防火墙配置之iptables 配置

最开始以为iptables 是firewall自带的组件，后来因为保存iptables 之后重启 firewall ，iptables规则消失，猜测其实是两个组件。（仅仅是猜测，未来得及深究）

环境是： red hat enterprise linux 9

使用原生的firewall 配置端口

防火墙开放端口

firewall-cmd --zone=public --add-port=3306/tcp --permanent

firewall-cmd --reload 需要重新载入以生效

firewall-cmd --list-ports 查看开放端口列表

iptables 配置出入站ip 规则，以22和3306端口为例

iptables -A INPUT -s 10.108.17.12  -p tcp --dport 3306 -j ACCEPT

iptables -A INPUT -s 192.168.32.102  -p tcp --dport 3306 -j ACCEPT

iptables -A  INPUT -p tcp --dport 3306 -j DROP

iptables -A INPUT -s 10.188.41.132  -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -s 192.168.32.102  -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -s 10.108.17.12  -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j DROP

其中-A表示append 到规则列表后面，-I表示insert INPUT之后可以跟着数字表示插入到哪一行

1. iptables -I INPUT 1 -m state --state ESTABLISHED,RELATED -j ACCEPT

   • -I INPUT 1: 插入一条新的规则到 INPUT 链的第一个位置。-I 表示插入，而不仅仅是追加。
   • -m state: 使用状态模块来匹配数据包的状态。
   • --state ESTABLISHED,RELATED: 只匹配已建立（ESTABLISHED）或与已建立连接相关的（RELATED）数据包。
   • -j ACCEPT: 如果数据包匹配上述条件，则接受（允许）该数据包。

2. iptables -I INPUT 2 -i lo -j ACCEPT

   • -I INPUT 2: 插入一条新的规则到 INPUT 链的第二个位置。
   • -i lo: 只匹配从本地回环接口（lo）进入的数据包。
   • -j ACCEPT: 接受（允许）该数据包

在iptables中，规则是按照顺序进行评估的，一旦找到匹配的规则，就会执行相应的操作（ACCEPT或DROP），并且不会继续评估后续的规则

此时如果执行 iptables-save 会提示保存成功，但是在重启firewall 之后还是会丢失规则。

但是如果通过 这种方式则可以永久保存规则
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="0.0.0.0/0" port protocol="tcp" port="9903" drop" 其中0.0.0.0/0表示禁用所有ip访问

firewall-cmd --permanent --add-rich-rule="rule priority="-100" family="ipv4" source address="10.108.17.12" port protocol="tcp" port="9903" accept" 

priority 是-32768到32767

以下是 3306 和22端口的保护规则，只需要保证accept 的规则优先级小于0即可

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="0.0.0.0/0" port protocol="tcp" port="3306" drop"
firewall-cmd --permanent --add-rich-rule="rule priority="-100" family="ipv4" source address="10.188.41.132" port protocol="tcp" port="3306" accept"
firewall-cmd --permanent --add-rich-rule="rule priority="-100" family="ipv4" source address="10.108.17.12" port protocol="tcp" port="3306" accept"
firewall-cmd --permanent --add-rich-rule="rule priority="-100" family="ipv4" source address="192.168.32.102" port protocol="tcp" port="3306" accept"

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="0.0.0.0/0" port protocol="tcp" port="22" drop"
firewall-cmd --permanent --add-rich-rule="rule priority="-100" family="ipv4" source address="10.188.41.132" port protocol="tcp" port="22" accept"
firewall-cmd --permanent --add-rich-rule="rule priority="-100" family="ipv4" source address="10.108.17.12" port protocol="tcp" port="22" accept"
firewall-cmd --permanent --add-rich-rule="rule priority="-100" family="ipv4" source address="192.168.32.102" port protocol="tcp" port="22" accept"