Firewalld与Ipbables

Ipbables

五条规则链

在进行路由选择前处理数据包（PREROUTING） DNAT

处理流入的数据包（INPUT）

处理流出的数据包（OUTPUT）

处理转发的数据包（FORWARD）

在进行路由选择后处理数据包（POSTROUTING）SNAT

四张表

raw ：高级功能，如：网址过滤。

mangle ：数据包修改（QOS），用于实现服务质量。

nat ：地址转换，用于网关路由器。 OUTPUT PREROUTING POSTROUTING

filter ：包过滤，用于防火墙规则。 INPUT OUTPUT FORWARD

策略

ACCEPT ：接收数据包。

DROP ：丢弃数据包。

REDIRECT ：重定向、映射、透明代理。

SNAT ：源地址转换。

DNAT ：目标地址转换。

MASQUERADE ：IP伪装（NAT），用于ADSL。

LOG ：日志记录。

SEMARK : 添加SEMARK标记以供网域内强制访问控制（MAC）

命令

配置永久生效

service iptables save

或者

iptables-save > 1.txt
iptables-restore < 1.txt

Firewalld（CentOS7）

# 永久生效
firewall-cmd --permanent
# 重新加载
firewall-cmd --reload

# 默认zone
firewall-cmd --set-default-zone=public
firewall-cmd --get-default-zone
firewall-cmd --zone=external --change-interface=eno16777728
firewall-cmd --get-zone-of-interface=eno16777728

# 应急模式（断网）
firewall-cmd --panic-on
firewall-cmd --panic-off

# service会自动对应端口，且只对应程序的默认端口，当然是可以改的，不过没必要
# 查询服务相关端口开放情况
firewall-cmd --zone=public --query-service=ssh
# 开放相关服务端口
firewall-cmd --zone=public --add-service=https
# 关闭相关服务端口
firewall-cmd --zone=public --remove-service=http
# 开放指定端口
firewall-cmd --zone=public --add-port=8080-8081/tcp
firewall-cmd --zone=public --list-ports

# 端口转发
firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>


# 富规则，优先级最高
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject'

# 直连模式，用iptables语句，最好不要与富规则一起用
firewall-cmd --direct --add-rule ipv4 表 链 优先级 参数

# 伪装IP
firewall-cmd --query-masquerade # 检查是否允许伪装IP
firewall-cmd --add-masquerade   # 允许防火墙伪装IP
firewall-cmd --remove-masquerade# 禁止防火墙伪装IP

# 富规则语言
rule [family="ipv4|ipv6"]
  [source [not] address="address[/mask]"|mac="mac-address"|ipset="ipset"]
  [destination [not] address="address[/mask]]
  service name="service name"|port port="port value" protocol="tcp|udp"|protocol value="协议编号"|masquerade|forward-port port="port value" protocol="tcp|udp" to-port="port value" to-addr="address"|source-port port="port value" protocol="tcp|udp"
  [accept|reject|drop]