防火牆設置命令記錄（iptables、firewall-cmd 命令記錄）

• firewall-cmd防火牆設置，add 是添加，remove 是刪除

[root@localhost nginx-1.16.0]# iptables -F    #清空iptables防火牆
[root@localhost nginx-1.16.0]# firewall-cmd --permanent --zone=public --add-service=https	#允許https和http流量通過
success
[root@localhost nginx-1.16.0]# firewall-cmd --permanent --zone=public --add-service=http
success
[root@localhost nginx-1.16.0]# firewall-cmd --reload 
success

[root@michael ~]# firewall-cmd --get-default-zone	#查看當前默認使用的區域，public
[root@michael ~]# firewall-cmd --get-zone-of-interface=ens160	#查看網卡綁定區域
[root@michael ~]# firewall-cmd --set-default-zone=drop	#修改默認區域為drop
# 查詢public區域是否允許http流量通過
[root@michael ~]# firewall-cmd --zone=public --query-service=http
[root@michael ~]# firewall-cmd --zone=public --add-service=http	#添加允許http流量
# 查詢https服務是否在public區域永久生效
[root@michael ~]# firewall-cmd --permanent --zone=public --query-service=https
#放行tcp協議的8800-8888端口
[root@localhost ~]# firewall-cmd --zone=public --add-port=8800-8888/tcp
[root@localhost ~]# firewall-cmd --list-ports	#查詢有哪些端口被允許使用
[root@localhost ~]# firewall-cmd --list-services	#查詢有哪些服務被允許使用
#拒絕某個服務用 --remove-service，拒絕某個端口用 --remove-port
[root@localhost ~]# firewall-cmd --permanent --zone=public --remove-service=https
[root@localhost ~]# firewall-cmd --reload
#端口號轉發使用參數 --add-forward-port
[root@localhost ~]# firewall-cmd --permanent --zone=public --add-forward-port=port=8888:proto=tcp:toport=22:toaddr=192.168.0.40
#添加復規則 --add-rich-rule，刪除復規則 --remove-rich-rule
[root@localhost ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.0.0/24" service name="ssh" reject"

• iptables 防火牆常用命令示例：

[root@michael ~]# iptables -P INPUT DROP	#拒絕所有訪問
[root@michael ~]# iptables -I INPUT -s 127.0.0.1 -p icmp -j ACCEPT	#添加ping自己
[root@michael ~]# iptables -I INPUT -s 192.168.0.5 -p icmp -j ACCEPT
#設置可以訪問http、https的端口
[root@michael ~]# iptables -I INPUT -s 192.168.0.5 -p tcp --dport 80 -j ACCEPT
[root@michael ~]# iptables -I INPUT -s 192.168.0.5 -p tcp --dport 443 -j ACCEPT

[root@michael ~]# iptables -P INPUT ACCEPT	#允許所有訪問，開啟所有規則
[root@michael ~]# iptables -I INPUT -s 192.168.0.5 -p icmp -j REJECT #拒絕ping包
[root@michael ~]# iptables -I INPUT -s 192.168.0.5 -p icmp -j DROP	#直接丟包
[root@michael ~]# iptables -I INPUT -s 192.168.0.0/24 -p tcp --dport 80 -j DROP
[root@michael ~]# iptables -I INPUT -s 192.168.0.0/24 -p tcp --dport 10000:15000 -j DROP
[root@michael ~]# service iptables save		#保存規則
[root@michael ~]# iptables -L		#查看規則
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  192.168.0.0/24       anywhere             tcp dpts:ndmp:hydap
DROP       tcp  --  192.168.0.0/24       anywhere             tcp dpt:http
ACCEPT     icmp --  192.168.0.5          anywhere            
DROP       icmp --  192.168.0.5          anywhere            
REJECT     icmp --  192.168.0.5          anywhere             reject-with icmp-port-unreachable
ACCEPT     tcp  --  192.168.0.5          anywhere             tcp dpt:https
ACCEPT     tcp  --  192.168.0.5          anywhere             tcp dpt:http
ACCEPT     icmp --  192.168.0.5          anywhere            
ACCEPT     icmp --  localhost            anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination