防火墙iptables配置-笔记

关闭默认的防火墙

# 查看状态
systemctl status firewalld.service
# 关闭
systemctl stop firewalld.service
# 永久关闭
systemctl disable firewalld.service

安装iptables

yum install iptables-services

常用命令

# 查看状态
systemctl status iptables
# 开机启动
systemctl enable iptables 
# 开启
systemctl start iptables 
# 重启
systemctl restart iptables 
# 保存设置
service iptables save

配置iptables

可以写成脚本运行

vim iptables_init.sh

# 先把所有规则打开，则否ssh可能直接断掉
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
# 清除已有规则
iptables -F
iptables -X
# 先把ssh端口加上
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 设置INPUT和FORWARD为封锁
iptables -P INPUT DROP
iptables -P FORWARD DROP
# 开启本地环路，使得ping 127.0.0.1这样的包以通过。php-fpm的http://127.0.0.1:9000可以使用
iptables -A INPUT -i lo -j ACCEPT
# 允许其它机器ping这台服务器
iptables -A INPUT -p icmp -j ACCEPT
# 允许自己发送包的返回通信，不开启这个，机器上面使用ping www.google.com这样的无法拼通
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 开放web端口 80
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# 开放web端口443
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# 开放ftp端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT

常用操作

# 先查看，在删除
iptables -L -n --line-number
iptables -D INPUT 行数
# 指定ip访问
iptables -I INPUT -s 指定IP -p tcp --dport 端口 -j ACCEPT
# 屏蔽单个Ip:
iptables -I INPUT -s 指定IP -j DROP