linux学习第三十一篇：iptables规则备份和恢复，firewalld的9个zone，firewalld关于zone的操作，firewalld关于service的操作

iptables规则备份和恢复

保存和备份iptables规则

1. service iptables save //会把规则保存到/etc/sysconfig/iptables

2.另一种方法就是把iptables规则备份到自定义文件my.ipt文件中，如果想要开机生效就使用上面的第一条
iptables-save > my.ipt

1. 恢复刚才备份的规则
   iptables-restore < my.ipt

firewalld的9个zone

1. 禁掉iptables，打开firewalld
   systemctl disable iptables
   systemctl stop iptables
   systemctl enable firewalld
   systemctl start firewalld

2. firewalld默认有9个zone，默认zone为public。zone是firewalld的默认单位，每个zone就好比一个规则集，就是zone里自带了一些规则。
   9个zone：
   drop（丢弃）：任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。
   block（限制）：任何接收的网络连接都被IPv4的icmp-host-prohibited信息和IPv6的icmp6-adm-prohibited信息所拒绝。
   public（公共）：在公共区域内使用，不能相信网络内的其他计算机不会对你的计算机造成危害，只能接收经过选取的连接。
   external（外部）：特别是为路由器启用了伪装功能的外部网。你不能信任来自网络的其他计算，不能相信他们不会对你的计算机造成危害，只能接收经过选择的连接
   dmz（非军事区）：用于你的非军事区内的计算机，此区域内可公开访问，可以有限地进入你的内部网络，仅仅接收经过选择的连接。
   work（工作）：用于工作区。你可以基本相信网络内的其他计算机不会危害你的计算机。仅仅接收经过选择的连接
   home（家庭）：用于家庭网络。你可以基本信任网络内的其他计算机不会危害你的计算机。仅仅接收经过选择的连接
   internal（内部）：用于内部网络。你可以基本上信任网络内的其他计算机不会威胁你的计算机，仅仅接受经过选择的连接。
   trusted（信任）：可接受所有的网络连接。

3. 查看所有zone：
   firewall-cmd –get-zones

4. 查看默认zone：
   firewall-cmd –get-default-zone

firewalld关于zone的操作

1. 设定默认zone：
   firewall-cmd –set-default-zone=work

2. 查指定网卡：
   firewall-cmd –get-zone-of-interface=ens33

3. 给指定网卡设置zone：
   firewall-cmd –zone=public –add-interface=lo

4. 针对网卡更改zone：
   firewall-cmd –zone=dmz –change-interface=lo

5. 针对网卡删除zone：
   firewall-cmd –zone=dmz –remove-interface=lo

6. 查看系统所有网卡所在的zone：
   firewall-cmd –get-active-zones

firewalld关于service的操作

1. 查看所有的servies：
   firewall-cmd –get-services

2. 查看当前zone下有哪些service：
   firewall-cmd –list-services

3. 查看当前zone为public的有哪些service：
   firewall-cmd –zone=public –list-services

4. 把http增加到public zone下面（只是保存在内存中，下次重启就会失效）：
   firewall-cmd –zone=public –add-service=http
   把http从public zone下面删除：
   firewall-cmd –zone=public –remove-service=http

5. zone的配置文件模板：
   ls /usr/lib/firewalld/zones/

6. 更改配置文件，之后会在/etc/firewalld/zones目录下面生成配置文件（永久生效，下次重启不会失效）：
   firewall-cmd –zone=public –add-service=http –permanent

7. 在/usr/lib/下有zone和service的配置文件模板。
   需求：ftp服务自定义端口1121，把默认端口改为1121，需要在work zone下面放行ftp
   cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services

vi /etc/firewalld/services/ftp.xml //把21改为1121

cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones/

vi /etc/firewalld/zones/work.xml
增加一行
8. 编写完配置文件需要重新加载：
firewall-cmd –reload
9. 查看当前zone为work的有哪些service：
firewall-cmd –zone=work –list-services