Linux系统防火墙iptables

防火墙：

架设在内网和公网之间，起到保护和隔离的作用

RHEL7默认使用的是firewalld ，不过其底层还是调用iptables（包过滤防火墙）

[root@firewall51 ~]# systemctl stop firewalld
[root@firewall51 ~]# systemctl disable firewalld.service
[root@firewall51 ~]# yum -y install iptables-services.x86_64 
[root@firewall51 ~]# systemctl start iptables.service 

iptables的表，链结构

4张表：iptables服务功能分类 优先级顺序（高->低）raw -> mangle -> nat -> filter

5条链：ip包传输的方向

              INPUT                     匹配进入防火墙本机的ip包

              OUTPUT                 匹配从防火墙本机出去的ip包

              FORWARD             匹配经过防火墙主机的ip包（源地址和目标地址均不是防火墙本机ip）

              POSTROUTING     路由后处理

              PREROUTING        路由前处理

raw表（状态跟踪表）	mangle表（包标记表）	nat表（地址转换表）	filter表（过滤表）默认
PREROUTING OUTPUT	PREROUTING POSTROUTING INPUT OUTPUT FORWARD	PREROUTING POSTROUTING INPUT(rhel7/CentOS7) OUTPUT	INPUT OUTPUT FORWARD

包过滤匹配流程：顺序比对，匹配即停止（LOG除外），若无匹配，则按照该链的默认策略处理

规则链之间的顺序：入站    PREROUTING->INPUT   出站  OUTPUT->POSTROUTING 

                                     转发    PREROUTING->FORWARD->POSTROUTING

iptables用法

管理程序位置：/sbin/iptables

规则永久保存： iptables-save > /etc/sysconfig/iptables

指令组成： iptables [-t 表名] 选项 [链名] [条件] [-j 目标操作]

常用的管理选项

类别	选项	用途
查看规则	-L	列出所有的规则条目（如果和n连用，放在后面）
	-n	以数字形式显示地址，端口等信息
	--line-numbers	查看规则时，显示规则的序号
添加	-A	在链的默认追加一条规则