iptables規則備份和恢復、firewalld的9個zone以及操做和service的操做

 保存以及備份iptalbes規則

    設定了的防火牆規則要進行保存，不然系統重啓後這些規則就沒有了，使用命令 」service iptables save 」  會把設定好的防火牆規則保存到文件/etc/sysconfig/iptables 裏。

    也能夠把設定的iptables 規則備份到/tmp/ipt.txt文件中 ，使用命令：」 iptables-save >/tmp/ipt.txt 」

    恢復備份的規則：」 iptables-restore < /tmp/ipt.txt 「

firewalld是centos7 的防火牆

 

 

   關閉 iptables 再打開firewalld使用命令：

systemctl disable iptables

systemctl stop iptables

systemctl enable firewalld

systemctl start firewalld

firewalld默認有9個zone，zone是firewalld的一個單位，每一個zone是一個規則集

查看全部的zone ：」firewall-cmd --get-zones」

查詢默認的zone：」 firewall-cmd --get-default-zone」

9個zone分別是：

    drop(丟棄) ：任何接受的網絡數據包都被丟棄，沒有任何回覆，僅能有發送出去的網絡鏈接

    block（限制）：任何接收的網絡鏈接都被IPv4的icmp-host-prohibited信息和IPv6的icmp6-adm-prohibited信息拒絕

    public（公共）：在公共區域使用，不能信任來自網絡的其餘計算機不會危害你的計算機，解鎖通過選擇的鏈接，這個是默認的zone

    external（外部）：用於外部網絡，特別是位路由器啓用的假裝的外部網。不能信任來自網絡的其餘計算機，不能相信它們不會對你的計算機形成危害，值能接收通過選擇的鏈接

    dmz（非軍事區）：此區域能夠公開訪問，能夠有限地進入你的內部網絡，只接收通過選擇的鏈接

    work（工做）：能夠基本上信任網絡內的其餘計算機不會危害你的計算機，僅僅接收通過選擇的連接

    home（家庭）：家庭網絡，，基本能夠信任網絡內的其餘計算機不會危害你的計算機，接收通過選擇的鏈接

    internal（內部）：內部網絡，基本上信任網絡內其餘計算機不會危害你的計算機，只接收通過選擇的鏈接

trusted（信任）：可接收全部網絡鏈接

firewalld關於zone的操做

設定默認zone爲work：

firewall-cmd --set-default-zone=work

查指定的網卡的zone

firewall-cmd --get-zone-of-interface=ens33

給指定的網卡lo設置zone爲public

firewall-cmd --zone=public --add-interface=lo

針對網卡ens33的zone更改成work：

firewall-cmd --zone=work --change-interface=ens33

查看系統全部的網卡所在的zone：

firewall-cmd --get-active-zones

firewalld關於service的操做

    services是zone下的子單元，是指定的端口，防火牆對端口進行一些限制

查看全部的service  : firewall-cmd --get-service

查看指定zone的services

查看當前zone下有哪些service : firewall-cmd --list-services

 

把http增長到public zone下面: firewall-cmd --zone=public --add-service=http

將配置保存到配置文件裏 ：

firewall-cmd --zone=public --add-service=http --permanent

配置文件要在目錄/etc/firewalld/zones/裏尋找

                                             firewall-cmd --zone-public --remove-service=http

zone的配置文件模板  /usr/lib/firewalld/services/

更改配置文件以後會在/etc/firewalld/zones目錄下面生產能配置文件

需求：ftp服務自定義端口1121，須要在work zone下面放行ftp。

cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/serwalld/services

vi /etc/firewalld/services/ftp.xml  //port=後面改成1121

cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones

vi /etc/firewalld/zones/work.xml //增長下面一行進入文件裏

<service name="ftp"/>

firewall-cmd --reload 從新加載

firewall-cmd --zone=work --list-services  //查看work下services