在红帽 RHEL7 系统中，firewalld 服务取代了 iptables 服务，但依然可以使用 iptables 命令来管理内核的 netfilter。其实 Iptables 服务 与 Firewalld 服务都不是真正的防火墙，它们都知识用来定义防火墙规则功能的 “防火墙工具”，将定义好的规则交由内核中的 netfilter 即网络过滤器来读取，从而真正实现防火墙功能。
Iptables 命令
iptables 命令用于创建数据过滤与 NAT 规则，主流的 Linux 系统都会默认启用 iptables 命令，但其参数较多且规则策略相对比较复杂。
规则链与策略
在 iptables 命令中设置暑假过了或处理设举报的策略叫做规则，将多个规则合成一个规则链。
iptables 命令中常见的控制类型：
- ACCEPT：允许通过
- LOG：记录日志信息，然后传给下一条规则继续匹配
- REJECT：拒绝通过，必要时会给出回应
- DROP：直接丢出，不给出任何回应
而规则链则依据处理数据包的位置不同而进行分类，主要有以下几种规则链：
- PREROUTING：在进行路由选择前处理数据包
- INPUT：处理入站的数据包
- OUTPUT：处理出站的数据包
- FORWARD：处理转发的数据包
- POSTROUTING：在进行路由选择后处理数据包
Iptables 中的规则表是用于容纳规则链，规则表默认是允许状态的，那么规则链就是设置被禁止的规则；反之如果规则表是禁止状态的，那么规则链就是设置被允许的规则。
主要有以下几种规则表：
- raw 表：确定是否对该数据包进行状态跟踪
- mangle 表：为数据包设置标记
- nat 表：修改数据包中的源、目标 IP 地址或端口
- filter 表：确定是否放行该数据包 (过滤)
规则表的先后顺序：raw -> mangle -> nat -> filter
规则链的先后顺序：
- 入站顺序：PREROUTING -> INPUT
- 出站顺序：OUTPUT -> POSTROUTING
- 转发顺序：PREROUTING -> FORWARD -> POSTROUTING
注意事项：
- 没有指定规则表则默认指 filter 表
- 不指定规则链则指表内所有规则链
- 在规则链中匹配规则时会依次检查，匹配即停止 (LOG 例外)，若没有匹配项则按链的默认状态处理
iptables 基本的命令参数
iptables 命令用于管理防火墙的规则策略，格式为：iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
iptables 常用参数：
| 参数 | 作用 |
|---|---|
| -P | 设置规则链默认策略：iptables -P INPUT (DROP | ACCEPT) |
| -F | 清空规则链 |
| -L | 查看规则链 |
| -A | 在规则链的末尾加入新规则 |
| -I num | 在规则链的头部加入新规则 |
| -D num | 删除某一条规则 |
| -s | 匹配 源地址 IP/MASK，加叹号 “ ! ” 表示除这个 IP 外 |
| -d | 匹配目标地址 |
| -i 网卡名称 | 匹配从这块网卡流入的数据 |
| -o 网卡名称 | 匹配从这块网卡流出的数据 |
| -p | 匹配协议，如 tcp、udp、icmp |
| –dport num | 匹配目标端口号 |
| –sport num | 匹配源端口号 |
例子：
① 将 INPUT 链的默认策略设置为拒绝：
Iptables -P INPUT DROP
② 允许所有的 ping 操作：
iptables -I INPUT -p icmp -j ACCEPT
③ 在 INPUT 链的末尾加入一条规则，允许所有未被其他规则匹配上的数据包
iptables -t filter -A INPUT INPUT -j ACCEPT
注：默认就是 filter 表，故不加 -t filter 也可。
④ 仅允许来自 192.168.10.0/24 域的用户连接本机的 ssh 服务
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT
注：防火墙会按照顺序匹配规则，故允许的规则应该在拒绝的规则上面。
⑤ 不允许任何用户访问本机的 12345 端口
iptables -I INPUT -p tcp --dport 12345 -j REJECT
iptables -I INPUT -p udp --dport 12345 -j REJECT
⑥ 拒绝其他用户从 eno16777736 网卡访问本机 http 服务的数据包
iptables -I INPUT -i eno16777736 -p tcp --dport 80 -j REJECT
⑦ 禁止用户访问 www.baidu.com
iptables -I FORWARD -d www.baidu.com -j DROP
⑧ 禁止 IP 地址是 192.168.10.10 的用户上网
iptables -I FORWARD -s 192.168.10.10 -j DROP
SNAT 与 DNAT
SNAT
SNAT 即源地址转换技术，能够让多个内网用户通过一个外网地址上网。
使用 Iptables 防火墙即可实现 SNAT 源地址转换，根据需求命令如下：
iptables -t nat -A POSTROUTING -s 内网网段地址 -o 外网接口名称 -j SNAT --to-source 外网接口的IP地址。
若外网 IP 地址不稳定，可以使用 MASQUERADE (动态伪装)，能够自动的寻找外网地址并改为当前正确的外网 IP 地址，如：
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE
DNAT
DNAT 即 目的地址转换技术，能够让外网 IP 用户访问局域网内不同的服务器。
iptables -t nat -A PREROUTING -i 内网接口名称 -d 外网接口IP地址 -j DNAT --to-destination 内网 IP 地址
例子：互联网中的客户机访问到内网 192.168.10.6 这台提供网站服务的主机：
iptables -t nat PREROUTING -i eno16777736 -d 61.240.149.149 -p tcp --dport 80 -j DNAT --to-destination 192.168.10.6
Firewalld 防火墙
Firewalld 服务时红帽 RHEL 7 系统中默认的防火墙管理工具，特点是拥有运行时配置与永久配置选项，且能够支持动态更新，以及 “zone” 的区域功能概念，使用 图形化工具 firewall-config 或 文本管理工具 firewall-cmd。
区域概念与作用
防火墙的网络区域定义了网络连接的可信等级。区域规则有：
| 区域 | 默认规则策略 |
|---|---|
| trusted | 允许所有的数据包 |
| home | 拒绝流入的数据包，除非与输出流量数据包相关，或是 ssh、mdns、ipp-client、samba-client 与 dhcpv6-client 服务则允许 |
| internal | 等同于 home 区域 |
| work | 拒绝流入的数据包，除非与输出流量数据包相关，或是 ssh、ipp-client 与 dhcpv6-client 服务则允许 |
| public | 拒绝流入的数据包，除非与输出流量数据包相关，或是 ssh、dhcpv6-client 服务则允许 |
| external | 拒绝流入的数据包，除非与输出流量数据包相关或是 ssh 服务则允许 |
| dmz | 拒绝流入的数据包，除非与输出流量数据包相关或是 ssh 服务则允许 |
| block | 拒绝流入的数据包，除非与输出流量数据包相关 |
| drop | 拒绝流入的数据包，除非与输出流量数据包相关 |
简单的说就是用户预先准备了几套规则集合，我们可以根据场景的不同选择合适的规则集合，而默认区域是 public。
字符管理工具 firewall-cmd
字符管理工具 firewall-cmd 的命令参数有：
| 参数 | 作用 |
|---|---|
| –get-default-zone | 查询默认的区域名称 |
| –set-default-zone=<区域名称> | 设置默认的区域，永久生效 |
| –get-zones | 显示可用的区域 |
| –get-services | 显示预先定义的服务 |
| –get-active-zones | 显示当前正在使用的区域与网卡名称 |
| –add-source= | 将来源于此 IP 或 子网的流量导向指定区域 |
| –remove-source= | 不在将此 IP 或 子网的流量导向指定区域 |
| –add-interface=<网卡名称> | 将来源于该网卡的所有流量都导向某个指定区域 |
| –change-interface=<网卡名称> | 将某个网卡与区域做关联 |
| –list-all | 显示当前区域的网卡配置参数、资源、端口以及服务等信息 |
| –list-all-zones | 显示所有区域的网卡配置参数、资源、端口以及服务等信息 |
| –add-service=<服务名> | 设置默认区域允许该服务的流量 |
| –add-port=<端口号/协议> | 允许默认区域允许该端口的流量 |
| –remove-service=<服务名> | 设置默认区域不再允许该服务的流量 |
| –remove-port=<端口号/协议> | 允许默认区域不再允许该端口的流量 |
| –reload | 让永久生效的配置规则立即生效，覆盖当前的 |
注：Firewalld 服务有两份规则策略配置记录：
- RunTime：当前正在生效的
- Permanent：永久生效的
例子：
① 启动 / 关闭应急状况模式，阻断所有网络连接，一切服务的请求也都被拒绝
firewall-cmd --panic-on
firewall-cmd --panic-off
② 允许 https 服务流量通过 public 区域，要求立即生效且永久有效
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --reload
③ 不再允许 http 服务流量通过 public 区域，要求立即生效且永久生效
firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload
④ 允许 8080 与 8081 端口流量通过 public 区域，要求立即生效且永久有效
firewall-cmd --permanent --zone=public --add-port=8080-8081/tcp
firewall-cmd --reload
⑤ 将 eno16777728 网卡的与其修改为 external，重启后生效
firewall-cmd --permanent --zone=external --change-interface=eno16777728
⑥ 设置福规则，拒绝 192.168.10.0/24 网段用户访问 ssh 服务：
Firewalld 服务的福规则用于对服务、端口、协议进行更详细的配置，规则的优先级最高。
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
图形管理工具 firewall-config
执行 firewall-config 命令可以进入防火墙图形化管理工具，此处略。
服务的访问控制列表
Tcp_wrappers (即 Transmission Control Protocol Wrappers) 是一款基于 IP 层的 ACL 访问控制列表浏览监控程序，它能够根据来访主机地址与本机目标服务程序做允许或拒绝规则。控制列表修改后会立即生效，系统会先检查允许规则，如果匹配允许则直接放行浏览，若拒绝规则中匹配则直接拒绝，都不匹配默认也会放行。
允许名单：/etc/hosts.allow
拒绝名单：/etc/hosts.deny
端口转发
端口转发功能可以将原本到某端口的数据包转发到其他端口，格式为：
firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
例子：
将访问 192.168.10.10 主机 888 端口的请求转发至 22 端口：
firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10