linux设置防火墙策略
CentOS 6.8
iptables v1.4.7
iptables -L #查看现有防火墙所有策略
iptables -F #清除现有防火墙策略
只允许特定流量通过，禁用其他流量
#开放redis端口
iptables -A INPUT -p tcp -m tcp --dport 6379 -j ACCEPT
#开放MySql端口
iptables -A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT
#开放WebServer端口
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
#开放SMTP端口
iptables -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
#开放ssh端口
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
#允许本地回环接口(即允许本机访问本机)
iptables -A INPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT
#开放ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
#允许已建立的或相关连的通行？这一行要加上，否则无法访问外网
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#开放本机所有向外的访问
iptables -A OUTPUT -j ACCEPT
#禁用某个访问异常多的ip
[weblogic@host-192-168-149-56 ~]$ netstat -tn|grep "192.168.149.56"|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -rn
26 10.212.132.123
1 10.204.130.158 #首先检查出服务器上各个ip的连接次数；其中netstat -tn命令的-t是检测所有连接的tcp，-n是检测到的不进行域名解析
iptables -I INPUT 1 -s 10.212.132.123 -j DROP #把这个ip地址禁用掉保存配置
service iptables save重启
service iptables restart
端口相关的概念：
在网络技术中，端口（Port）包括逻辑端口和物理端口两种类型。物理端口指的是物理存在的端口，如ADSL Modem、集线器、交换机、路由器上用 于连接其他网络设备的接口，如RJ-45端口、SC端口等等。逻辑端口是指逻辑意义上用于区分服务的端口，如TCP/IP协议中的服务端口，端口号的范围从0到65535，比如用于浏览网页服务的80端口，用于FTP服务的21端口等。由于物理端口和逻辑端口数量较多，为了对端口进行区分，将每个端口进行了编号，这就是端口号
端口按端口号可以分为3大类：
1：公认端口（Well Known Port）
公认端口号从0到1023，它们紧密绑定与一些常见服务，例如FTP服务使用端口21，你在 /etc/services 里面可以看到这种映射关系。
2：注册端口（Registered Ports):
从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口同样用于许多其它目的.
3: 动态或私有端口（Dynamic and/or Private Ports）
动态端口，即私人端口号（private port numbers），是可用于任意软件与任何其他的软件通信的端口数，使用因特网的传输控制协议，或用户传输协议。动态端口一般从49152到65535
Linux中有限定端口的使用范围，如果我要为我的程序预留某些端口，那么我需要控制这个端口范围。/proc/sys/net/ipv4/ip_local_port_range定义了本地TCP/UDP的端口范围，你可以在/etc/sysctl.conf里面定义net.ipv4.ip_local_port_range = 1024 65000
[root@localhost ~]# cat /proc/sys/net/ipv4/ip_local_port_range
32768 61000
[root@localhost ~]# echo 1024 65535 > /proc/sys/net/ipv4/ip_local_port_range端口与服务的关系
端口有什么用呢？我们知道，一台拥有IP地址的主机可以提供许多服务，比如Web服务、FTP服务、SMTP服务等，这些服务完全可以通过1个IP地址来实现。那么，主机是怎样区分不同的网络服务呢？显然不能只靠IP地址，因为IP 地址与网络服务的关系是一对多的关系。实际上是通过“IP地址+端口号”来区分不同的服务的。
端口号与相应服务的对应关系存放在/etc/services文件中，这个文件中可以找到大部分端口。
如何检查端口是否开放，其实不整理，还不知道有这么多方法！
1：nmap工具检测开放端口
nmap是一款网络扫描和主机检测的工具。nmap的安装非常简单，如下所示rpm安装所示。
[root@DB-Server Server]# rpm -ivh nmap-4.11-1.1.x86_64.rpm
warning: nmap-4.11-1.1.x86_64.rpm: Header V3 DSA signature: NOKEY, key ID 37017186
Preparing... ########################################### [100%]
1:nmap ########################################### [100%]
[root@DB-Server Server]# rpm -ivh nmap-frontend-4.11-1.1.x86_64.rpm
warning: nmap-frontend-4.11-1.1.x86_64.rpm: Header V3 DSA signature: NOKEY, key ID 37017186
Preparing... ########################################### [100%]
1:nmap-frontend ########################################### [100%]
[root@DB-Server Server]#关于nmap的使用，都可以长篇大写特写，这里不做展开。如下所示，nmap 127.0.0.1 查看本机开放的端口，会扫描所有端口。 当然也可以扫描其它服务器端口
[root@DB-Server Server]# nmap 127.0.0.1
Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2016-06-22 15:46 CST
Interesting ports on localhost.localdomain (127.0.0.1):
Not shown: 1674 closed ports
PORT STATE SERVICE
22/tcp open ssh
25/tcp open smtp
111/tcp open rpcbind
631/tcp open ipp
1011/tcp open unknown
3306/tcp open mysql
Nmap finished: 1 IP address (1 host up) scanned in 0.089 seconds
You have new mail in /var/spool/mail/root
[root@DB-Server Server]#
clip_image0012：netstat 工具检测开放端口
[root@DB-Server Server]# netstat -anlp | grep 3306
tcp 0 0 :::3306 :::* LISTEN 7358/mysqld
[root@DB-Server Server]# netstat -anlp | grep 22
tcp 0 0 :::22 :::* LISTEN 4020/sshd
tcp 0 52 ::ffff:192.168.42.128:22 ::ffff:192.168.42.1:43561 ESTABLISHED 6198/2
[root@DB-Server Server]#
clip_image002
如上所示，这个工具感觉没有nmap简洁明了。当然也确实没有nmap功能强大。
3：lsof 工具检测开放端口
[root@DB-Server Server]# service mysql start
Starting MySQL......[ OK ]
[root@DB-Server Server]# lsof -i:3306
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
mysqld 7860 mysql 15u IPv6 44714 TCP *:mysql (LISTEN)
[root@DB-Server Server]# service mysql stop
Shutting down MySQL..[ OK ]
[root@DB-Server Server]# lsof -i:3306
[root@DB-Server Server]#
clip_image003
[root@DB-Server Server]# lsof -i TCP| fgrep LISTEN
cupsd 3153 root 4u IPv4 9115 TCP localhost.localdomain:ipp (LISTEN)
portmap 3761 rpc 4u IPv4 10284 TCP *:sunrpc (LISTEN)
rpc.statd 3797 rpcuser 7u IPv4 10489 TCP *:1011 (LISTEN)
sshd 4020 root 3u IPv6 12791 TCP *:ssh (LISTEN)
sendmail 4042 root 4u IPv4 12876 TCP localhost.localdomain:smtp (LISTEN)4： 使用telnet检测端口是否开放
服务器端口即使处于监听状态，但是防火墙iptables屏蔽了该端口，是无法通过该方法检测端口是否开放的。
5：netcat工具检测端口是否开放。
[root@DB-Server ~]# nc -vv 192.168.42.128 1521
Connection to 192.168.42.128 1521 port [tcp/ncube-lm] succeeded!
[root@DB-Server ~]# nc -z 192.168.42.128 1521; echo $?
Connection to 192.168.42.128 1521 port [tcp/ncube-lm] succeeded!
0
[root@DB-Server ~]# nc -vv 192.168.42.128 1433
nc: connect to 192.168.42.128 port 1433 (tcp) failed: No route to host
