RHCSA学习笔记：使用firewalld和iptables来控制网络流量-中华考试网

RHCSA学习笔记：使用firewalld和iptables来控制网络流量

2016-1-28编辑:ljnbset

FirewallD 和 Iptables 的一个比较

在后台， firewalld 和 iptables 服务都通过相同的接口来与内核中的 netfilter 框架相交流，这不足为奇，即它们都通过 iptables 命令来与 netfilter 交互。然而，与 iptables 服务相反， firewalld 可以在不丢失现有连接的情况下，在正常的系统操作期间更改设定。

--------------------------------------分割线 --------------------------------------

CentOS 7.0关闭默认防火墙启用iptables防火墙 http://www.linuxidc.com/Linux/2015-05/117473.htm

iptables使用范例详解 http://www.linuxidc.com/Linux/2014-03/99159.htm

Linux防火墙iptables详细教程 http://www.linuxidc.com/Linux/2013-07/87045.htm

iptables的备份、恢复及防火墙脚本的基本使用 http://www.linuxidc.com/Linux/2013-08/88535.htm

Linux下防火墙iptables用法规则详解 http://www.linuxidc.com/Linux/2012-08/67952.htm

--------------------------------------分割线 --------------------------------------

在默认情况下， firewalld 应该已经安装在你的 RHEL 系统中了，尽管它可能没有在运行。你可以使用下面的命令来确认（firewall-config 是用户界面配置工具）：

#yuminfo firewalld firewall-config

检查 FirewallD 的信息

检查 FirewallD 的信息

以及，

#systemctl status -l firewalld.service

检查 FirewallD 的状态

检查 FirewallD 的状态

另一方面， iptables 服务在默认情况下没有被包含在 RHEL 系统中，但可以被安装上。

#yum update &&yum install iptables-services

这两个守护进程都可以使用常规的 systemd 命令来在开机时被启动和开启：

#systemctl start firewalld.service | iptables-service.service
#systemctl enable firewalld.service | iptables-service.service

另外，请阅读：管理 Systemd 服务的实用命令

至于配置文件， iptables 服务使用 /etc/sysconfig/iptables 文件（假如这个软件包在你的系统中没有被安装，则这个文件将不存在）。在一个被用作集群节点的 RHEL 7 机子上，这个文件看起来是这样：

Iptables 防火墙配置文件

Iptables 防火墙配置文件

而 firewalld 则在两个目录中存储它的配置文件，即 /usr/lib/firewalld 和 /etc/firewalld：

#ls/usr/lib/firewalld /etc/firewalld

FirewallD 的配置文件

FirewallD 的配置文件

在这篇文章中后面，我们将进一步查看这些配置文件，在那之后，我们将在这两个地方添加一些规则。现在，是时候提醒你了，你总可以使用下面的命令来找到更多有关这两个工具的信息。

#man firewalld.conf
#man firewall-cmd
#man iptables

除了这些，记得查看一下当前系列的第一篇 RHCSA 系列（一）: 回顾基础命令及系统文档，在其中我描述了几种渠道来得到安装在你的 RHEL 7 系统上的软件包的信息。

使用 Iptables 来控制网络流量

在进一步深入之前，或许你需要参考 Linux 基金会认证工程师（Linux Foundation Certified Engineer,LFCE）系列中的配置 Iptables 防火墙 – Part 8 来复习你脑中有关 iptables 的知识。

例 1：同时允许流入和流出的网络流量

TCP 端口 80 和 443 是 Apache web 服务器使用的用来处理常规（HTTP）和安全（HTTPS）网络流量的默认端口。你可以像下面这样在 enp0s3 接口上允许流入和流出网络流量通过这两个端口：

# iptables -A INPUT -i enp0s3 -p tcp --dport 80-m state --state NEW,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -o enp0s3 -p tcp --sport 80-m state --state ESTABLISHED -j ACCEPT
# iptables -A INPUT -i enp0s3 -p tcp --dport 443-m state --state NEW,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -o enp0s3 -p tcp --sport 443-m state --state ESTABLISHED -j ACCEPT

例 2：从某个特定网络中阻挡所有（或某些）流入连接

或许有时你需要阻挡来自于某个特定网络的所有（或某些）类型的来源流量，比方说 192.168.1.0/24：

# iptables -I INPUT -s 192.168.1.0/24-j DROP

上面的命令将丢掉所有来自 192.168.1.0/24 网络的网络包，而

# iptables -A INPUT -s 192.168.1.0/24--dport 22-j ACCEPT

将只允许通过端口 22 的流入流量。

例 3：将流入流量重定向到另一个目的地

假如你不仅使用你的 RHEL 7 机子来作为一个软件防火墙，而且还将它作为一个硬件防火墙，使得它位于两个不同的网络之间，那么在你的系统上 IP 转发一定已经被开启了。假如没有开启，你需要编辑 /etc/sysctl.conf 文件并将 net.ipv4.ip_forward 的值设为 1，即：