iptables规则备份和恢复 firewalld服务

最新推荐文章于 2024-07-01 18:25:51 发布
最新推荐文章于 2024-07-01 18:25:51 发布
阅读量188 收藏
点赞数
文章标签： 运维 网络 数据库
原文链接：https://my.oschina.net/u/3964535/blog/2253621
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

10月29日任务
10.19 iptables规则备份和恢复
10.20 firewalld的9个zone
10.21 firewalld关于zone的操作
10.22 firewalld关于service的操作
 

iptables规则备份和恢复

  • iptables 备份
[root@localhost ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  确定  ]

[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 44 packets, 3152 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 26 packets, 2584 bytes)
 pkts bytes target     prot opt in     out     source               destination
  • iptables 恢复
[root@localhost ~]# iptables-restore /etc/sysconfig/iptables
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   10   692 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 6 packets, 744 bytes)
 pkts bytes target     prot opt in     out     source               destination
  • 将规则保存到指定文件
[root@localhost ~]# iptables-save > /tmp/iptables.txt
[root@localhost ~]# cat /tmp/iptables.txt 
# Generated by iptables-save v1.4.21 on Fri ... 19:54:19 ...
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [249:23866]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Fri ... 19:54:19 ...
[root@localhost ~]# 
[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 28 packets, 1900 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 17 packets, 1508 bytes)
 pkts bytes target     prot opt in     out     source               destination
  • 从指定文件加载iptables规则
[root@localhost ~]# iptables-restore < /tmp/iptables.txt 
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   28  1848 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 15 packets, 1428 bytes)
 pkts bytes target     prot opt in     out     source               destination

如果想开机加载iptables规则表，最好将规则保存在默认的文件即/etc/sysconfig/iptables，使用service iptables save即可

firewalld服务

默认centos7启动的是firewalld，如果你没修改过，直接使用就可以了；

如果你将firewalld关闭了，开启了iptables，那么需要执行下面的命令来修改：

# 先关闭iptables
[root@localhost ~]# systemctl disable iptables
Removed symlink /etc/systemd/system/basic.target.wants/iptables.service.
[root@localhost ~]# systemctl stop iptables

# 启动firewalld（同时设置开机启动）
[root@localhost ~]# systemctl enable firewalld
Created symlink from /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service to /usr/lib/systemd/system/firewalld.service.
Created symlink from /etc/systemd/system/basic.target.wants/firewalld.service to /usr/lib/systemd/system/firewalld.service.
[root@localhost ~]# systemctl start firewalld
firewalld的9个zone

zone是firewalld的一个单位，是一个规则集，其自带某些规则。

firewalld下有9个zone，如下所示：

  • 查看系统所有的zone
[root@localhost ~]# firewall-cmd --get-zones
work drop internal external trusted home dmz public block
  • 查看系统的默认zone
[root@localhost ~]# firewall-cmd --get-default-zone
public

使用firewall-cmd命令查看配置firewalld服务(注意不是firewalld-cmd)

zone的简单介绍
zone名说明
drop丢弃任何接收到的数据包(最安全，只出不进)
block任何接收的数据包都被icmp-host-prohibited(ipv4)和icmp6-adm-prohibited(ipv6)信息拒绝。
public在公共区域内使用，无法确保其他计算机对本区域的安全性，选择性接收数据包。
external外部网络，可以基本信任该区域内的其他计算机不会对你产生危害，仅选择的接收数据包。
dmz用于你的非军事区内的计算机，该区域可公开访问，可以有限地进入你的内部网络
work工作区，可以基本信任该区域内的其他计算机不会对你产生危害，仅选择的接收数据包。
home家庭网络，可以基本信任该区域内的其他计算机不会对你产生危害，仅选择的接收数据包
internal内部网络，可以基本信任该区域内的其他计算机不会对你产生危害，仅选择的接收数据包。
trusted接收所有接收到的数据包

对于这9个zone，主要了解即可，并不是都会用的上；上述的zone安全性依次递增

firewalld关于zone的操作
  • 设置默认的zone
[root@localhost ~]# firewall-cmd --set-default-zone=work
success
[root@localhost ~]# firewall-cmd --get-default-zone
work

针对指定网卡的zone设置

  • 查看指定网卡的zone
[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33
work
  • 添加指定网卡至某个zone内
# 将网卡lo添加到zone public中
[root@localhost ~]# firewall-cmd --zone=public --add-interface=lo
success

# 查看网卡所属的zone用以验证
[root@localhost ~]# firewall-cmd --get-active-zones
work
  interfaces: ens33
public
  interfaces: lo
  • 修改网络的所属zone
[root@localhost ~]# firewall-cmd --zone=dmz --change-interface=lo
success
[root@localhost ~]# firewall-cmd --get-active-zones
dmz
  interfaces: lo
work
  interfaces: ens33
  • 移除zone内的网卡
[root@localhost ~]# firewall-cmd --zone=dmz --remove-interface=lo
success
[root@localhost ~]# firewall-cmd --get-active-zones
work
  interfaces: ens33
firewalld关于service的操作

基本使用

列出当前系统内所有的service

[root@localhost ~]# firewall-cmd --get-services
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client ceph ceph-mon dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync freeipa-ldap freeipa-ldaps freeipa-replication 
ftp high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mosh mountd ms-wbt mysql nfs ntp openvpn pmcd 
pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster radius rpc-bind rsyncd samba samba-client sane smtp smtps snmp snmptrap squid ssh synergy 
syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server

[root@localhost ~]# firewall-cmd --get-services | sed -r 's/ /\n/g' | wc -l
81
统计后当前系统共81个服务
  • 列出指定zone内的所有服务
[root@localhost ~]# firewall-cmd --zone=public --list-services
dhcpv6-client ssh
  • 给指定的zone添加新服务
[root@localhost ~]# firewall-cmd --zone=public --add-service=http
success
[root@localhost ~]# firewall-cmd --zone=public --list-services
dhcpv6-client ssh http

# 在末尾添加--permanent参数可以将修改写入系统，而不是暂存在内存中
[root@localhost ~]# firewall-cmd --zone=public --add-service=http --permanent
success

# /etc/firewalld/zones/目录下存放了zone的配置文件
# 执行了--add-services参数命令后会将原配置文件备份为.old文件
[root@localhost ~]# ls /etc/firewalld/zones/
public.xml  public.xml.old
[root@localhost ~]# cat /etc/firewalld/zones/public.xml.old 
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="dhcpv6-client"/>
  <service name="ssh"/>
</zone>
[root@localhost ~]# cat /etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="dhcpv6-client"/>
  <service name="http"/>
  <service name="ssh"/>
</zone>
  • 删除指定的zone内的范围（必须存在）
[root@localhost ~]# firewall-cmd --zone=public --remove-service=http
success
[root@localhost ~]# firewall-cmd --zone=public --list-services
dhcpv6-client ssh

firwalld的zone和services的模板配置文件

# zone的模板配置文件目录/usr/lib/firewalld/zones/
[root@localhost ~]# ls /usr/lib/firewalld/zones/
block.xml  drop.xml      home.xml      public.xml   work.xml
dmz.xml    external.xml  internal.xml  trusted.xml

# services的模板配置文件目录/usr/lib/firewalld/services/
[root@localhost ~]# ls /usr/lib/firewalld/services/
amanda-client.xml        kpasswd.xml         rpc-bind.xml
amanda-k5-client.xml     ldaps.xml           rsyncd.xml
bacula-client.xml        ldap.xml            samba-client.xml
bacula.xml               libvirt-tls.xml     samba.xml
ceph-mon.xml             libvirt.xml         sane.xml
ceph.xml                 mdns.xml            smtps.xml
dhcpv6-client.xml        mosh.xml            smtp.xml
dhcpv6.xml               mountd.xml          snmptrap.xml
dhcp.xml                 ms-wbt.xml          snmp.xml
dns.xml                  mysql.xml           squid.xml
docker-registry.xml      nfs.xml             ssh.xml
dropbox-lansync.xml      ntp.xml             synergy.xml
freeipa-ldaps.xml        openvpn.xml         syslog-tls.xml
freeipa-ldap.xml         pmcd.xml            syslog.xml
freeipa-replication.xml  pmproxy.xml         telnet.xml
ftp.xml                  pmwebapis.xml       tftp-client.xml
high-availability.xml    pmwebapi.xml        tftp.xml
https.xml                pop3s.xml           tinc.xml
http.xml                 pop3.xml            tor-socks.xml
imaps.xml                postgresql.xml      transmission-client.xml
imap.xml                 privoxy.xml         vdsm.xml
ipp-client.xml           proxy-dhcp.xml      vnc-server.xml
ipp.xml                  ptp.xml             wbem-https.xml
ipsec.xml                pulseaudio.xml      xmpp-bosh.xml
iscsi-target.xml         puppetmaster.xml    xmpp-client.xml
kadmin.xml               radius.xml          xmpp-local.xml
kerberos.xml             RH-Satellite-6.xml  xmpp-server.xml

配置实例

将ftp服务添加至work zone，修改ftp默认端口为1121

  • 拷贝ftp服务的模板配置文件
[root@localhost ~]# cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/
  • 修改默认端口
[root@localhost ~]# vi /etc/firewalld/services/ftp.xml 

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>FTP</short>
  <description>FTP is a protocol used for remote file transfer. If you plan to make your FTP server publicly available, enable this option. You need the vsftpd package installed for this option to be useful.</description>
  <port protocol="tcp" port="1121"/>  # 修改port为1121
  <module name="nf_conntrack_ftp"/>
</service>
  • 拷贝work zone的模板文件
[root@localhost ~]# cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones/
[root@localhost ~]# vi /etc/firewalld/zones/work.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Work</short>
  <description>For use in work areas. You mostly trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  # 新增下面的service行
  <service name="ftp"/>
</zone>
  • 重新加载firewalld服务
[root@localhost ~]# firewall-cmd --reload
success
  • 验证是否正确添加
[root@localhost ~]# firewall-cmd --zone=work --list-services
ssh dhcpv6-client ftp
 

转载于:https://my.oschina.net/u/3964535/blog/2253621

lyuharvey
关注
linux常见服务器配置
01-12
- **防火墙规则**：使用`iptables`或`firewalld`设置防火墙规则，控制进出流量。 3. **安全策略** - **SSH安全**：限制SSH登录方式，如禁用密码登录，启用公钥认证，并通过`/etc/ssh/sshd_config`配置文件调整SSH...
【Linux】一步一步学Linux——iptables-restore命令(188)
C/C++软件工程师、嵌入式软件工程师、物联网研发工程师、C/C++讲师、物联网讲师、嵌入式讲师---欢迎大家一起交流(私信添加博主微信)
08-27 8785
00. 目录 文章目录00. 目录01. 命令概述02. 命令格式03. 常用选项04. 参考示例05. 附录 01. 命令概述 iptables-restore命令用来还原iptables-save命令所备份的iptables配置。 02. 命令格式 格式：iptables-restore [选项] [参数] 03. 常用选项 -c 指定在还原iptables表时候，还原当前的数据包计数器和字...
iptables-restore(8) command
Dablelv 的博客专栏。
12-17 1700
iptables-restore 恢复 IP 表。ip6tables-restore 恢复 IPv6 表。iptables-restore 和 ip6tables-restore 用于从 STDIN 或文件中指定的数据恢复 IP 和 IPv6 表。iptables-restore 和 ip6tables-restore 均是 xtables-multi 的软链。
firewalld服务（含iptables规则备份和恢复）
weixin_34380781的博客
12-01 542
2019独角兽企业重金招聘Python工程师标准>>> ...
iptables规则备份和恢复与firewalled介绍和相关操作
weixin_34321753的博客
01-26 262
一、iptables规则备份和恢复 我们在设置防火墙规则的时候，规则只是保存在内存中，并没有保存到某一个文件中。系统重启重启之后，之前设定的规则就么有了，所以设定好之后要先保存一下，使用命令： [root@zlinux ~]# service iptables save iptables: Saving firewall rules to /etc/sysconfig/iptables:[ 确定...
【网络教程】IPtables官方教程--学习笔记4--IPTABLES RULES
jackhh1的博客
09-12 1298
如何设计iptables规则
linux服务器配置练习软件
01-17
6. **数据库服务**：MySQL和PostgreSQL是常用的数据库管理系统，掌握创建数据库、表，以及数据导入导出、备份恢复等操作。 7. **邮件服务器配置**：如Postfix或Exim，了解邮件路由、域设置、SPF/DKIM/DMARC等反垃圾...
企业级LINUX应用服务器配置案例
09-19
2. **系统基础配置**：首先，要进行系统更新和安全配置，包括设置防火墙（如iptables或firewalld），关闭不必要的服务，启用Selinux以增强安全性，并确保系统时间同步（通过NTP服务）。 3. **用户与权限管理**：...
Linux服务器安全策略详解
04-13
启用防火墙（如`iptables`或`firewalld`）并配置规则，限制不必要的入站和出站流量。同时，禁用不必要的服务和端口，避免成为攻击面。 用户权限管理是另一关键环节。遵循最小权限原则，确保每个用户只有执行其工作...
Linux服务器搭建-论文.docx
06-07
5. **安全强化**：为了保障服务器安全，需关闭不必要的端口，如telnet，使用更安全的SSH密钥登录，限制root用户直接登录，设置防火墙规则（如iptables或firewalld），安装和更新安全软件包如SELinux。 6. **软件包...
Linux firewall-cmd 命令详解
热门推荐
三生万物
09-26 6万+
宽为限 紧用功 功夫到 滞塞通 firewall-cmd Linux上新用的防火墙软件，跟iptables差不多的工具。补充说明firewall-cmd 是 firewalld的字符界面管理工具，firewalld是centos7的一大特性，最大的好处有两个：支持动态更新，不用重启服务；第二个就是加入了防火墙的“zone”概念。firewalld跟iptables比起来至少有两大好处：firewalld
linux学习之防火墙iptables
csdn066的博客
05-30 446
####iptables#### 1.基本概念 是与2.4.x和2.6.x系统版本linux内核集成的ip信息包过滤系统。 2.使用规则 规则其实就是管理员预设定的的条件，规则存储在内核空间的信息过滤表中，这些规则分别指定了源地址，目的地址，传输协议及服务类型等所有待检查数据包的特征和目标。当数据包与规则不匹配时，将该数据包送往该链中下一条规则检查；当数据包与规则匹配时，iptable
全网超详细的Linux iptables命令详解以及详解iptables-save和iptables-restore命令
念兮为美
02-21 4597
全网超详细的Linux iptables命令详解，详解iptables-save和iptables-restore命令，防火墙的备份与删除，iptables的四表——filter表(过滤规则表)，nat表(地址转换规则表)，mangle表(修改数据标记位规则表)，raw表(跟踪数据表规则表)和五链——input，output，forward，preRouting，postRounting， iptables语法格式，ChatGPT的详细介绍等
iptables+firewalld
小杜的博客
04-16 456
防火墙讲解 centos7默认使用的防火墙是firewalld,但是同样也是支持iptables,在当今许多的企业中 使用的最多的是还是centos6的系统，所以为了能更好的服务于这些使用centos6的公司 我们首先学习的是iptables。最后学习firewalld。 iptables netfilter/iptables:IP信息包过滤系统，由2个组件构成，分别是：netfilter和ip...
iptables 防火墙（二）
最新发布
m0_74860678的博客
07-01 1102
SNAT策略的典型应用环境局域网主机共享单个公网IP地址接入InternetSNAT策略的原理源地址转换，Source Network Address Translation修改数据包的源地址开启路由转发，未设置地址转换的情况正常情况下，作为网关的 Linux 服务器必须打开路由转发，才能沟通多个网络。未使用地址转换策略时，从局域网 PC（如 192.168.1.234）访问 Internet 的数据包经过网关转发后其源 IP 地址保持不变，
firewalld
weixin_30332241的博客
09-05 112
FirewallD 是 iptables 的一个封装，可以让你更容易地管理 iptables 规则 - 它并不是iptables 的替代品。虽然 iptables 命令仍可用于 FirewallD，但建议使用 FirewallD 时仅使用 FirewallD 命令。 安装和管理 1.启动服务，并在系统引导时启动该服务 $ sudo systemctl start firewalld ...
Linux常用命令——iptables-restore命令
AI的博客
04-20 330
iptables.bak是iptables-save命令所备份的文件。用来还原iptables-save命令所备份的iptables配置。还原iptables表的配置。
Centos7 防火墙策略rich-rule 限制ip访问-----图文详解
冰恋云的专栏
03-13 7954
查看防火墙策略。
Firewalld 用法解析
10-31 1472
1.防火墙firewall的基本概述 现在的RedHat/CentOS7版本默认都使用firewall防火墙了，firewall的配方法大致可以分为图形化和命令行。firewalld跟iptables比起来，不好的地方是每个服务都需要去设置才能放行，因为默认是拒绝。而iptables里默认是每个服务是允许，需要拒绝的才去限制。 firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和 iptables一样，他们的作用都是用于
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值