CentOS7 iptables

在CentOS7上默认安装的是Firewalld防火墙，虽然在新的firewalld中对流量的语法和控制更加的简单，也能让管理者更加清晰的控制访问策略，但是对于大部分习惯使用iptables的用户来说，使用原有的iptables 来控制更加顺手。

在使用iptables 之前需要安装iptables服务。

1

<code>yum </code><code>install</code> <code>iptables-services</code>

在没有安装iptables服务时，是没有/etc/sysconfig/iptables文件的，执行iptables-save也无法保存。

管理iptables服务

在安装了iptables服务后，可以查看配置文件信息来确认通过哪种方式来添加规则：

2

3

4

<code>head</code> <code>-2 </code><code>/etc/sysconfig/iptables</code>

<code># sample configuration for iptables service</code>

<code># you can edit this manually or use system-config-firewall</code>

直接对文件进行编辑，添加规则，添加完成之后，使用如下命令检查配置语法是否正确：

<code>sh -c </code><code>'iptables-restore -t &lt; /etc/sysconfig/iptables'</code>

根据提示，可以对此文件直接编辑，如果文件说明是另一种情况：

<code># Firewall configuration written by system-config-firewall</code>

<code># Manual customization of this file is not recommended.</code>

那说明已经安装了system-config-firewall管理工具，使用此工具可以直接对文件进行管理，如果手动编辑，工具将会覆盖之前编辑的内容。

如果是这种情况，可以使用下面的命令对文件进行编辑：

<code>system-config-firewall-tui</code>

<code>system-config-firewall</code>

当然，也可以使用iptables命令来逐条添加规则，使用如下命令来打印规则信息和保存规则到配置文件中：

<code>iptables -S</code>

<code>iptables-save</code>

关闭Firewalld服务

在启用iptables服务前，需要关闭并禁用firewalld的服务，以防发生冲突：

<code>systemctl stop firewalld</code>

<code>firewall-cmd --state</code>

关闭firewalld开机自启动，并禁用手动启动firewalld:

<code>systemctl disable firewalld</code>

<code>systemctl mask firewalld</code>

如果要恢复firewalld手动启动：

<code>systemctl unmask firewalld</code>

生产环境iptables配置实例

对于访问量不高，安全要求比较高的web服务而暴露在公网的web服务器（一般人不会这么干），可以使用如下规则：

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

<code>iptables -I INPUT -p tcp -s 203.186.52.53 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT</code>

<code>     </code> 

<code>iptables -I OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT</code>

<code>       </code> 

<code>iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT</code>

<code>        </code> 

<code>iptables -I INPUT  -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT</code>

<code>iptables -I OUTPUT  -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT</code>

<code>         </code> 

<code>iptables -I INPUT -p icmp --icmp-</code><code>type</code> <code>echo</code><code>-request -j ACCEPT</code>

<code>iptables -I OUTPUT -p icmp --icmp-</code><code>type</code> <code>echo</code><code>-reply -j ACCEPT</code>

<code>iptables -I INPUT -i lo -j ACCEPT</code>

<code>iptables -I OUTPUT -o lo -j ACCEPT</code>

<code>iptables -I OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT</code>

<code>iptables -I INPUT -p udp -i eth0 --sport 53 -j ACCEPT</code>

<code>iptables -P INPUT DROP</code>

<code>iptables -P OUTPUT DROP</code>

查看具体的配置信息：

<code># iptables -S</code>

<code>-P INPUT DROP</code>

<code>-P FORWARD ACCEPT</code>

<code>-P OUTPUT DROP</code>

<code>-A INPUT -i eth0 -p udp -m udp --sport 53 -j ACCEPT</code>

<code>-A INPUT -i lo -j ACCEPT</code>

<code>-A INPUT -p icmp -m icmp --icmp-</code><code>type</code> <code>8 -j ACCEPT</code>

<code>-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT</code>

<code>-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT</code>

<code>-A INPUT -s 203.186.52.53 -p tcp -m tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT</code>

<code>-A OUTPUT -o eth0 -p udp -m udp --dport 53 -j ACCEPT</code>

<code>-A OUTPUT -o lo -j ACCEPT</code>

<code>-A OUTPUT -p icmp -m icmp --icmp-</code><code>type</code> <code>0 -j ACCEPT</code>

<code>-A OUTPUT -p tcp -m tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT</code>

使用iptables-save保存配置即可。

警告：如果是远程配置iptables,需要使用 iptables -F 时一定要先确保默认的 INPUT和OUTPUT 规则为ACCEPT,否则执行清空命令后，默认规则依然是DROP,不会被清除，将永远与远程主机断开连接。

可借助crontab,每15分钟恢复到默认，直到iptables配置完成。

参考链接：

 本文转自 酥心糖 51CTO博客，原文链接:http://blog.51cto.com/tryingstuff/1944082