iptables防火牆策略
開啟防火牆：
systemctl start firewalld
firewall-config & 圖形介面管理
watch -n 1 firewall-cmd --list-all 監控這個策略
permanent:永久，需要重啟/重新載入，不會失效 例如：firewall-cmd --permanent--add-service=http
runtime:執行，重啟會失效
dmz:非軍事區域
drop：丟棄
trusted：信任的，完全開放的
public：公共的 (一般用這個)
不加--permenent的都是臨時的，重啟會失效
加了的要重啟才會生效
firewall-cmd --state
檢視防火牆狀態
firewall-cmd --get-active-zones
檢視防火牆管理的裝置
eth0/1
firewall-cmd --get-default-zone
檢視生效的域
firewall-cmd --get-active-zones
檢視網路裝置所在的域
firewall-cmd --get-zones
檢視所有的域
firewall-cmd --zone=public --list-all
檢視public域中生效的策略
firewall-cmd --get-services
防火牆可以直接配置的服務
firewall-cmd --list-all-zones
檢視所有的域的所有生效策略
不同網段的防火牆策略：以http為例：
安裝http
將eth0和eht1放到不同的域上，兩個域的策略不同，會使瀏覽器訪問不同ip的時候，有不同的結果
注意 eht0和eth1必須在不同的網段
firewall-cmd --set-default-zone=dmz
將域改為dmz
firewall-cmd --permanent --change-interface=eth1 --zone=trusted
直接將eth1從原來的域轉到trusted這個域
firewall-cmd --add-service=http
firewall-cmd --remove-service=http
新增刪除服務（預設的域）
firewall-cmd --add-port=8080/tcp
firewall-cmd --remove-port=8080/tcp
新增/刪除介面
firewall-cmd --add-interface=eth0
firewall-cmd --remove-interface=eth0
新增/刪除裝置
firewall-cmd --add-source=192.168.33.172
新增信任主機
允許主機上的所有資料包通過
若後面加--zone=zmd
就是給zmd 這個域新增以上裝置/介面/服務
指定禁止ip主機訪問：
firewall-cmd --permanent --add-source=192.168.33.172 --zone=block
拉黑指定主機，然後過載防火牆規則
firewall-cmd --reload
已經連的不會斷開
firewall-cmd --complete-reload
已經連的也會斷開
firewall-cmd --permanent --remove--source=192.168.33.172 --zone=block
從黑名單裡搞出來
埠轉接：
firewall-cmd --add-forward-port=port=22:proto=tcp:toport=22:toaddr=192.168.33.172
當年有人連線本機的22號埠時，轉接到7號主機的22號埠
firewall-cmd --remove-forward-port=port=22:proto=tcp:toport=22:toaddr=192.168.33.172
刪除這個SNAT
iptables：與firewall只能同時使用其中一個
systemctl stop firewalld.service
systemctl disabled firewalld.service
systemctl mask firewalld.service
遮蔽火牆
yum install iptables-server
iptables -t filter -L
檢視 iptables
iptables -F
刷空iptables策略
service iptables save
過載iptables
新增幾條策略：
iptables -A INPUT l -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 192.168.33.172 -p tcp -m tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -j REJECT
檢視策略
iptables -nL
-i lo 表示從迴環地址進來的
-t 指定表
-L 列出表
-A:新增
-j 動作
-s 來源
-p 協議
--dport 埠
-D 刪除鏈裡面的策略
-X 刪除鏈
-E 給鏈改名
-P 更改預設的策略（ACCEPT/DROP）