CentOS7 防火墙

一、FirewallD

CentOS7默认防火墙，提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。

常用操作

systemctl start firewalld.service #启动firewallsystemctl stop firewalld.service  #停止firewallsystemctl disable firewalld.service #禁止firewall开机启动firewall-cmd --version              #查看版本systemctl status firewalld.service  #查看状态ORfirewall-cmd --statefirewall-cmd --get-active-zones     #获取启用的zonefirewall-cmd --list-all             #查看开放的端口和服务firewall-cmd --zone=public --list-all #查看指定区域中开放的端口和服务firewall-cmd --get-services         #查看系统中可用服务 firewall-cmd --reload               #重启firewalld，不用重启服务firewall-cmd --complete-reload      #需要重启服务firewall-cmd --add-service=ftp      #临时开放FTPfirewall-cmd --add-service=ftp --permanent     #永久开放FTPfirewall-cmd --remove-service=ftp --permanent  #永久关闭FTPsystemctl restart firewalld         #让设定生效firewall-cmd --query-service ftp    #查看启用状态firewall-cmd --add-port=3128/tcp    #添加端口

二、iptables

如果你想使用自己的 iptables 和 ip6tables 静态防火墙规则, 需要安装 iptables-services 并且禁用 firewalld ，启用 iptables 和ip6tables。
静态防火墙规则配置文件是 /etc/sysconfig/iptables 以及 /etc/sysconfig/ip6tables。

yum install iptables-servicessystemctl mask firewalld.servicesystemctl enable iptables.servicesystemctl enable ip6tables.servicesystemctl stop firewalld.servicesystemctl start iptables.servicesystemctl start ip6tables.service

启动、停止命令

service iptables status   查询防火墙状态service iptables stop     停止service iptables start    启动service iptables restart  重启chkconfig iptables off    永久关闭chkconfig iptables on     永久关闭后启用

开启端口

方法一

        /sbin/iptables -I INPUT -p tcp --dport 80 -j ACCEPT   写入修改        /etc/init.d/iptables save   保存修改        service iptables restart    重启防火墙，修改生效

方法二

       vi /etc/sysconfig/iptables  打开配置文件加入如下语句:       -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT   重启防火墙，修改完成

关闭端口

方法一

        /sbin/iptables -I INPUT -p tcp --dport 80 -j DROP   写入修改        /etc/init.d/iptables save   保存修改        service iptables restart    重启防火墙，修改生效

方法二

        vi /etc/sysconfig/iptables  打开配置文件加入如下语句:        -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j DROP           重启防火墙，修改完成

只允许指定ip访问指定的端口

iptables -A INPUT -s 74.82.164.142 -p tcp --dport 9306 -j ACCEPTiptables -A INPUT -p tcp --dport 9306 -j DROP # 如果在iptables表最下面有一条拒绝所有规则以外的规则的话，则这行不用写。

允许某IP访问所有端口

-A INPUT -p tcp -s ip地址 --dport 1024/65535-j ACCEPT-A INPUT -p tcp -s ip地址 -j ACCEPT

查看端口状态

/etc/init.d/iptables status

更多查看这里
http://blog.csdn.net/xundh/article/details/52839234

三、静态防火墙(system-config-firewall/lokkit)

使用 system-config-firewall 和 lokkit 的静态防火墙模型实际上仍然可用并将继续提供，但却不能与“守护进程”同时使用。用户或者管理员可以决定使用哪一种方案。
在软件安装，初次启动或者是首次联网时，将会出现一个选择器。通过它你可以选择要使用的防火墙方案。其他的解决方案将保持完整，可以通过更换模式启用。
firewall daemon 独立于 system-config-firewall，但二者不能同时使用。