一：iptables【详解】
防火墙的名字其实是natfilter，iptables是个工具，防火墙下默认是四个表五个链，表分为：filter、nat、mangle、raw，链分别为：其中最常用的是filter表！
nat：此规则表拥有 PREROUTING 和 POSTROUTING 两个规则链，主要功能为进行一对一、一对多、多对多等网址转换工作（SNAT、DNAT），这个规则表除了作网址转换外，请不要做其它用途。
mangle：此规则表拥有 PREROUTING、FORWARD 和 POSTROUTING 三个规则链。除了进行网址转换工作会改写封包外，在某些特殊应用可能也必须去改写封包（TTL、TOS）或者是设定 MARK（将封包作记号，以进行后续的过滤），这时就必须将这些工作定义在 mangle 规则表中，由于使用率不高，我们不打算在这里讨论 mangle 的用法。
filter： 这个规则表是默认规则表，拥有 OUTPUT 三个规则链，这个规则表顾名思义是用来进行封包过滤的处理动作（例如：DROP、 LOG、 ACCEPT 或 REJECT），我们会将基本规则都建立在此规则表中。
1：iptables【语法】
iptables -t [表] -I [链名] -p [协议] --dport [ 端口号] -s [来源ip] -d [目标ip] -j [行为]
示列：iptables -t filter -I INPUT -p tcp ---dport 80 -s 192.168.1.1 -d 172.168.10.1 -j DROP
2：iptables【选项】
-t ：表示指定表的名称，如：filter、nat、mangle表
-p ：表示指定协议的类型，如：TCP、ICMP、HTTP等协议类型
-I ：表示在最前面插入规则
-A ：表示在后面追加规则
-F ：表示清除所有规则
-X ：清除链
-Z ：将链的记数的流量清零
-D ：表示删除规则
-s ：表示指定来源IP地址
-d ：表示目标地址
-j ：表示执行怎么样的行为，如：DROP（丢弃）、ACCEPT（允许）、REJECT（丢弃但提醒）
--dpot ：表示指定的端口
--line-numbers ：表示显示规则的行数
二：iptables【用法】
1：添加一条入站规则，拒绝TCP协议的来源地址192.168.1.22的端口号80访问到目标192.168.1.254地址
[root@ghs ~]# iptables -I INPUT -p tcp --dport 80 -s 192.168.1.22 -d 192.168.1.254 -j DROP
[root@ghs ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP tcp -- * * 192.168.1.22 192.168.1.254 tcp dpt:80
432 36320 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
6 936 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
默认iptables的文件路径在/etc/sysconfig/iptables文件，查看文件信息，可以看出，上面的添加的规则并没有写入到文件中，当重启iptables服务后，写入的规则会消失
[root@ghs ~]# cat /etc/sysconfig/iptables
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
如果想要把写的规则保存到文件永久生效，需要输入下面命令
[root@ghs ~]# service iptables save
iptables：将防火墙规则保存到 /etc/sysconfig/iptables： [确定]
查看文件，红色字段显示的表示之前写入的规则已保存
[root@ghs ~]# cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.7 on Fri May 19 07:27:44 2017
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [56:7984]
-A INPUT -s 192.168.1.22/32 -d 192.168.1.254/32 -p tcp -m tcp --dport 80 -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Fri May 19 07:27:44 2017
删除规则
[root@ghs ~]# iptables -D INPUT -p tcp --dport 80 -s 192.168.1.22 -d 192.168.1.254 -j DROP
[root@ghs ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
741 62296 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
2 168 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
15 2691 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
2：如果需要删除很久之前写的规则，但是不记了具体完整的命令时，加入--line-numbers显示规则的行号，然后以后行数删除规则
[root@ghs ~]# iptables --line-numbers -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 DROP tcp -- * * 192.168.1.22 192.168.1.254 tcp dpt:80
2 442 37120 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
3 1 84 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
4 0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
5 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
6 9 1487 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
以行数删除规则，删除行数1：1 0 0 DROP tcp -- * * 192.168.1.22 192.168.1.254 tcp dpt:80 的规则
[root@ghs ~]# iptables -D INPUT 1
[root@ghs ~]# iptables --line-numbers -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 486 40560 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
2 1 84 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
3 0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
4 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
5 9 1487 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
三：备份与恢复
1：备份防火墙规则
使用命令iptables-save备份到1.ipt文件
[root@ghs ~]# iptables-save > 1.ipt
查看1.ipt的备份文件
[root@ghs ~]# cat 1.ipt
# Generated by iptables-save v1.4.7 on Fri May 19 07:45:07 2017
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [69:8568]
-A INPUT -s 192.168.1.22/32 -d 192.168.1.254/32 -p tcp -m tcp --dport 80 -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
2：恢复备份的规则文件
使用命令清除防火墙规则
[root@ghs ~]# iptables -F
查看下规则是否清除
[root@ghs ~]# iptables -nvL
Chain INPUT (policy ACCEPT 7 packets, 536 bytes)
pkts bytes target prot opt in out source destination
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 5 packets, 536 bytes)
pkts bytes target prot opt in out source destination
使用命令iptables-restore将1.ipt备份的规则文件恢复规则
[root@ghs ~]# iptables-restore < 1.ipt
查看规则
[root@ghs ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP tcp -- * * 192.168.1.22 192.168.1.254 tcp dpt:80
5 392 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
红色字段的规则就是恢复的
记录每一天有趣的事情！！
