10.11 Linux网络相关 10.12 firewalld和netfilter 10.13 netfilter5表5链介绍 10.14 iptables语法
-
Linux网络相关
ifocnfig 查看网卡ip(yum install net-tools)
ip add 查看网卡
ip add = ifocnfig
ifconfig 不显示down掉的网卡，只显示正在工作的网卡。
ifconfig -a 显示当前正在使用的网卡和down掉的网卡
ifdown enth0 关闭eth0网卡
ifup enth0 启动eth0网卡
当先执行ifdown eth0的时候就断开远程连接了，如果需要重新启动某个网卡，可以两天命令
一起执行 ifdown eth0 && ifup eth0
增加一个虚拟网卡eth0:0
也就是给虚拟网卡设置一个IP:
[root@centos7 ~]# cd /etc/sysconfig/network-scripts/
[root@centos7 network-scripts]# cp ifcfg-eth0 ifcfg-eth0:\0
ifcfg-eth0:\0 反斜杠表示脱义
修改网卡配置文件
vim ifcfg-eth0:0
修改内容如下：
修改NAME
NAME=eth0:0
修改IP地址
IPADDR=10.211.55.17
修改设备名
DEVICE=eth0:0
只留下子网掩码，网关，DNS1可以去掉
NETMASK=255.255.0.0
:wq保存即可
[root@localhost network-scripts]# ifdown eth0 && ifup eth0
成功断开设备 'eth0'。
连接已成功激活（D-Bus 活动路径：/org/freedesktop/NetworkManager/ActiveConnection/151）
添加了一个新的IP地址：10.211.55.17
ifconfig 可以添加的新网卡eth0:0
eth0:0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 10.211.55.17 netmask 255.255.0.0 broadcast 10.211.255.255
ether 00:1c:42:8c:25:09 txqueuelen 1000 (Ethernet)
同样也可以用虚拟网卡的IP地址登录ssh root@10.211.55.17
mii-tool enth0 查看网卡是否连接
如果显示not support
用ethtool eth0
[root@localhost network-scripts]# ethtool eth0
Settings for eth0:
Link detected: yes
更改主机名 hostnamectl set-hostname centos7
[root@localhost network-scripts]# hostnamectl set-hostname Centos7
[root@localhost network-scripts]# bash
[root@centos7 network-scripts]# cat /etc/hostname
centos7
[root@centos7 network-scripts]# exit
exit
DNS配置文件/etc/resolv.conf
[root@localhost network-scripts]# cat /etc/resolv.conf
# Generated by NetworkManager
nameserver 119.29.29.29
DNS是在/etc/sysconfig/eth0下配置的，可以添加一个DNS2 google DNS
[root@localhost network-scripts]# vim /etc/sysconfig/network-scripts/ifcfg-eth0
DNS2:8.8.8.8
重新启动网卡
ifdown eth0 && ifup eth0
然后查看/etc/resolv.conf
[root@localhost network-scripts]# cat /etc/resolv.conf
# Generated by NetworkManager
nameserver 119.29.29.29
nameserver 8.8.8.8
/etc/hosts 是windows、linux下都有的文件。 用来改自定义域名
cat /etc/hosts
当ping baidu.com 时候 是访问的百度的IP地址，但我也可以修改成ping 本机IP 10.211.55.17
vim /etc/hosts
添加
10.211.55.17 www.baidu.com
一行 一个IP地址可以有多个域名。
不同的IP地址对应相同的域名，以最后一个IP地址对应的域名为准。
-
firewalld和netfilter
防火墙1：selinux
selinux 临时关闭 setenforce 0
selinux 永久关闭 vi /etc/selinux/config
修改
SELINUX=disabled
查看selinux是否关闭：
getenforce
selinux 一般暂时关闭或者永久关闭也行。
防火墙2：netfilter
防火墙：netfilter ,filrewalld--->配置iptbales
centos7之前使用netfilter防火墙
关闭firewalld
systemctl disable firewalld(.service)
systemctl stop firewalld(.service)
开启netfilter 方法
(iptables是netfilter的一个工具)
yum install -y iptables-services
systemctl enable iptables
systemctl start iptables
防火墙：netfilter和firewalld 其底层都是iptables
就是配置iptables
-
netfilter5表5链介绍
netfilter的5个表（filter表，nat表，managle表，raw表，security表）
iptables手册：
更加参考手册man iptables 找到5个表（filter表，nat表，managle表，raw表，security表）
iptables传输数据包的过程
http://www.cnblogs.com/metoy/p/4320813.html
① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。
③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
filter表(内置的表)
用于过滤包，最常用的表，有INPUT、FORWARD、OUTPUT三个链
INPUT链（进来的数据链）
FORWARD链（判断目标地址是不是本机，或者对目标地址修改）
OUTPUT链（本机产生的包，出去之前所做的操作）
nat表(跟路由器 iptables nat表 端口重映射一样)
用于网络地址转换，有PREROUTING、OUTPUT、POSTROUTING三个链
PREROUTING 进来数据包所做的更改
OUTPUT出去数据包之前所做的更改
POSTROUTING出去数据包所做的更改
以下3个表几乎不常用：
managle表
用于给数据包做标记，几乎用不到
raw表
可以实现不同追踪某些数据包（从来不用）
security表
在centos6中并没有,用于强制访问控制
-
iptables语法
查看iptables规则
iptbales -nvL
规则存储在/etc/sysconfig/iptables
[root@localhost network-scripts]# cat /etc/sysconfig/iptables
iptables -F 清空规则
service iptables save 保存规则
service iptables restart 重启iptables 加载原来的配置文件里面的规则/etc/sysconfig/iptables
iptables -t nat //-t 指定表
iptables -t filter -nvL 查看filter里面的规则（不加-t 默认加载filter）
iptables -t nat -nvL 查看nat表里面的规则
iptables -Z 可以把计数器清零
添加一条规则：(-A)
（不加-t 默认filter表）
iptbales -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP
-A 意思是add 添加
-s source来源
-p 协议protocol tcp /udp
-d destination目标ip
-dport 目标端口
-j reject拒绝
DROP 丢掉 /REJECT 看一下不符合就丢掉数据
插入一条规则:（-I）
iptables -I INPUT -p tcp --dport 80 -j DROP
删除一条规则(-D)
iptbales -D INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP
iptables -D INPUT -p tcp --dport 80 -j DROP
但是我不记得具体的规则，可以这样删除规则，根据规则号删除规则：
iptables -nvL --line-numbers
iptables -D INPUT 1
-A 添加到规则最后面；-I （insert）把规则插入到前面；-D (delete )删除一条规则
-i 指定网卡inferace
iptables -I /-A/-D INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT
iptables -I INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT
对所有的规则设置策略policy,默认的策略是accept
DROP会拒绝所有的数据传入
iptables -P INPUT DROP
ACCEPT接收所有的数据包
iptables -P INPUT ACCEPT
