防火墙涂鸦图

iptable之五条链

iptable之四张表

表的处理优先级：raw > mangle >nat > filter

运维人员主要操作的是input链

设置本地网卡访问虚拟机

设置网卡属性

虚拟机上选择仅主机模式

配置网卡

在windows上ping虚拟主机

iptabls中的参数对象

下面执行iptabls命令规则

意思是：向INPUT上的规则链从头插入一条来源IP是192.168.10.1协议类型是icmp的(-j指定动作)给拒绝掉

[root@localhost network-scripts]# iptables -I INPUT -s 192.168.10.1 -p icmp -j REJECT

windows系统ping结果

C:\Users\a364482611>ping 192.168.10.10

正在 Ping 192.168.10.10 具有 32 字节的数据:
来自 192.168.10.10 的回复: 无法连到端口。
来自 192.168.10.10 的回复: 无法连到端口。

如果-s不指定、那么对所有来源都有效

来一条命令意思是：将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量

iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT

拒绝所有输入进来目标端口是22网络数据类型为tcp的的来源ip都拒绝掉

iptables -I INPUT -p tcp --dport 22 -j REJECT

Xsell链接失败

[c:\~]$ 

Connecting to 192.168.10.10:22...
Could not connect to '192.168.10.10' (port 22): Connection failed.

Type `help' to learn how to use Xshell prompt.
[c:\~]$

设置默认规则、自带默认规则是允许的

设置的默认规则只能丢包不能拒绝

iptables -P INPUT DROP

这样ping 192.168.10.10会请求超时

[root@localhost network-scripts]# iptables -P INPUT DROP
[root@localhost network-scripts]# iptables -I INPUT -s 192.168.10.1 -p icmp -j ACCEPT

在ping 192.168.10.10则正常

查看INPUT链

[root@localhost network-scripts]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     icmp --  192.168.10.1         anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@localhost network-scripts]#

删除INPUT链上的第一条规则

[root@localhost network-scripts]# iptables -D INPUT 1

[root@localhost network-scripts]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@localhost network-scripts]# 

firewall防火墙

firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的。

`[root@localhost ~]# firewall-cmd --get-default-zone
public`

firewall的分为两种模式一种是当前模式运行时（Runtime）模式只对当前有效、重启清空、一种是永久（Permanent）模式。方法就是在用firewall-cmd命令正常设置防火墙策略时添加–permanent参数，这样配置的防火墙策略就可以永久生效了、不过需要重启或者–reload

查询public区域是否允许请求SSH和mysql服务的流量

[root@localhost ~]# firewall-cmd --zone=public --query-service=ssh
yes
[root@localhost ~]# firewall-cmd --zone=public --query-service=mysql
no
[root@localhost ~]# firewall-cmd --zone=public --query-service=nginx
Error: INVALID_SERVICE: nginx
[root@localhost ~]# 

firewall-cmd –zone=public –query-service 按下tab查看所有服务

查看允许的端口

[root@localhost ~]# firewall-cmd --zone=public --list-ports

[root@localhost ~]# firewall-cmd --permanent --zone=public  --list-ports 

把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：

[root@localhost ~]#  firewall-cmd --zone=public --add-port=8080-8081/tcp
success

查看所有端口拥有的流量

[root@localhost ~]# firewall-cmd --zone=public --list-ports
8080-8081/tcp
[root@localhost ~]#

永久模式下查看

[root@localhost ~]# firewall-cmd --permanent --zone=public --list-ports