防火墙
centos 7 一般都没有装防火墙启动命令
[root@localhost ~]# yum -y install firewalld  
systemctl stop firewalld.service             #停止firewall
systemctl disable firewalld.service        #禁止firewall开机启动>>> 开启端口
 firewall-cmd --zone=public --add-port=80/tcp --permanent
 命令含义：
 --zone #作用域
 --add-port=80/tcp #添加端口，格式为：端口/通讯协议
 --permanent #永久生效，没有此参数重启后失效
>>> 重启防火墙
 firewall-cmd --reload常用命令介绍
 firewall-cmd --state                           ##查看防火墙状态，是否是running
 firewall-cmd --reload                          ##重新载入配置，比如添加规则之后，需要执行此命令
 firewall-cmd --get-zones                       ##列出支持的zone
 firewall-cmd --get-services                    ##列出支持的服务，在列表中的服务是放行的
 firewall-cmd --query-service ftp               ##查看ftp服务是否支持，返回yes或者no
 firewall-cmd --add-service=ftp                 ##临时开放ftp服务
 firewall-cmd --add-service=ftp --permanent     ##永久开放ftp服务
 firewall-cmd --remove-service=ftp --permanent  ##永久移除ftp服务
 firewall-cmd --add-port=80/tcp --permanent     ##永久添加80端口 
 iptables -L -n                                 ##查看规则，这个命令是和iptables的相同的
 man firewall-cmd                               ##查看帮助更多命令，使用  firewall-cmd --help  查看帮助文件
>>>  CentOS 7.0默认使用的是firewall作为防火墙，使用iptables必须重新设置一下
 1、直接关闭防火墙
 systemctl stop firewalld.service           #停止firewall
 systemctl disable firewalld.service     #禁止firewall开机启动 
2、设置 iptables service 

 yum -y install iptables-services 

 如果要修改防火墙配置，如增加防火墙端口3306 

 vi /etc/sysconfig/iptables  

 增加规则 

 -A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT 


 保存退出后 

 systemctl restart iptables.service #重启防火墙使配置生效 

 systemctl enable iptables.service #设置防火墙开机启动 

[root@localhost ~]# yum -y install iptables-services   #这是防火墙启动命令
[root@localhost ~]# iptables -A INPUT -p tcp --dport 3306 -j ACCEPT   #允许3306端口/tcp协议
[root@localhost ~]# systemctl restart iptables.service  #启动防火墙服务
[root@localhost ~]# service iptables save   #保存防火墙规则，默认保存的这个位置/etc/sysconfig/iptables
[root@localhost ~]# vim /etc/sysconfig/iptables
防火墙规则详细解释

1基本的命令格式
Iptables  [-t 表名]  管理选项  [链名]  [匹配条件] [-j 控制类型]
表名：raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）
管理选项
-A：在链的末尾追加一条规则 
-I：在链的开头（或指定序号）插入一条规则
-L：列出所有的规则条目 
-n：以数字形式显示地址、端口等信息 
-v：以更详细的方式显示规则信息 
--line-numbers：查看规则时，显示规则的序号
-D：删除链内指定序号（或内容）的一条规则 
-F：清空所有的规则
-P：为指定的链设置默认规则
-h：查看命令帮助信息（--help）
-R：修改、替换（--replace）指定链中的某一条规则，可指定规则序号或具体内容
 
链名
INPUT：处理入站数据包
OUTPUT：处理出站数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据包
匹配条件
协议匹配：-p 协议名 
地址匹配：-s 源地址、-d 目的地址 
接口匹配：-i 入站网卡、-o 出站网卡
 
控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
2添加新的规则
例如：
1）iptables -t filter -A INPUT -p tcp -j ACCEPT
2）iptables -I INPUT -p udp -j ACCEPT
3查看规则列表
1）    iptables -L INPUT--line-numbers
2）    iptables -n -L INPUT //-n选项是以数字形式显示地址和端口信息。
4删除、清空规则
1）iptables -D INPUT 3 //删除filter表INPUT链中的第三条规则
2）iptables -n -L INPUT //确认删除结果
3）iptables –F INPUT //清空filter表INPUT链中的所有的规则
4）iptables  –F //允许省略链名而清空指定表的所有链的规则
5） iptables -t nat –F // 清空net表
6）iptables -t mangle –F //清空mangle表
7）iptables -t filter –F //清空filter表
4设置默认策略
 [root@localhost 桌面]# iptables -t filter -P FORWARD DROP
[root@localhost 桌面]# iptables -P OUTPUT ACCEPT
5通用匹配
可直接使用，不依赖于其他条件或扩展
包括网络协议、IP地址、网络接口等条件
（1）协议匹配//“！”表示取反 -p 协议名
1 iptables -I INPUT -p icmp -j DROP
2 iptables -A FORWARD ! -p icmp -j ACCEPT
（2）地址匹配//“-s”表示源地址，“-d”表示目的地址。
1 iptables -A FORWARD -s 192.168.1.11 -j REJECT
    2 iptables -A FORWARD -s 192.168.7.0/24 -j ACCEPT
    3 iptables -I INPUT -s 10.20.30.0/24 -j DROP
   4  iptables -I FORWARD -s10.10.30.0/24
    5 iptables -I FORWARD -s 10.10.30.0/24 -j DROP
（3）网络接口匹配 //“-i”接口名，和“-o“接口名”的形式，用于检查数据包从防火墙的哪一个接口进入或发出，分别对应入站网卡（--in-interface）、出站网卡（--out-interface）。
1  iptables -A INPUT-i ens33 -s 10.0.0.0/8 -j DROP
    2 iptables -A INPUT -iens33
    3 iptables -A INPUT -iens33
      
6隐含匹配
要求以特定的协议匹配作为前提
包括端口、TCP标记、ICMP类型等条件
（1）  端口配置 //“--sport源端口“或”的port目标端口“的形式
1  iptables -A FORWARD -s 192.168.4.0/24 -p udp--dport 53 -j ACCEPT
2  iptables -A FORWARD -d 192.168.4.0/24 -p udp--sport 53 -j ACCEPT
3  iptables -A INPUT -p tcp --dport 20:21 -jACCEPT //若要开发20、21端口
4  iptables -A INPUT -p tcp --dport 24500:24600-j ACCEPT //以及用于被动模式的端口范围24500~24600
(2)ICMP类型匹配//--icmp-typeICMP类型 ,“Echo-Request“（代码为8）、“Echo-Reply”（代码为0）、“Destination-Unreachable（代码为3），分别对应ICMP协议的的请求、回显、目标不可达。
 
1  iptables -A INPUT-p icmp --icmp-type 8 -j DROP
    2  iptables -A INPUT -p icmp --icmp-type 0 -jACCEPT
    3 iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
    4 iptables -A INPUT -p icmp -j DROP
    
1  iptables -p icmp –h //帮助命令
 
7显式匹配
要求以“-m 扩展模块”的形式明确指出类型
包括多端口、MAC地址、IP范围、数据包状态等条件
（1）  多端口匹配//-m multiport --sports源端口列表 
         -m multiport --dports目的端口列表 
iptables -AINPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT
（2）  IP范围匹配 //-m iprange --src-range IP范围
 
iptables -AFORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT
（3）  MAC地址匹配//-m mac--mac-source MAC地址
iptables -AINPUT -m mac --mac-source 00:0c:29:0c:55:3f -j DROP
（4）  状态匹配//-m state --state连接状态
iptables -A FORWARD -m state --state NEW -ptcp ! --syn -j DROP