Linux运维-防火墙篇

本篇为大家集中讲述一些常用防火墙的场景和用法。

一、Selinux

这是一个操作系统自带的防火墙，通常用法有一些几方面：

1.查看Selinux状态，getenforce

2.临时修改Selinux状态，setenforce 0

3.永久修改Selinux状态，vi /etc/selinux/config修改文件selinux为disable

注意：所有的修改都需要在新的终端生效；

二、Iptanbles

1.查看状态：service iptables status

2.查看现有规则：iptables -nvL

3.添加规则，方法有两种，一种直接敲命令，另一种配置文件设置；

命令类：禁ip方式

禁止出方向访问某ip：iptables -A OUTPUT -d 160.16.111.233 -j REJECT

禁止入方向某源ip访问：iptables -I INPUT -s 160.16.111.233 -j DROP

只允许出网访问某ip： iptables -A OUTPUT -d 192.168.1.209 -j ACCEPT ----允许

禁止所有出网访问： iptables –P OUTPUT DROP ----全禁

注意：因为要域名访问，所以还需要允许dns地址

配置文件设置：

vi /etc/sysconfig/iptables

允许访问本机上8077端口：

-A INPUT -p tcp -m state --state NEW -m tcp --dport 8077 -j ACCEPT

-A INPUT -p tcp --dport 22 -j ACCEPT允许某端口

允许某ip访问本机：

-A INPUT -s 10.87.10.45 -j ACCEPT允许某IP访问

二、Firewall

1.查看防火墙状态：firewall-cmd --state

2.开放9500端口访问：firewall-cmd --zone=public --add-port=9500/tcp --permanent

3.开放192.168.0.200访问本机80端口

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" accept

4.拒绝192.168.0.200访问本机80端口

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.0.200" port protocol="tcp" port="80" reject"

5.拒绝43.229.53.61访问本机

firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=43.229.53.61 reject"

6.查看现有防火墙规则：firewall-cmd --list-all

7.取消某规则：

以2.规则为例，取消办法：firewall-cmd --zone=public --remove-port=9500/tcp --permanent

命令基本是将原--add改为--remove

8.重新加载防火墙规则

重启：systemctl restart firewalld.service

热加载：firewall-cmd --reload

Tags：关闭linux防火墙命令