iptables firewalld

防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来制定，然后防火墙使用预先定义的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃

iptables和firewalld只是用来定义防火墙策略的防火墙工具，只是一种服务
iptables服务会把配置好的防火墙交由内核层面的netfilter网络过滤器来处理
firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理

防火墙策略规则的设置有两种
1.“通”（放行）
2.“堵”（阻止）

规则链依据数据包处理位置的不同进行分类
1.在进行路由选择前处理数据包(Prerouting)
2.处理流入的数据包(input)
3.处理流出的数据包(output)
4.处理转发的数据包(Forward)
5.在进行路由选择后处理数据包(Postrouting)

一般来讲，从内网向外网发送的流量是可控且良性的，因此使用最多的就是INPUT规则链

Accept
Reject:会在拒绝流量后再回复一条“你的信息已经收到，但是被扔掉了”
Log
Drop:直接丢弃而且不响应

iptables常用参数

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链末尾加入新规则
-I num	在规则链头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址 IP/MASK，加叹号"!" 表示除这个IP外
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议，如TCP、UDP、ICMP
–dport num	匹配目标端口号
–sport num	匹配来源端口号

查看已有防火墙规则链

保存配置：
service iptables save

firewalld

区域	默认策略规则
trusted	允许所有的数据包
home	拒绝流入的流量，除非与流出的流量相关，而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流利数相关，而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public	拒绝流入的流量，除非与流出的流量相关，而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关，而如果流量与ssh服务相关，则允许流量
dmz	拒绝流入的流量，除非与流出的流量相关，而如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

firewalld配置的防火墙策略默认是运行时(runtime)，又称为当前生效模式
若想让配置一直存在，则需要使用永久模式(permanent)
方法：在用 firewall-cmd命令正常设置防火墙策略时添加 --permanent 参数，但是只有在系统重启之后才能自动生效。
若想立即生效，则需手动执行：firewall-cmd-reload

查看firewalld服务当前所使用的区域
firewall-cmd --get-default-zone

把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效
firewall-cmd --zone=public --add-port=8080-8081/tcp
success

firewall-cmd --zone=public --list-ports
8080-8081/tcp

firewall中的富规则变式更细致、更详细的防火墙策略配置，可以针对系统服务、端口号、源地址和目标地址等信息进行更有针对性的策略配置
优先级在所有的防火墙策略中也是最高的