinux无非就是对某一个端口做限制http操作的是40端口htts操作的是43端口ssh操作是22端口 转载于:https://blog.51cto.com/13450039/206568...
iptables规则备份恢复-firewalld关于zone和service
weixin_33851177的博客
07-15 116
2019独角兽企业重金招聘Python工程师标准>>> ...
10.19 iptables规则备份和恢复 firewalld的9个zone firewalld关
weixin_33958585的博客
07-16 85
10.19 iptables规则备份和恢复10.20 firewalld的9个zone 10.21 firewalld关于zone的操作10.22 firewalld关于service的操作 转载于:https://blog.51cto.com/13107353/2144951
iptables规则备份和恢复、firewall的9个zone、关于zone的操作和关于service的操作
mojianbin的博客
12-04 804
一、iptables规则备份和恢复 1、 service iptables save //会把规则保存到/etc/sysconfig/iptables （将规则保存到/etc/sysconfig/iptables，重启系统后不会消失，否则会清空掉）2、把iptables规则备份到/tmp/ipt.txt文件中： iptables-save > /tmp/ipt.txt 3
Linux备份当前规则,iptables规则备份和恢复与firewalled介绍和相关操作
weixin_42118161的博客
05-13 493
一、iptables规则备份和恢复我们在设置防火墙规则的时候，规则只是保存在内存中，并没有保存到某一个文件中。系统重启重启之后，之前设定的规则就么有了，所以设定好之后要先保存一下，使用命令：[root@zlinux ~]# service iptables saveiptables: Saving firewall rules to /etc/sysconfig/iptables:[ 确定 ]...
firewalld的9个zone、firewalld关于zone的操作、firewalld关于service的操作
rain_yunlx的博客
01-26 1685
一、firewalld的9个zone 1. 启动firewalld 1. [root@lx003 ~]# systemctl disable iptables                                                                   停止iptables     Removed symlink /etc/systemd/sys
linux 命令行防火墙两种具体操作firewalld和iptables
luzefengcool的专栏
04-15 261
1、firewalld的基本使用 启动： systemctl start firewalld 关闭： systemctl stop firewalld 查看状态： systemctl status firewalld 开机禁用 ： systemctl disable firewalld 开机启用 ：systemctl enable firewalld ...
如何一键完成20个Oracle实例运维脚本部署
xiaofan23z的专栏
10-31 900
在没有商业的集中管理平台的情况下，如何快速的部署监控或者运维脚本，是一个值得探讨的问题，这里博主以一个简单的示例来演示如何快速一次性给20个实例部署运维脚本。这台部署服务器要和所有数据库实例网络通，ssh端口通，我这里选择了EMCC服务器，为了管理实例EMCC服务器已经和所有数据库实例打通了网络。是一个用于在命令行中非交互式提供 SSH 密码的工具，特别适合自动化脚本。这里只是一个范例，如果脚本需要定制化修改，也可以通过抓取主机上的信息来自动修改脚本实现批量部署，希望能帮助到大家。到目标主机检查部署情况。
oceanbase V4.2.2社区版集群离线部署
king_harry的专栏
11-01 859
版本，选择是上传文件，包含oceanbase-ce、oceanbase-ce-libs、oceanbase-ce-utils。关闭时展示，为 OBProxy 集群的访问地址，仅用于生成租户的连接串，不影响实际使用，需要自主配置负载均衡，如果是 VIP 地址，还需要您自主申请并绑定到 OBProxy Server。集群配置选项卡—更多配置—更改系统内存保留选项，默认是30G，如果测试机内存只有16G，则需要调小，本测试调整为2G，这样ocp-server安装不会失败。自定义待管理的集群的名称。
docker 常用命令
xiaogg3678的专栏
11-01 335
docker 常用命令
nginx常用负载均衡策略及使用场景
希望能解决大家的问题，也欢迎老哥们来骚扰技术交流业务中的问题
10-31 244
根据指定的Key（例如URL、请求参数）进行哈希计算，确保特定请求始终访问同一台服务器。：适合后端服务器性能较均衡，且业务请求较简单、时间较短的情况，比如静态资源服务等。：适合处理时间较长的业务场景，比如视频转码、文件处理等，能够避免服务器负载不均。：根据客户端IP的哈希值分配请求，同一IP的请求会始终分配到同一台服务器上。：适合服务器配置不均衡的情况，可以将更多请求分配到性能更好的服务器上。：为每台服务器设置不同的权重，权重高的服务器分配的请求更多。：将请求分配到当前连接数最少的服务器上。
linux基础-lvm逻辑卷组分区实操
最新发布
pikaqiuu11的博客
11-01 353
2、swap分区（交换分区）：当程序运行时的物理内存不够时，从其他未运行的程序中调取一部分内存到swap分区中，供程序使用，当未运行的程序运行时，将内存还原。lvm(logical volume manager),逻辑卷管理，linux系统下管理磁盘分区的一种机制，适合于管理大存储设备，1、系统引导分区（第0扇区）：存放系统引导文件（检测操作系统的位置）和linux的内核文件。
iptables 和 firewalld 区别
11-30
iptables 和 firewalld 都是 Linux 系统中的防火墙软件，它们的主要区别如下： 1. 配置文件位置不同：iptables 的配置文件在 /etc/sysconfig/iptables 中，而 firewalld 的配置文件在 /usr/lib/firewalld/ 和 /etc/...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值