Linux防火墙和iptables

1. CentOS

查看防火墙状态：

systemctl status firewalld

firewall-cmd --state

启停防火墙：

# 开启
systemctl start firewalld

# 重启
systemctl restart firewalld

# 关闭
systemctl stop firewalld

# 开机自启
systemctl enable firewalld

# 取消开机自启
systemctl disable firewalld

查看防火墙规则：

firewall-cmd --list-all

开放端口：

firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --reload

关闭端口：

firewall-cmd --permanent --remove-port=80/tcp
firewall-cmd --reload

查询端口是否开放：

firewall-cmd --query-port=80/tcp

2. Ubuntu

查看防火墙状态：

 ufw status

启停防火墙：

# 启动、并开机自启

ufw enable

# 关闭、并关闭开机自启
ufw disable

ufw 命令似乎没什么 luan 用：UFW(iptables)规则的匹配基于规则出现的顺序，一旦匹配到某个规则，检查便会停止。

直接在 /etc/ufw/before.rules 文件中添加规则即可。

...
# End required lines

# 开放 80 端口
-A ufw-before-input -p tcp --dport 80 -j ACCEPT

# 关闭 8080 端口
-A ufw-before-input -p tcp --dport 8080 -j DROP

# 拒绝主机 222.201.187.189 的访问
-A ufw-before-input -s 222.201.187.189 -j DROP

# 拒绝子网 222.201.187.0/24 中的主机的访问
-A ufw-before-input -s 222.201.187.0/24 -j DROP

重新加载配置信息：

ufw reload

3. iptables

主要用法：

iptables [-t table] {-A|-C|-D} chain rule-specification

iptables [-t table] -D chain rulenum

iptables [-t table] -I chain [rulenum] rule-specification

iptables [-t table] {-F|-L} [chain]

iptables [-t table] -P chain target

iptables [-t table] -R chain rulenum rule-specification

• table：在指定的表上执行操作。当前有 filter (默认)、nat、mangle、raw、security 五张表。
• chain：每张表上都有多条规则链，目前有 PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD 五条链。
• filter表3条链：INPUT、FORWARD、OUTPUT
• nat表3条链：PREROUTING、POSTROUTING、OUTPUT
• mangle表5条链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
• raw表2条链：OUTPUT、PREROUTING
• security表3条链：INPUT、FORWARD、OUTPUT
• -A：在链的末尾追加一条规则。
• -C：查看是否存在指定的规则。
• -D：删除指定的规则。
• -I：在指定位置（默认为链头）插入一条规则。
• -F：清空指定的链；
• -L：列出链中的所有规则。
• -P：修改链的默认 target。
• -R：替换某条规则。

target

• ACCEPT：接受数据包。
• DROP：丢弃数据包，不做任何响应。

常用的条件匹配

• -p protocol：指定协议。
• -s source：指定源地址。
• -d destination：指定目的地址。
• -i interface：指定进入的接口。
• -o interface：指定出去的接口。
• --sport port：指定源端口。
• --dport port：指定目的端口。
• -m match：使用其他扩展匹配。

支持取反操作 !，如，! -p icmp 即非 ICMP 协议。

# 默认丢弃所有数据包
iptables -P INPUT DROP

# 在链头插入规则
iptables -I INPUT 1 -s 192.168.1.1 -j ACCEPT

# 替换规则
iptables -R INPUT 1 -p icmp -s 222.201.189.0/24 -j DROP

# 指定多个端口
iptables -A INPUT -p tcp -m multiport --dport 20,21,25,110,1250:1280 -j ACCEPT

# 指定多个IP地址
iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.20-192.168.1.99 -j DROP

清空所有规则：

iptables -F

保存、恢复规则：

# 保存
iptables-save > iptables.txt

# 恢复
iptables-restore < iptables.txt

参考资料

https://www.cnblogs.com/xxoome/p/7115614.html

https://www.cnblogs.com/zhaojingyu/p/11458744.html

https://www.cnblogs.com/metoy/p/4320813.html