防火墻 · TUNA-daily

[TOC] **CentOS 7中防火墻是一個非常的強大的功能，在CentOS 6.5中在iptables防火墻中進行了升級了。** ## 1. centos 防火墻開放端口端口訪問分為入（input）和出（output）方向 ### 1.1 Firewall Centos7下默認的防火墻是Firewall，替代了之前的iptables。Firewall有圖形界面管理和命令行管理兩種方式。常用方法如下： ~~~ firewall-cmd --state ##查看防火墻狀態，是否是running firewall-cmd --reload ##重新載入配置，比如添加規則之后，需要執行此命令 firewall-cmd --get-zones ##列出支持的zone firewall-cmd --get-services##列出支持的服務，在列表中的服務是放行的 firewall-cmd --query-service ftp##查看ftp服務是否支持，返回yes或者no firewall-cmd --add-service=ftp ##臨時開放ftp服務 firewall-cmd --add-service=ftp --permanent##永久開放ftp服務 firewall-cmd --remove-service=ftp --permanent##永久移除ftp服務 firewall-cmd --add-port=80/tcp --permanent ##永久添加80端口 iptables -L -n ##查看規則，這個命令是和iptables的相同的 ~~~ ### 1.2 用例 ~~~ #防火墻列表 firewall-cmd --list-all #防火墻開放31005端口 firewall-cmd --permanent --add-port=31005/tcp # 防火墻重新加載配置 firewall-cmd --reload ~~~ ## 2. iptables **centos6用iptables，而centos7用Firewall取代了iptables** ### 2.1 修改配置文件的方式 1. 開放單個端口： ~~~ -A INPUT -p tcp -m state --state NEW -m tcp --dport 8888 -j ACCEPT ~~~ 2. 開放多個端口 3. 開放區間端口 ~~~ -A INPUT -m state –state NEW -m tcp -p tcp –dport 3000:5000 -j ACCEPT ~~~ 修改配置文件，加入開放端口 ~~~ vim /etc/sysconfig/iptables ~~~ ~~~ # Generated by iptables-save v1.4.7 on Wed May 16 09:10:48 2018 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [11:2144] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 8888 -j ACCEPT # 開放8888端口 -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT # Completed on Wed May 16 09:10:48 2018 ~~~ 新開放的端口一定要放在以下配置的上邊才可以生效！ ~~~ -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited ~~~ 重啟iptables服務 ~~~ service iptables restart ~~~ 查看狀態: ~~~ iptables -L -n ~~~ ### 2.2 命令行的方式 ~~~ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8888 -j ACCEPT ~~~ 保存設置 ~~~ service iptables save ~~~ ## 3. 如何刪除規則首先我們要知道這條規則的編號，每條規則都有一個編號通過 iptables -L -n --line-number 可以顯示規則和相對應的編號 ~~~ iptables -L -n --line-number num target prot opt source destination 1 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:3306 2 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21 3 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 ~~~ 多了 num 這一列，這樣我們就可以看到剛才的規則對應的是編號2 例如刪除第二行 iptables -D INPUT 2