iptables 的历史以及工作原理
iptables的前身叫ipfirewall （内核1.x时代）,这是一个作者从freeBSD上移植过来的，能够工作在内核当中的，对数据包进行检测的一款简易访问控制工具。但是ipfirewall工作功能极其有限(它需要将所有的规则都放进内核当中，这样规则才能够运行起来，而放进内核，这个做法一般是极其困难的)。当内核发展到2.x系列的时候，软件更名为ipchains，它可以定义多条规则，将他们串起来，共同发挥作用，而现在，它叫做iptables，可以将规则组成一个列表，实现绝对详细的访问控制功能。
他们都是工作在用户空间中，定义规则的工具，本身并不算是防火墙。它们定义的规则，可以让在内核空间当中的netfilter来读取，并且实现让防火墙工作。而放入内核的地方必须要是特定的位置，必须是tcp/ip的协议栈经过的地方。而这个tcp/ip协议栈必须经过的地方，可以实现读取规则的地方就叫做 netfilter.(网络过滤器)，也就是说firewalld和 iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结 构以及使用方法不一样罢了
规则的写法
iptables定义规则的方式:
格式：iptables [-t table] COMMAND chain CRETIRIA -j ACTION
-t table ：3个filter nat mangle
COMMAND：定义如何对规则进行管理
chain：指定你接下来的规则到底是在哪个链上操作的，当定义策略的时候，是可以省略的
CRETIRIA:指定匹配标准
**-j ACTION **:指定如何进行处理
链管理命令（立即生效）
-P :设置默认策略的（设定默认门是关着的还是开着的）
默认策略一般只有两种
iptables -P INPUT (DROP|ACCEPT) ** 默认是关的/默认是开的
比如：
iptables -P INPUT DROP** 这就把默认规则给拒绝了。并且没有定义哪个动作，所以关于外界连接的所有规则包括Xshell连接之类的，远程连接都被拒绝了。
-F: FLASH，清空规则链的(注意每个链的管理权限)
iptables -t nat -F PREROUTING
iptables -t nat -F 清空nat表的所有链
-N:NEW 支持用户新建一个链
iptables -N inbound_tcp_web 表示附在tcp表上用于检查web的。
-X: 用于删除用户自定义的空链
使用方法跟-N相同，但是在删除之前必须要将里面的链给清空了
-E：用来Rename chain主要是用来给用户自定义的链重命名
-E oldname newname
-Z：清空链，及链中默认规则的计数器的（有两个计数器，被匹配到多少个数据包，多少个字节）
iptables -Z :清空
规则管理命令
-A：追加，在当前链的最后新增一个规则
-I num : 插入，把当前规则插入为第几条。
格式：-I 3 :插入为第三条
-R num：Replays替换/修改第几条规则
格式：iptables -R 3 …………
-D num：删除，明确指定删除第几条规则
查看管理命令 “-L”
附加子命令
-n：以数字的方式显示ip，它会将ip直接显示出来，如果不加-n，则会将ip反向解析成主机名。
-v：显示详细信息
-vv
-vvv :越多越详细
-x：在计数器上显示精确值，不做单位换算
--line-numbers : 显示规则的行号
-t nat：显示所有的关卡的信息
常用命令
安装iptable
- 先检查是否安装了iptables
service iptables status - 安装iptables
yum install -y iptables - 升级iptables
**yum update iptables ** - 安装iptables-services
yum install iptables-services
自带的firewalld服务的操作
- systemctl status firewall 查看状态
- firewall-cmd --state 查看状态
- service firewalld restart 重启
- service firewalld start 开启
- service firewalld stop 关闭
- systemctl stop firewalld 禁用
- firewall-cmd --list-all 查看防火墙规则
- firewall-cmd --zone=public --add-port=80/tcp --permanent
开启80端口 - systemctl restart firewalld.service 重启防火墙
- firewall-cmd --zone= public --remove-port=80/tcp --permanent
移除80端口
设置现有规则
- 查看iptables现有规则
iptables -L -n - 先允许所有,不然有可能会悲剧
iptables -P INPUT ACCEPT - 清空所有默认规则
iptables -F - 清空所有自定义规则
iptables -X - 所有计数器归0
iptables -Z - 允许来自于lo接口的数据包(本地访问)
iptables -A INPUT -i lo -j ACCEPT - 开放22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT - 开放21端口(FTP)
iptables -A INPUT -p tcp --dport 21 -j ACCEPT - 开放80端口(HTTP)
iptables -A INPUT -p tcp --dport 80 -j ACCEPT - 开放443端口(HTTPS)
iptables -A INPUT -p tcp --dport 443 -j ACCEPT - 允许ping
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT - 允许接受本机请求之后的返回数据 RELATED,是为FTP设置的
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT - 其他入站一律丢弃
iptables -P INPUT DROP - 所有出站一律绿灯
iptables -P OUTPUT ACCEPT - 所有转发一律丢弃
iptables -P FORWARD DROP
其他规则设定
- 如果要添加内网ip信任（接受其所有TCP请求）
iptables -A INPUT -p tcp -s 45.96.174.68 -j ACCEPT - 过滤所有非以上规则的请求
iptables -P INPUT DROP - 要封停一个IP，使用下面这条命令：
iptables -I INPUT -s ***.***.***.*** -j DROP - 要解封一个IP，使用下面这条命令:
iptables -D INPUT -s ***.***.***.*** -j DROP
保存规则设定
- 保存上述规则
service iptables save
开启iptables服务
- 注册iptables服务相当于以前的chkconfig iptables on
systemctl enable iptables.service - 开启服务
systemctl start iptables.service - 查看状态
systemctl status iptables.service