注册 X
我已阅读并同意  服务条款
首页 > IT技术笔记 > 查看笔记

CentOS 防火墙常用命令

CentOS 防火墙常用命令

一、总览

  CentOS 中,7 以下防火墙是 iptables,7 是 firewalld,两者不尽相同,一开始以为 firewalld 比 iptables 会更麻烦,其实 firewalld 比 iptables 方便多了,这里简单描述下配置。


二、iptables

① 基本命令

  1、重启系统生效

chkconfig iptables on 
# 启动 
chkconfig iptables off  
# 关闭

2、即时生效,重启后失效

service iptables start  
# 启动
service iptables stop  
# 关闭

② 设定规则

 1、查看本机关于 iptables 的设置情况

iptables -L -n

 2、清除原有规则

iptables -F 
# 清除预设表 filter 中的所有规则链的规则
iptables -X 
# 清除预设表 filter 中使用者自定链中的规则
3、保存设置规则(因配置随系统重启而失效)
/etc/rc.d/init.d/iptables save 
# 保存规则到 /etc/sysconfig/iptables 文件中, 也可手工编辑该文件.
4、设定预设规则
iptables -p INPUT DROP
iptables -p OUTPUT DROP
iptables -p FORWARD DROP
# 上面的规则是不允许任何包通过.
5、添加规则
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp –sport 22 -j ACCEPT
# 开启 22 端口, 允许 SSH 登录, 如开启 80 端口:
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp –sport 80 -j ACCEPT

6、禁止某个IP访问
iptables -I INPUT -s x.x.x.x -j DROP
# 也可进行更细致的设置, 如只允许 192.168.1.14 的机器进行 SSH 连接:
iptables -A INPUT -p tcp –dport 22 -s 192.168.1.14 -j ACCEPT
# 如果要允许或限制一段IP地址可用 192.168.1.0/24 表示 192.168.1.1-255 端的所有 IP.



7、防止同步包洪水(Sync Flood)

iptables -A FORWARD -p tcp –syn -m limit –limit 1/s -j ACCEPT
 8、防止各种端口扫描
 #iptables -A FORWARD -p tcp –tcp-flags SYN,ACK,FIN,RST RST -m limit –limit 1/s -j ACCEPT
  9、Ping 洪水攻击(Ping of Death)
  #iptables -A FORWARD -p icmp –icmp-type echo-request -m limit –limit 1/s -j ACCEPT
  三、firewalld
① 基本命令
1、重启系统生效
systemctl enable firewalld
# 启动
systemctl disable firewalld
# 关闭
、即时生效,重启后失效
systemctl start firewalld
# 启动
systemctl stop firewalld
# 关闭
 3、查看状态
firewall-cmd --state
 4、查看已配置规则
firewall-cmd --list-all

 5、更新配置

firewall-cmd --reload
② 设定规则
 1、拒绝/取消拒绝所有包
  firewall-cmd --panic-on
firewall-cmd --panic-off
 2、将接口添加到 public 区域
firewall-cmd --zone=public --add-interface=eth0
 3、把 tcp 80 端口加入/移除到区域
firewall-cmd --zone=pulic --add-port=80/tcp
firewall-cmd --zone=pulic --remove-port=80/tcp
 4、把 http 服务加入/移除到区域
  firewall-cmd --zone=public --add-service=http
firewall-cmd --zone=public --remove-service=http
  5、设置永久生效
# 命令中加上 --permanet 参数则永久生效,比如 
firewall-cmd --zone=public --add-service=http --permanent
③ 高级应用
  1、仅允许部分 IP 访问特定服务
  firewall-cmd  --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.4/24" service name="http" accept"  --permanent
    2、仅允许部分 IP 访问特定端口
    firewall-cmd  --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.4/24" port protocol="tcp" port="8080" accept"    --permanent

3、查看 FTP 服务设置

firewall-cmd --query-service ftp

 4、查看激活的区域以及切换区域

firewall-cmd --get-active-zones
firewall-cmd --set-default-zone=public

5、限制每分钟只有两个连接到ftp服务

firewall-cmd --add-rich-rule='rule service name=ftp limit value=2/m accept'



 打赏        分享



评论