CentOS之——CentOS7安裝iptables防火牆

CentOS7默認的防火牆不是iptables,而是firewalle.

安裝iptable iptable-service

[plain] view plain copy

1. #先檢查是否安裝了iptables  

2. service iptables status  

3. #安裝iptables  

4. yum install -y iptables  

5. #升級iptables  

6. yum update iptables   

7. #安裝iptables-services  

8. yum install iptables-services  

禁用/停止自帶的firewalld服務

[plain] view plain copy

1. #停止firewalld服務  

2. systemctl stop firewalld  

3. #禁用firewalld服務  

4. systemctl mask firewalld  

設置現有規則

[plain] view plain copy

1. #查看iptables現有規則  

2. iptables -L -n  

3. #先允許所有,不然有可能會杯具  

4. iptables -P INPUT ACCEPT  

5. #清空所有默認規則  

6. iptables -F  

7. #清空所有自定義規則  

8. iptables -X  

9. #所有計數器歸0  

10. iptables -Z  

11. #允許來自於lo接口的數據包(本地訪問)  

12. iptables -A INPUT -i lo -j ACCEPT  

13. #開放22端口  

14. iptables -A INPUT -p tcp --dport 22 -j ACCEPT  

15. #開放21端口(FTP)  

16. iptables -A INPUT -p tcp --dport 21 -j ACCEPT  

17. #開放80端口(HTTP)  

18. iptables -A INPUT -p tcp --dport 80 -j ACCEPT  

19. #開放443端口(HTTPS)  

20. iptables -A INPUT -p tcp --dport 443 -j ACCEPT  

21. #允許ping  

22. iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT  

23. #允許接受本機請求之後的返回數據 RELATED,是爲FTP設置的  

24. iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT  

25. #其他入站一律丟棄  

26. iptables -P INPUT DROP  

27. #所有出站一律綠燈  

28. iptables -P OUTPUT ACCEPT  

29. #所有轉發一律丟棄  

30. iptables -P FORWARD DROP  

其他規則設定

[plain] view plain copy

1. #如果要添加內網ip信任（接受其所有TCP請求）  

2. iptables -A INPUT -p tcp -s 45.96.174.68 -j ACCEPT  

3. #過濾所有非以上規則的請求  

4. iptables -P INPUT DROP  

5. #要封停一個IP，使用下面這條命令：  

6. iptables -I INPUT -s ***.***.***.*** -j DROP  

7. #要解封一個IP，使用下面這條命令:  

8. iptables -D INPUT -s ***.***.***.*** -j DROP  

保存規則設定

[plain] view plain copy

1. #保存上述規則  

2. service iptables save  

開啓iptables服務

[plain] view plain copy

1. #註冊iptables服務  

2. #相當於以前的chkconfig iptables on  

3. systemctl enable iptables.service  

4. #開啓服務  

5. systemctl start iptables.service  

6. #查看狀態  

7. systemctl status iptables.service  

解決vsftpd在iptables開啓後,無法使用被動模式的問題

1.首先在/etc/sysconfig/iptables-config中修改或者添加以下內容

[html] view plain copy

#添加以下內容,注意順序不能調換
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp"

2.重新設置iptables設置

[plain] view plain copy

1. iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT  

以下爲完整設置腳本

[plain] view plain copy

1. #!/bin/sh  

2. iptables -P INPUT ACCEPT  

3. iptables -F  

4. iptables -X  

5. iptables -Z  

6. iptables -A INPUT -i lo -j ACCEPT  

7. iptables -A INPUT -p tcp --dport 22 -j ACCEPT  

8. iptables -A INPUT -p tcp --dport 21 -j ACCEPT  

9. iptables -A INPUT -p tcp --dport 80 -j ACCEPT  

10. iptables -A INPUT -p tcp --dport 443 -j ACCEPT  

11. iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT  

12. iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  

13. iptables -P INPUT DROP  

14. iptables -P OUTPUT ACCEPT  

15. iptables -P FORWARD DROP  

16. service iptables save  

17. systemctl restart iptables.service