Linux 防火墙：Netfilter
一、Netfilter 简介
(1) Netfilter 是 Linux 内置的一种防火墙机制，我们一般也称之为数据包过滤机制，而 iptables 只是操作 netfilter 的一个命令行工具
(2) Netfilter 是 Linux CentOS 6 内置的防火墙机制，Firewall 是 Linux CentOS 7 内置的防火墙机制，如果想在 CentOS 7 中使用 netfilter 而不是 firewall，操作如下
(3) 其他所有关于 iptables 的介绍请参考：https://www.cnblogs.com/metoy/p/4320813.html
[root@localhost ~]$ systemctl stop firewalld.service [root@localhost ~]$ systemctl disable firewalld.service [root@localhost ~]$ yum install -y iptables-services.x86_64 [root@localhost ~]$ systemctl start iptables.service [root@localhost ~]$ systemctl enable iptables.service
二、iptables 常见用法：
iptables -nvL # 查看规则，默认查看filter表的规则 iptables -F # 清空规则，默认清空filter表的规则 service iptables save # 保存规则，会把当前规则保存到/etc/sysconfig/iptables iptables-save > my.ipt # 备份规则，这里指定备份到my.ipt文件 iptables-restore < my.ipt # 恢复规则，这里指定使用my.ipt文件进行恢复
iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 放通80端口
iptables -A INPUT -p tcp --dport 22 -j DROP # 禁用22端口
iptables -A INPUT -p tcp -m multiport --dports 80,843,443 -j ACCEPT # 放通多个端口
iptables -A INPUT -s 192.168.1.1/32 -p tcp --dport 22 -j ACCEPT # 只允许某个IP访问22端口
iptables -A INPUT -s 192.168.1.1/32 -p tcp -m multiport --dports 3873,4507,3306 -j ACCEPT # 允许某个IP访问多个端口
-A # 追加规则，默认追加到最后一条规则 -I # 插入规则，默认插入到第一条规则 -D # 删除规则，先执行 iptables -nvL --line-numbers 查看规则的序列号，然后执行 iptables -D INPUT <number> 删除规则 -s # 用于指定源IP地址，用法如：iptables -A INPUT -s 192.168.1.1/32 -p tcp --dport 22 -j ACCEPT -p # 用于指定检查哪个协议，用法如：iptables -A INPUT -p tcp --dport 80 -j ACCEPT -i # 用于指定入口网卡，用法如：iptables -A INPUT -i eth0 -j ACCEPT -o # 用于指定出口网卡，用法如：iptables -A FORWARD -o eth0 -j ACCEPT -j # 用于指定要进行的处理动作，用法如：iptables -A INPUT -p tcp --dport 80 -j ACCEPT -P # 用于设置默认规则，用法如：iptables -P INPUT DROP -t # 用于指定操作哪张表，用法如：iptables -t nat -nvL -Z # 用于清空计数器，用法如：iptables -Z -L # 用于列出规则链中的所有规则 --sport # 用于指定源端口，用法如：iptables -A INPUT -p tcp --sport 1234 -j ACCEPT --dport # 用于指定目标端口，用法如：iptables -A INPUT -s 192.168.1.1/32 -p tcp --dport 22 -j ACCEPT
