前言
CentOS中7以下防火墙是 iptables，7是 firewalld，两者不尽相同，一开始以为 firewalld 比 iptables会更麻烦，其实 firewalld 比 iptables 方便多了，这里简单描述下配置。
iptables
基本命令
1. 重启系统生效
chkconfig iptables on
# 启动
chkconfig iptables off
# 关闭
2. 即时生效，重启后失效
service iptables start
# 启动
service iptables stop
# 关闭设定规则
1、查看本机关于 iptables 的设置情况
iptables -L -n
2、清除原有规则
iptables -F
# 清除预设表 filter 中的所有规则链的规则
3、保存设置规则(因配置随系统重启而失效)
/etc/rc.d/init.d/iptables save
# 保存规则到 /etc/sysconfig/iptables 文件中, 也可手工编辑该文件.
4、设定预设规则
iptables -p INPUT DROP
iptables -p OUTPUT DROP
iptables -p FORWARD DROP
# 上面的规则是不允许任何包通过.
5、添加规则
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp –sport 22 -j ACCEPT
# 开启 22 端口, 允许 SSH 登录, 如开启 80 端口:
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp –sport 80 -j ACCEPT
6、禁止某个IP访问
iptables -I INPUT -s x.x.x.x -j DROP
# 也可进行更细致的设置, 如只允许 192.168.1.14 的机器进行 SSH 连接:
iptables -A INPUT -p tcp –dport 22 -s 192.168.1.14 -j ACCEPT
# 如果要允许或限制一段IP地址可用 192.168.1.0/24 表示 192.168.1.1-255 端的所有 IP.
7、防止同步包洪水(Sync Flood)
iptables -A FORWARD -p tcp –syn -m limit –limit 1/s -j ACCEPT
8、防止各种端口扫描
#iptables -A FORWARD -p tcp –tcp-flags SYN,ACK,FIN,RST RST -m limit –limit 1/s -j ACCEPT
9、Ping 洪水攻击(Ping of Death)
#iptables -A FORWARD -p icmp –icmp-type echo-request -m limit –limit 1/s -j ACCEPTfirewalld
基本命令
1、重启系统生效
systemctl enable firewalld
# 启动
systemctl disable firewalld
# 关闭
2、即时生效，重启后失效
systemctl start firewalld
# 启动
systemctl stop firewalld
# 关闭
3、查看状态
firewall-cmd --state
4、查看已配置规则
firewall-cmd --list-all
5、更新配置
firewall-cmd --list-all设定规则
1、拒绝/取消拒绝所有包
firewall-cmd --panic-on
firewall-cmd --panic-off
2、将接口添加到 public 区域
firewall-cmd --zone=public --add-interface=eth0
3、把 tcp 80 端口加入/移除到区域
firewall-cmd --zone=pulic --add-port=80/tcp
firewall-cmd --zone=pulic --remove-port=80/tcp
把 http 服务加入/移除到区域
firewall-cmd --zone=public --add-service=http
firewall-cmd --zone=public --remove-service=http
5、设置永久生效
# 命令中加上 --permanet 参数则永久生效，比如
firewall-cmd --zone=public --add-service=http --permanent高级应用
1、仅允许部分 IP 访问特定服务
firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.4/24" service name="http" accept" --permanent
2、仅允许部分 IP 访问特定端口
firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.4/24" port protocol="tcp" port="8080" accept" --permanent
3、查看 FTP 服务设置
firewall-cmd --query-service ftp
4、查看激活的区域以及切换区域
firewall-cmd --get-active-zones
firewall-cmd --set-default-zone=public
5、限制每分钟只有两个连接到ftp服务
firewall-cmd --add-rich-rule='rule service name=ftp limit value=2/m accept'