Firewalld与Ipbables
Ipbables
五条规则链
在进行路由选择前处理数据包（PREROUTING） DNAT
处理流入的数据包（INPUT）
处理流出的数据包（OUTPUT）
处理转发的数据包（FORWARD）
在进行路由选择后处理数据包（POSTROUTING）SNAT
四张表
raw ：高级功能，如：网址过滤。 mangle ：数据包修改（QOS），用于实现服务质量。 nat ：地址转换，用于网关路由器。 OUTPUT PREROUTING POSTROUTING filter ：包过滤，用于防火墙规则。 INPUT OUTPUT FORWARD
策略
ACCEPT ：接收数据包。 DROP ：丢弃数据包。 REDIRECT ：重定向、映射、透明代理。 SNAT ：源地址转换。 DNAT ：目标地址转换。 MASQUERADE ：IP伪装（NAT），用于ADSL。 LOG ：日志记录。 SEMARK : 添加SEMARK标记以供网域内强制访问控制（MAC）
命令
| 选项 | 含义 |
|---|---|
| -P | 设置规则链的默认策略 |
| -F | 清空规则链 |
| -L | 查看规则链 |
| -A | 在规则链的末尾加入新规则 |
| -I num | 在规则链的头部加入新规则 |
| -D num | 删除某一条规则 |
| -s | 匹配来源地址IP/MASK，加叹号“!”表示除这个IP外 |
| -d | 匹配目标地址 |
| -i 网卡名称 | 匹配从这块网卡流入的数据 |
| -o 网卡名称 | 匹配从这块网卡流出的数据 |
| -p | 匹配协议，如TCP、UDP、ICMP |
| --dport num | 匹配目标端口号 |
| --sport num | 匹配来源端口号 |
| -t table | table 必须是 raw， nat，filter(默认)，mangle 中的一个 |
配置永久生效
service iptables save或者
iptables-save > 1.txt
iptables-restore < 1.txtFirewalld（CentOS7）
# 永久生效
firewall-cmd --permanent
# 重新加载
firewall-cmd --reload
# 默认zone
firewall-cmd --set-default-zone=public
firewall-cmd --get-default-zone
firewall-cmd --zone=external --change-interface=eno16777728
firewall-cmd --get-zone-of-interface=eno16777728
# 应急模式（断网）
firewall-cmd --panic-on
firewall-cmd --panic-off
# service会自动对应端口，且只对应程序的默认端口，当然是可以改的，不过没必要
# 查询服务相关端口开放情况
firewall-cmd --zone=public --query-service=ssh
# 开放相关服务端口
firewall-cmd --zone=public --add-service=https
# 关闭相关服务端口
firewall-cmd --zone=public --remove-service=http
# 开放指定端口
firewall-cmd --zone=public --add-port=8080-8081/tcp
firewall-cmd --zone=public --list-ports
# 端口转发
firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
# 富规则，优先级最高
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject'
# 直连模式，用iptables语句，最好不要与富规则一起用
firewall-cmd --direct --add-rule ipv4 表 链 优先级 参数
# 伪装IP
firewall-cmd --query-masquerade # 检查是否允许伪装IP
firewall-cmd --add-masquerade # 允许防火墙伪装IP
firewall-cmd --remove-masquerade# 禁止防火墙伪装IP# 富规则语言
rule [family="ipv4|ipv6"]
[source [not] address="address[/mask]"|mac="mac-address"|ipset="ipset"]
[destination [not] address="address[/mask]]
service name="service name"|port port="port value" protocol="tcp|udp"|protocol value="协议编号"|masquerade|forward-port port="port value" protocol="tcp|udp" to-port="port value" to-addr="address"|source-port port="port value" protocol="tcp|udp"
[accept|reject|drop]