linux——Iptables与Firewalld防火墙

8.1 防火墙管理工具

在RHEL 7系统中，firewalld防火墙取代了iptables防火墙。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。

8.2 Iptables

8.2.1 策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下： 

• 在进行路由选择前处理数据包（PREROUTING）；
• 处理流入的数据包（INPUT）；
• 处理流出的数据包（OUTPUT）；
• 处理转发的数据包（FORWARD）；
• 在进行路由选择后处理数据包（POSTROUTING）。

采用什么样的动作来处理这些匹配的流量：ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。 

规则链的默认策略拒绝动作只能是DROP，而不能是REJECT。

iptables中常用的参数以及作用

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链