一、IPtables介紹
Iptables(以下簡稱Iptables)是unix/linux自帶的一款優秀且開放源代碼的完全自由的基於包過濾(對OSI模型的四層或者是四層以下進行過濾)的防火牆工具，它的功能十分強大，使用非常靈活，可以對流入和流出服務器的數據包進行很精細的控制。主要針對網絡訪問
iptables其實並不是真正的防火牆，我們可以把他理解爲一個客戶端的代理，用戶是通過iptables這個代理，將用戶的安全設定執行到對應的“安全框架”中，這個“安全框架”纔是真正的防火牆。這個框架叫做“netfilter”。
netfilter：內核空間，是真正實現防火牆的功能。
iptables：用戶空間，在/sbin/iptables存在的防火牆，通過iptables提供管理，修改，刪除或者插入規則。
用戶和內核交互的一個工具就是iptables。
實際生產環境中:
關閉Linux自身防火牆。（解決安全問題儘量不給服務器配置外網IP.需要訪問的話，就使用代理轉發。）因爲高併發，iptables會加大延遲。除非併發小，如果服務器必須處於公網。考慮開啓防火牆。
大併發的情況，不能開iptables,影響性能因爲iptables是要消耗CPU的，利用硬件防火牆提升架構安全
1.iptables工作原理分類
主機防火牆：主要是用來防範單臺主機的進出報文；-----filter表
網絡防火牆: 能夠實現對進出本網絡的所有主機報文加以防護----nat表
raw mangle nat filter
================================================================================
iptables缺點：
（1）防火牆雖然可以過濾互聯網的數據包，但卻無法過濾內部網絡的數據包。因此若有人從內部網絡攻擊時，防火牆沒有作用。
（2）電腦本身的操作系統亦可能因一些系統漏洞，使入侵者可以利用這些漏洞繞過防火牆過濾，從而入侵電腦。
（3）防火牆無法有效阻擋病毒攻擊，尤其是隱藏在數據中的病毒。
PS:沒有絕對安全的操作系統，雖然防火牆有這些缺點，但還是能阻擋大多數來自於外網的攻擊！
2. iptables工作流程
1、防火牆是一層層過濾的。實際是按照配置規則的順序從上到下，從前到後進行過濾的。
2、如果匹配上了規則，即明確表明是阻止還是通過，此時數據包就不在向下匹配新規則了。
3、如果所有規則中沒有明確表明是阻止還是通過這個數據包，也就是沒有匹配上規則，向下進行匹配，直到匹配默認規則得到明確的阻止還是通過。
4、防火牆的默認規則是對應鏈的所有的規則執行完以後纔會執行的（最後執行的規則）。
二、iptables概念
一、iptables名詞和術語
1. 什麼是 iptables
舉個例子，如果把Netfilter看成是某個小區的一棟樓。那麼表（tables)就是樓裏的其中的一套房子。這套房子"表（tables)"屬於這棟樓“Netfilter/iptables”。
2. 什麼是表（tables）
表（tables）是鏈的容器，即所有的鏈（chains）都屬於其對應的表（tables）.如上，如果把Netfilter看成是某個小區的一棟樓.那麼表（tables）就是樓裏的其中的一套房子。
3 什麼是鏈（chains）
鏈（chains）是規則（Policys）的容器。如果把表（tables）當作有一套房子，那麼鏈（chains）就可以說是房子裏的傢俱（櫃子等）。
4 什麼是規則（Policy）
規則（Policy）就比較容易理解了，就是iptables系列過濾信息的規範和具體方法條款了.可以理解爲櫃子如何增加並擺放櫃子東西等。
基本術語如下表格所示：
| Netfilter/iptables | 表（tables**）** | 鏈（chains**）** | 規則（Policy**）** |
|---|---|---|---|
| 一棟樓 | 樓裏的房子 | 房子裏的櫃子 | 櫃子裏衣服，擺放規則 |
三、iptables 表和鏈
默認情況下，iptables根據功能和表的定義劃分包含三個表，filter,nat,mangle,其每個表又包含不同的操作鏈（chains )。 實際iptables包含4張表和五個鏈,主要記住filter即可。
1、四個表：
必須是小寫
raw ------------追蹤數據包， ----此表用處較少，可以忽略不計
mangle -------- 給數據包打標記,做標記
nat ---------網絡地址轉換即來源與目的的IP地址和port的轉換。
filter --------做過濾的，防火牆裏面用的最多的表。
#表的應用順序：raw-》mangle-》nat-》filter
2、五個鏈
五鏈：（必須是大寫）鏈裏面寫的是規則。
PREROUTING ---------------------進路由之前數據包
INPUT -----------------就是過濾進來的數據包（輸入）
FORWARD -----------------轉發
OUTPUT ---------------發出去的數據包
POSTROUTING --------------路由之後數據包
#所有的訪問都是按順序:
入站:比如訪問自身的web服務流量。先PREROUTING（是否改地址），再INPUT（是否允許）到達程序。
轉發:經過linux網關的流量.先PREROUTING（是否改地址），然後路由。轉發給FORWARD（轉發或者丟棄），最後經過POSTROUTING（看看改不改地址。）
出站:源自linux自身的流量.先OUTPUT，再給POSTROUTING（是否改IP）。
#規則順序:逐條匹配，匹配即停止。
3、四表五鏈
raw表裏面：
PREROUTING
OUTPUT
總結:數據包跟蹤 內核模塊iptables_raw
===============================================
mangel表裏面有5個鏈：
PREROUTING
INPUT
FORWARD
OUTPUT
POSTROUTING
路由標記用的表。內核模塊iptables_mangle
=====================================================
nat表裏面的鏈：
PREROUTING
INPUT
OUTPUT
POSTROUTING
轉換地址的表(改IP，改端口。當網關使用的linux。保護內外網流量。內核模塊叫iptable_nat)
==============================================
filter表有三個鏈：重點
INPUT #負責過濾所有目標是本機地址的數據包通俗來說：就是過濾進入主機的數據包
FORWARD #負責轉發經過主機的數據包。起到轉發的作用
OUTPUT #處理所有源地址是本機地址的數據包通俗的講：就是處理從主機發出的數據包
總結:根據規則來處理數據包，如轉或者丟。就是實現主機型防火牆的主要表。
內核模塊 iptable_filter
四 iptables操作
1、安裝
centos(5/6)
啓動防火牆：#/etc/init.d/iptables start
centos7
啓動防火牆 -----192.168.246.200服務器實驗。
# yum install -y iptables iptables-services
# systemctl stop firewalld
# systemctl disable firewalld
# systemctl start iptables
查看版本:
[root@iptables-server ~]# iptables -V
iptables v1.4.21
配置文件:
/etc/sysconfig/iptables-config
/etc/sysconfig/iptables #記錄規則文件
2、參數解釋
-L:列出一個鏈或所有鏈中的規則信息
-n：以數字形式顯示地址、端口等信息
-v：以更詳細的方式顯示規則信息
--line-numbers：查看規則時，顯示規則的序號（方便之處，通過需要刪除規則-D INPUT 1
-F：清空所有的規則（-X是清理自定義的鏈，用的少；-Z清零規則序號）
-D：刪除鏈內指定序號（或內容）的一條規則
-P：爲指定的鏈設置默認規則
-A：在鏈的末尾追加一條規則
-I：在鏈的開頭（或指定序號）插入一條規則
-t: 指定表名
.... 更多參數可通過--help查看
3、參數使用
1.如果不寫-t 默認使用filter表
指定表名查看規則
[root@iptables-server ~]# iptables -t nat -L
默認查看規則:
# iptables -L
以數字的形式顯示ip和端口與協議
# iptables -nL
顯示規則行號
# iptables -nL --line
清空規則：
#iptables -F
清空單獨的某一個鏈裏面的規則
#iptables -F 鏈名
清空單獨的某一個表裏的，某一個鏈裏面的規則
# iptables -t nat -F INPUT
保存規則：
# service iptables save
# iptables-save > /etc/sysconfig/iptables
4、iptables語法
iptables -t 表名 動作 [鏈名] [-p 匹配條件] [-j 控制類型]
-j：控制類型， 通過前面匹配到之後是丟棄還是保留數據包的處理方式:
ACCEPT允許，
REJECT拒絕，
DROP丟棄。 不會給用戶返回任何的拒絕消息，不推薦使用。
LOG寫日誌（log不適用匹配，只是記錄一下）
======================================================
動作：添規則還是刪除規則
-p：匹配條件：數據包特徵ip，端口等
如果不寫-t 默認使用filter表
=======================================================
動作
修改默認規則： -P （大p）
刪除規則：-D
修改規則：-R
追加規則: -A 默認追加到鏈的末尾
插入規則：-I （大i），在鏈的開頭（或指定序號）插入一條規則
5、查看添加刪除規則
觀察iptable規則添加的方法，刪除和查詢的方法。本案例並不是爲了體驗策略效果。
iptables -t filter -A INPUT -p tcp -j ACCEPT #最後一行
iptables -I INPUT -p udp -j ACCEPT #第一行
iptables -I INPUT 4 -p icmp -j ACCEPT #（插入到第4行）#第4行
iptables -L #查看規則
iptables -D INPUT 3 #刪除第三行
iptables -F #清空所有規則
service iptables save #保存規則
systemctl restart iptables #重啓服務
注意:如果不保存重啓之後規則就不在了。
2、規則匹配條件
1、通用匹配（協議），可以獨立使用
協議：-p （小p）
tcp ---用的最多
udp
icmp ---ping的時候用的協議
#使用協議的時候可以不指定端口，使用端口的時候必須指定協議。
案例：
禁止自己被ping，在filter表的INPUT鏈插入一個丟棄icmp的規則。
# iptables -F
# iptables -A INPUT -p icmp -j REJECT ----拒絕
驗證:
[root@iptables-test ~]# ping 192.168.246.200
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
From 192.168.246.200 icmp_seq=1 Destination Port Unreachable
2、通過端口規則匹配:
端口：
--sport ---源端口
--dport --目標端口
案例:
拒絕192.168.246.201這臺機器通過ssh連接到這臺服務器
# iptables -I INPUT -s 192.168.246.201 -p tcp --dport 22 -j REJECT
例子:端口的範圍: 拒絕192.168.246.201這臺機器通過22端口到80端口的訪問，包括22和80端口在內
# iptables -I INPUT -s 192.168.246.201 -p tcp --dport 22:80 -j REJECT
驗證:
# curl -I http://192.168.246.200
curl: (7) Failed connect to 192.168.246.200:80; Connection refused
# ssh [email protected]
ssh: connect to host 192.168.246.200 port 22: Connection refused
===========================================================================
拒絕所有機器通過ssh連接到這臺服務器
# iptables -I INPUT -p tcp --dport 22 -j REJECT
例子:端口的範圍: 拒絕所有機器通過22端口到80端口的訪問，包括22和80端口在內
# iptables -I INPUT -p tcp --dport 22:80 -j REJECT
3、通過ip地址
1.#禁止源246.201主機進來。（換個主機ping一下，就可以通信）
[root@iptables-server ~]# iptables -I INPUT -s 192.168.246.201 -p icmp -j REJECT
-s: 源ip地址
在源ip機器驗證:
[root@iptables-test ~]# ping 192.168.246.200
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
From 192.168.246.200 icmp_seq=1 Destination Port Unreachable
===========================================================================
2.拒絕多個ip地址:後面跟ip地址可以更多個ip地址用逗號隔開
# iptables -t filter -I INPUT -s 192.168.246.201,192.168.246.133 -p icmp -j REJECT
# iptables -t filter -I INPUT -s 192.168.246.201,192.168.246.133 -p tcp --dport 22:80 -j REJECT
驗證:在源ip地址通過curl訪問。在246.133和246.201機器分別驗證
# curl -I http://192.168.246.200
curl: (7) Failed connect to 192.168.246.200:80; Connection refused
# ssh [email protected]
ssh: connect to host 192.168.246.200 port 22: Connection refused
============================================================
3.舉例：:#限制源10網段的數據包。
# iptables -I INPUT -s 192.168.10.0/24 -j REJECT
4、修改規則:
# iptables -L
target prot opt source destination
REJECT tcp -- 192.168.246.133 anywhere tcp dpts:ssh:http reject-wi
REJECT tcp -- 192.168.246.201 anywhere tcp dpts:ssh:http reject-wi
REJECT icmp -- 192.168.246.201 anywhere reject-with icmp-port-unreachable
將修改第二條規則訪問80端口:
# iptables -R INPUT 2 -p tcp --dport 80 -s 192.168.246.201 -j ACCEPT
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
REJECT tcp -- 192.168.246.133 anywhere tcp dpts:ssh:http reject-with icmp-port-unreachable
ACCEPT tcp -- 192.168.246.201 anywhere tcp dpt:http
REJECT icmp -- 192.168.246.201 anywhere reject-with icmp-port-unreachable
驗證在修改爲允許訪問的源ip機器上:
# curl -I http://192.168.246.200
HTTP/1.1 200 OK
=======================================================================================
# iptables -R INPUT 1 -p tcp -s 192.168.62.185 --dport 22 -j ACCEPT
驗證在修改爲允許訪問的源ip機器上:
# ssh 192.168.62.135
The authenticity of host '192.168.62.135 (192.168.62.135)' can't be established.
ECDSA key fingerprint is SHA256:cUexa/Lv/EtkmiiTrsHUJ1zOWsjT9cihPqLxi23w5ws.
ECDSA key fingerprint is MD5:8c:9c:65:99:b7:6e:df:93:86:c1:7f:38:d9:73:4c:3d.
Are you sure you want to continue connecting (yes/no)?
5、icmp類型匹配
禁止ping策略原則
iptables服務器是ping命令發起者或是接受者
-i --in-interface：在INPUT鏈配置規則中，指定從哪一個網卡接口進入的流量（只能配置在INPUT鏈上）
-o --out-interface：在OUTPUT鏈配置規則中，指定從哪一個網卡接口出去的流量（只能配置在OUTPUT鏈上）
====================================================
icmp的類型:
0: Echo Reply——回顯應答（Ping應答）ping的結果返回。
8: Echo request——回顯請求（Ping請求），發出去的請求。
=====================================================
iptables服務器-----發起者：ping 別的機器
1.自己不能ping別人，但是別人可以ping自己:
[root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j REJECT #ping發出的請求禁止掉了
驗證:
[root@iptables-server ~]# ping 192.168.246.133 #將ping請求給禁止掉了。
PING 192.168.246.133 (192.168.246.133) 56(84) bytes of data.
ping: sendmsg: Operation not permitted
[root@jenkins-server ~]# ping 192.168.246.200 #可以ping通
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
64 bytes from 192.168.246.200: icmp_seq=1 ttl=64 time=0.280 ms
=========================================================================================
iptables服務器作爲接受者。也就是別人ping自己：
本機可以ping其他機器。其他機器不能ping通本機:
第一種方法：
[root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j ACCEPT #允許自己ping別人
[root@iptables-server ~]# iptables -A INPUT -i ens33 -p icmp --icmp-type 8 -j DROP #將進來的ping請求給丟棄了。
換一種方法：
[root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 0 -j REJECT #不給迴應icmp包
驗證:
[root@iptables-server ~]# ping 192.168.246.201 #ping其他機器通
PING 192.168.246.201 (192.168.246.201) 56(84) bytes of data.
64 bytes from 192.168.246.201: icmp_seq=1 ttl=64 time=0.491 ms
[root@iptables-test ~]# ping 192.168.246.200 #其他機器ping不同
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
=========================================================================================
拒絕任何ping的協議:
[root@iptables-server ~]# iptables -A INPUT -p icmp -j DROP
3、擴展匹配
顯示匹配:如端口匹配，IP範圍，MAC地址，等特殊匹配
#iptables -m iprange --help
1.指定ip範圍:
語法： -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.246.199-192.168.246.206 -j REJECT
2.指定多端口範圍：一次拒絕多個指定端口
語法：
-m multiport --sports #源端口
-m multiport --dports #目的端口
# iptables -A INPUT -p tcp -m multiport --dports 22,80 -s 192.168.246.133 -j REJECT
驗證:在246.133機器上
# ssh [email protected] #不通
ssh: connect to host 192.168.246.200 port 22: Connection refused
3.MAC地址匹配
拒絕MAC地址的匹配：只能匹配源MAC地址
語法: -m mac --mac-source
# iptables -I INPUT -p icmp -m mac --mac-source 0:0c:29:cd:26:77 -j REJECT #拒絕指定的MAC地址服務通過icmp協議請求到本地
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT #將指定的MAC地址服務請求全部禁止了
通過網卡接口:
# iptables -I INPUT -i ens33 -j DROP #誰也連不上了.
保存和刪除規則
刪除:
# iptables -D INPUT 3 #通過查看行號，指定行號刪除；
=======================================================================================
保存:
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables #保存到文件裏面，方式一
[root@iptables-server ~]# service iptables save #第二種方式，推薦
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
最後寫完規則後記得保存！
企業案例：
工作中。Mysql，Redis等服務一般放在內網服務器上，但是爲了保證其絕對的安全性，可能會把防火牆打開，打開之後，需要我們配置一直規則，來拒絕大都數的訪問，只允許指定的ip地址來訪問自身的服務
案例：redis服務器允許指定ip地址訪問自身服務：
redis服務器上操作：
# iptables -I INPUT -p tcp --dport 6379 -j REJECT
# iptables -I INPUT -p tcp --dport 6379 -s 192.168.62.188 -j ACCEPT
# iptables -I INPUT -p tcp --dport 6379 -s 192.168.62.185 -j ACCEPT
注意，順序不能亂
被允許ip服務器上驗證：
# telnet 192.168.62.135 6379
五、iptablesNAT模式-網絡地址轉換（企業級應用）
網絡地址轉換NAT(企業應用，虛擬機做實驗效果不佳)
案例圖：
1.SNAT:把內網地址轉換成公網地址（源地址轉換）
一個數據包在經過路由之後（或者說在通過防火牆的過濾之後）才被知道他的源IP是誰，在路由之前只能看到目標IP，如果我看不到你的源IP，那怎麼匹配想過濾的數據包並進行源地址轉換？我防火牆根本就不能確定你是否是符合匹配條件的IP，所以只能使用POSTROUTING
2.DNAT:要把公網ip換到內網IP -----公網ip只有一個， 內網ip有多個。(目標地址轉換)
如果我不在路由之前就把目標地址轉換完成，很顯然當數據包到達入口IP之後，他的目的已經達到了，因爲他本來的目標IP就是防火牆的對外公網IP，那麼數據包還會往裏面走嗎？顯然不可能了，所以只能使用PREROUTING
#企業常用案例功能小結：
1）linux主機防火牆，單機作爲防火牆（表filter）。
2）局域網共享上網（表nat postrouting）。
3）外部地址映射爲內部地址和端口（表nat prerouting）
六、企業級Firewalld防火牆
rhel 7：firewall-cmd工具，firewalld服務
1、區域：
firewalld將網卡對應到不同的區域（zone），通過不同的zone定義了不同的安全等級
trusted :允許所有流量通過
home/internal：僅允許ssh數據通過
work：僅允許ssh,ipp-client,dhcpv6-client數據通過
public：默認區域，僅允許ssh,dhcpv6-client數據通過
external：僅允許ssh數據通過，通過該區域的數據將會僞裝（SNAT/DNAT）
dmz：僅允許ssh數據通過
block：任何傳入的網絡數據包都將被阻止。拒絕所有流量
drop：拒絕所有流量，沒有返回迴應消息
2、命令詳解
firewall -cmd --permanent
--permanent #永久生效的配置參數、資源、端口以及服務等信息
1、域zone相關的命令
--get-default-zone #查詢默認的區域名稱
--set-default-zone=<區域名稱> #設置默認的區域
--get-active-zones #顯示當前正在使用的區域與網卡名稱
--get-zones #顯示總共可用的區域
2、services管理的命令
--add-service=<服務名> --zone=<區域> #設置指定區域允許該服務的流量
--remove-service=<服務名> --zone=<區域> #設置指定區域不再允許該服務的流量
3、Port相關命令
--add-port=<端口號/協議> --zone=<區域> #設置指定區域允許該端口的流量
--remove-port=<端口號/協議> --zone=<區域> #設置指定區域不再允許該端口的流量
4、查看所有規則的命令
--list-all --zone=<區域> 顯示指定區域的網卡配置參數、資源、端口以及服務等信息
--reload #讓“永久生效”的配置規則立即生效，並覆蓋當前的配置規則
3、firewalld配置使用
查看默認區域:
[root@iptables-server ~]# firewall-cmd --get-default-zone
public
驗證:
在192.168.246.201機器上訪問192.168.246.200
[root@iptables-test ~]# curl -I http://192.168.246.200 #不通
curl: (7) Failed connect to 192.168.246.200:80; No route to host
[root@iptables-test ~]# ssh [email protected] #ssh 可以
[email protected]'s password:
2、更改默認區域
[root@iptables-server ~]# firewall-cmd --set-default-zone=trusted
success
[root@iptables-server ~]# firewall-cmd --reload
success
[root@iptables-server ~]# firewall-cmd --get-default-zone
trusted
驗證:
在192.168.246.201機器上訪問192.168.246.200
[root@iptables-test ~]# curl -I http://192.168.246.200 #訪問成功
HTTP/1.1 200 OK
================================================
修改回默認區域:
[root@iptables-server ~]# firewall-cmd --set-default-zone=public
success
[root@iptables-server ~]# firewall-cmd --reload
success
3.向public區域添加服務
[root@iptables-server ~]# firewall-cmd --permanent --add-service=http --zone=public
success
[root@iptables-server ~]# firewall-cmd --reload #重新加載配置文件
success
驗證:
在192.168.246.201機器上訪問192.168.246.200
[root@iptables-test ~]# curl -I http://192.168.246.200
HTTP/1.1 200 OK
4.指定IP地址爲192.168.246.201/24的客戶端進入drop區域
[root@iptables-server ~]# firewall-cmd --permanent --add-source=192.168.246.201/24 --zone=drop
success
[root@iptables-server ~]# firewall-cmd --reload
success
驗證:
在192.168.246.201的機器上訪問246.200
[root@iptables-test ~]# curl -I http://192.168.246.200 #訪問不通
5.將192.168.246.201/24移除drop區域
[root@iptables-server ~]# firewall-cmd --permanent --remove-source=192.168.246.201/24 --zone=drop
success
[root@iptables-server ~]# firewall-cmd --reload
success
驗證:
在192.168.246.201的機器上面訪問246.200
[root@iptables-test ~]# curl -I http://192.168.246.200 #訪問成功
HTTP/1.1 200 OK
6.向pubic區域添加服務，以添加端口的方式
[root@iptables-server ~]# firewall-cmd --permanent --add-port=80/tcp --zone=public
success
[root@iptables-server ~]# firewall-cmd --reload
success
驗證:
用192.168.246.201訪問192.168.246.200機器
[root@iptables-test ~]# curl -I http://192.168.246.200
HTTP/1.1 200 OK
7.刪除服務、端口
[root@iptables-server ~]# firewall-cmd --permanent --remove-service=http --zone=public
success
[root@iptables-server ~]# firewall-cmd --reload
success
驗證:
用192.168.246.201訪問192.168.246.200機器
[root@iptables-test ~]# curl -I http://192.168.246.200 #訪問通
HTTP/1.1 200 OK
====================================================================================
[root@iptables-server ~]# firewall-cmd --permanent --remove-port=80/tcp --zone=public
success
[root@iptables-server ~]# firewall-cmd --reload
success
驗證:
在192.168.246.201訪問192.168.246.200機器
[root@iptables-test ~]# curl -I http://192.168.246.200 #訪問失敗
curl: (7) Failed connect to 192.168.246.200:80; No route to host
8.允許指定ip訪問某個端口
仍以Redis爲例
Redis服務端操作：
# firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.142.166" port protocol="tcp" port="6379" accept"
被允許ip地址驗證：
# telnet 192.168.62.135 6379
七、企業級防火牆配置
1、清除防火牆規則
# iptables -F
2、修改默認規則爲拒絕（修改前先放行22端口，保證自己能夠連上主機）
[root@iptables-server ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT #放開22號端口
[root@iptables-server ~]# iptables -P INPUT DROP #將默認所有進來的請求設置爲全部拒絕掉
[root@iptables-server ~]# iptables -P FORWARD DROP #將默認所有的轉發的規則設置爲全部拒絕掉
注意:修改默認規則： 只能使用ACCEPT和DROP
# iptables -P INPUT DROP ----拒絕
# iptables -P INPUT ACCEPT ----允許
3、放行指定的端口
[root@iptables-server ~]# iptables -A INPUT -i lo -j ACCEPT #允許通過lo網卡進入的請求
[root@iptables-server ~]# iptables -A INPUT -p tcp -m multiport --dport 80,443 -j ACCEPT #允許訪問80和443端口
[root@iptables-server ~]# iptables -A INPUT -s 192.168.246.0/24 -j ACCEPT #允許這個內網網段連接服務器
4、保存iptables配置
[root@iptables-server ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
或者
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables