firewall:

firewall是centos7里面的新的防火墙命令，它底层还是使用 iptables 对内核命令动态通信包过滤的，简单理解就是firewall是centos7下管理iptables的新命令.

查看防火墙状态 systemctl status firewalld
开启防火墙 systemctl start firewalld  
关闭防火墙 systemctl stop firewalld
开启防火墙 service firewalld start 

若遇到无法开启
先用：systemctl unmask firewalld.service 
然后：systemctl start firewalld.service

------------------------------------------------------------------------

查询指定端口是否已开 firewall-cmd --query-port=5601/tcp
提示 yes，表示开启；no表示未开启。

--------------------------------------------------

添加指定需要开放的端口：
firewall-cmd --add-port=5601/tcp --permanent
重载入添加的端口：
firewall-cmd --reload
查询指定端口是否开启成功：
firewall-cmd --query-port=5601/tcp

iptables：

iptables的基本语法格式
iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］

说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

iptables命令的管理控制选项

  • -A 在指定链的末尾添加（append）一条新的规则
  • -D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
  • -I 在指定链中插入（insert）一条新的规则，默认在第一行添加
  • -R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
  • -L 列出（list）指定链中所有的规则进行查看
  • -E 重命名用户定义的链，不改变链本身
  • -F 清空（flush）
  • -N 新建（new-chain）一条用户自己定义的规则链
  • -X 删除指定表中用户自定义的规则链（delete-chain）
  • -P 设置指定链的默认策略（policy）
  • -Z 将所有表的所有链的字节和数据包计数器清零
  • -n 使用数字形式（numeric）显示输出结果
  • -v 查看规则表详细信息（verbose）的信息
  • -V 查看版本(version)
  • -h 获取帮助（help）

防火墙处理数据包的四种方式

  • ACCEPT 允许数据包通过
  • DROP 直接丢弃数据包，不给任何回应信息
  • REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。
  • LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

iptables防火墙规则的保存与恢复

  • iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载
  • 使用命令iptables-save来保存规则。一般用iptables-save > /etc/sysconfig/iptables
  • 生成保存规则的文件 /etc/sysconfig/iptables，也可以用
    service iptables save，它能把规则自动保存在/etc/sysconfig/iptables中。

当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

####保存当前防火墙配置到规则文件
iptables-save > /etc/sysconfig/iptables

####重启iptables 防火墙
/usr/bin/systemctl status iptables
/usr/bin/systemctl start iptables
/usr/bin/systemctl enable iptables

####查看防火墙规则
iptables -nL

####清除已有iptables规则
iptables -F

####允许进站
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
####允许出站
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
####允许转发
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

ESTABLISHED：已建立的链接状态.
RELATED：该封包为本机发出的封包有关.


1、端口6379接受tcp协议
iptables -A INPUT -p tcp --dport 6379 -j ACCEPT
2、端口88拒绝tcp协议
iptables -A INPUT -p tcp --dport 88 -j REJECT

#允许本地
回环接口(即运行本机访问本机)
iptables -I INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT 
 
#允许指定ip访问本机80端口 
iptables -I INPUT -p tcp -s 192.168.1.112 --dport 80 -j ACCEPT 

#允许来自80端口的数据访问192.168.1.112（本机）。
iptables -I INPUT -p tcp -d 192.168.1.112 --sport 80 -j ACCEPT 

dport 和sport字面意思来说很好理解，一个是数据要到达的目的端口，一个是数据来源的端口。

允许外部数据访问我的本地服务器80端口。
允许外部的来自80端口的数据访问我的本地服务器。