日常运维（三）

十二、 firewalld和netfilter

selinux
临时关闭 setenforce 0
永久关闭编辑配置文件 /etc/selinux/config

三个状态：1、enforcing 开启
2、permissive 开启状态，但是不生效，只记录日志，临时关闭会调整到这个状态
3、disabled 关闭
firewalld服务管理
systemctl disable firewalld 禁止开机自启动
system stop firewalld 关闭firewalld服务
启动iptables服务 yum install -y iptables-service
systemctl enable iptables
systemctl start iptables

十三、 netfilter5表5链介绍
filter表
三个链：INPUT、FORWARD、OUTPUT
用于过滤数据包
NAT表
三个链：PREROUTING、OUTPUT、POSTROUTING
用于网络地址转换
mangle表、raw表、security表基本上不用

1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则
（记住！所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则
（所有的数据包出来的时侯都先由这个链处理）

十四、iptables语法

查看iptables规则 iptables -nvL

清空规则
iptables -F
这里的清空只是清空当前iptables中的设置规则，不会清空保存的规则，重启iptables服务即可恢复保存过的规则
保存规则
service iptables save
会把当前iptables的所有规则保存到/etc/sysconfig/iptables/文件中
数据包清空
iptables -t 指定表的名字 如果不加-t 默认filter表
iptables -Z
可以清空所有规则相关的数据包

增加一条规则
iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP
-A放在最后面
iptables -I INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP
-I放在最前面
删除规则
iptables -D INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP
如果规则时间太长记不清楚了，可以选择通过序号来删除 --line numbers
iptables -nvL （链名）–line numbers
iptables -D INPUT(链名) 1(规则编号)
-P 默认规则 默认规则不要改动它，否则会出现xshell无法连接

十五、 iptables filter表小案例
放行端口
只放行80、21、22端口并且只有指定的IP可以通过，我们可以写一个shell脚本来实现
#! /bin/bash
ipt="/usr/sbin/iptables" 定义变量，iptables绝对路径
$ipt -F 清空iptables规则
$ipt -P INPUT DROP 默认规则，丢弃所有数据包
$ipt -P OUTPUT ACCEPT 默认规则，放行OUTPUT链的数据包
$ipt -P FORWARD ACCEPT 默认规则，放行FORWARD链的数据包
$ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$ipt -A INPUT -s 192.168.17.0/24 -p tcp --dport 22 -j ACCEPT 只允许该网段链接22端口
$ipt -A INPUT -p tcp --dport 80 -j ACCEPT 增加规则，允许通过所有80端口数据包
$ipt -A INPUT -p tcp --dport 21 -j ACCEPT 增加规则，允许通过所有21端口数据包

禁止ping
本机可以ping其他IP，但是别的机器不能ping本机
iptables -F ; iptables -P INPUT ACCEPT
首先清空之前的规则，并且允许所有数据包通过INPUT链，必须一条命令执行，否则远程直接断开
iptables -I INPUT -p icmp --icmp-type 8 -j DROP
插入这条规则过后，本机可以ping通其他IP，其他IP无法ping通本机