每次配置访问服务器都会一团迷雾，今天来尝试弄清楚同时借鉴一下大佬的博文当做笔记

防火墙简介

详细讲下linux防火墙，防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义防火墙到底如何去工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。

一、防火墙基础

Linux防火墙主要工作在网络层，属于典型的包过滤防火墙。

redhat 6 使用的是iptables
redhat 7 使用的是firewalld
iptables服务会把配置好的防火墙策略交由**内核层面的 netfilter **网络过滤器来处理

firewalld服务则是把配置好的防火墙策略交由**内核层面的 nftables **包过滤框架来处理

iptables和firewalld都是Linux配置内核防火墙的工具

二、iptables

iptables 是一款基于命令行的防火墙策略管理工具，具有大量参数，学习难度较大。好在对于日常的防火墙策略配置来讲，大家对“四表五链”的理论概念了解即可，只需要掌握常用的参数并做到灵活搭配即可，这就足以应对日常工作了。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。
下表总结归纳了常用的iptables命令参数。再次强调，我们无需死记硬背这些参数，只需借助下面的实验来理解掌握即可。

Iptables采用了表和链的分层结构，每个规则表相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表，raw表，mangle表，nat表，filter表，每个表容器内包括不同的规则链，根据处理数据包的不同时机划分为五种链，而决定是否过滤或处理数据包的各种规则，按先后顺序存放在各规则链中。

规则表分为以下4种（了解）
filter表：用来对数据包进行过滤，表内包含三个链，即：INPUT,FORWARD,OUTPUT
Nat表：nat表主要用来修改数据包的ip地址、端口号等信息。包含三个链，即PREROUTING,POSTROUTING,OUTPUT
Mangle表：用来修改数据包的TOS、TTL,或者为数据包设置MARL标记，实现流量×××，策略路由等高级应用，包含五个链，PREROUTING,POSTROUTING,INPUT,OUTPUT,FORWARD
Raw表：用来决定是否对数据包进行状态跟踪，包含两个链：即OUTPUT,PREROUTING

规则链分为以下5种（了解）
INPUT链：当收到访问防火墙本机地址的数据包（入站），应用此链中的规则。
OUTPUT链：当防火墙本机向外发送数据包（出站）时，应用此链中的规则。
FORWARD链：当收到需要通过防火墙中转发送给其他地址的数据包（转发）时，应用此链中的规则。
PREROUTING链：在对数据包做路由选择之前，应用此链中的规则。
POSTROUTING链：在对数据包做路由选择之后，应用此链中的规则。

防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

防火墙策略

防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。
当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；
如果防火墙的默认策略为允许时（通），就要设置拒绝规则（堵），否则谁都能进来，防火墙也就失去了防范的作用

ACCEPT（允许流量通过）
REJECT（拒绝流量通过）
LOG（记录日志信息）
DROP（拒绝流量通过）

REJECT 和 DROP 的不同点
DROP来说，它是直接将流量丢弃而且不响应
REJECT 则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

iptables 命令格式：

iptables [-t 表] -命令 匹配 操作

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> –sport 源端口 <-d 目标IP/目标子网> –dport 目标端口 -j 动作

iptables案例

1.查看开放的端口

# cat /etc/sysconfig/iptables
# netstat -ntlp #列出所有端口

2.开放端口（此处以80端口为例）

方法一：

# iptables -I INPUT -p tcp --dport 80 -j ACCEPT #写入修改
# service iptables save #保存修改 
# service iptables restart 重启防火墙，修改生效

方法二：

# vi /etc/sysconfig/iptables #打开配置文件加入如下语句:
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT  
10#然后重启防火墙，修改完成

3.关闭端口（此处以80端口为例）

方法一：

# iptables -I INPUT -p tcp --dport 80 -j DROP #写入修改
# service iptables save #保存修改
# service iptables restart #重启防火墙，修改生效 

方法二：

# vi /etc/sysconfig/iptables #打开配置文件加入如下语句: 
8-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j DROP   
9#然后重启防火墙，修改完成

3.查看端口状态

# /etc/init.d/iptables status

4.将 INPUT 规则链设置为只允许指定网段的主机访问本机的 22 端口，拒绝来自其他所有主机的流量：

# iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT 
# iptables -A INPUT -p tcp --dport 22 -j REJECT

5.向 INPUT 规则链中添加拒绝所有人访问本机 12345 端口的策略规则：

# iptables -I INPUT -p tcp --dport 12345 -j REJECT 
# iptables -I INPUT -p udp --dport 12345 -j REJECT

6.向 INPUT 规则链中添加拒绝 192.168.10.5 主机访问本机 80 端口（Web 服务）的策略规则：

# iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT

7.向 INPUT 规则链中添加拒绝所有主机访问本机 1000～1024 端口的策略规则：

# iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT 
# iptables -A INPUT -p udp --dport 1000:1024 -j REJECT

8.查看已有的防火墙规则链：

# iptables -L

9.把 INPUT 规则链的默认策略设置为拒绝：

# iptables -P INPUT DROP

10.向防火墙的INPUT 规则链中添加一条允许 ICMP 流量进入的策略规则默认允许了这种 ping 命令检测行为：

# iptables -I INPUT -p icmp -j ACCEPT

11、删除 INPUT 规则链中刚刚加入的那条策略（允许 ICMP 流量），并把默认策略设置为允许：

# iptables -D INPUT 1 
# iptables -P INPUT ACCEPT

12.使用 iptables 命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：

# service iptables save

三、firewalld

相较于传统的防火墙管理配置工具，firewalld 支持动态更新技术并加入了**区域（zone）**的概念。简单来说，区域就是 firewalld 预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。

firewalld跟iptables比起来至少有两大好处：

1. firewalld可以动态修改单条规则，而不需要像iptables那样，在修改了规则后必须得全部刷新才可以生效；
2. firewalld在使用上要比iptables人性化很多，即使不明白“五张表五条链”而且对TCP/IP协议也不理解也可以实现大部分功能。

注：firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样罢了。

区域管理

一个重要的概念：区域管理
firewalld将网卡对应到不同的区域（zone），zone 默认共有9个： block，dmz，drop，external，home，internal，public， trusted，work
都保存在“/usr/lib/firewalld/zones/”目录下。

firewalld 中常用的区域名称及默认规则：

firewalld-cmd终端管理工具

终端管理工具 firewalld-cmd
firewall 可以看成整个防火墙服务，而 firewall-cmd 可以看成是其中的一个功能，可用来管理端口

firewalld-cmd 命令中使用的参数以及作用

firewalld案例

1.查看 firewall 防火墙程序是否正在运行：

# firewall-cmd --state

2.查看已打开的所有端口：

# firewall-cmd --zone=public --list-ports

3.开启指定端口：（以80端口为例）

# firewall-cmd --zone=public --add-port=80/tcp --permanent

（–permanent 永久生效，没有此参数重启后失效）
重新加载 firewall，

firewall-cmd --reload 

修改配置后，必须重新加载才能生效

4.关闭指定端口

以8080为例

# firewall-cmd --zone=public --remove-port=8080/tcp --permanent

（–permanent 表示永久生效，没有此参数重启后失效）
重新加载 firewall，修改配置后，必须重新加载才能生效：

firewall-cmd --reload 

firewall-cmd对端口的操作，如开放端口等信息，都放在”/etc/firewall/zones/public.xml”中记录,所以直接修改此文件也是可以的

四、linux防火墙状态命令

iptables防火墙

开启80端口 vim /etc/sysconfig/iptables 加入如下代码 -A INPUT -m state –state NEW -m tcp -p tcp –dport 80 -j ACCEPT
保存退出后重启防火墙 service iptables restart

firewall防火墙

参数解释 1、firwall-cmd：是Linux提供的操作firewall的一个工具； 2、–permanent：表示设置为持久； 3、–add-port：标识添加的端口；

五、查看服务状态操作

service network status  //查看指定服务状态
service network stop  //停止指定服务
service network start  //启动指定服务
service network restart  //重启指定服务
 
service --status-all  //查看系统中所有后台服务
netstat -nltp  //查看系统中网络进程的端口监听情况

本文借鉴于（侵删）：Linux防火墙是什么？有什么用？