Linux網絡相關、firewalld和netfilter 、netfilter5表5鏈介紹 、 iptables語法

linux網絡相關

ifdown ens33 關閉網卡&& ifup ens33 啓動網卡  （&&一塊兒執行）

應用場景：當想單獨更改某個網卡的信息時，可以使用此命令

設定虛擬網卡

cd /etc/sysconfig/network-scripts/ 進入網卡目錄
 cp ifcfg-ens33 ifcfg-ens33\:0 拷貝網卡配置文件

vi !$編輯配文件

修改NAME ：ens33:0

DEVICE ：ens33 ：0

IPADDR 更換ip

刪除dns1 gateway

修改後關閉，開啓網卡。

查看網卡是否鏈接（link ok表示鏈接）

[root@g_linux01 network-scripts]# mii-tool ens33
ens33: negotiated 1000baseT-FD flow-control, link ok

若是mii-tool ens33不支持  也可用ethtool ens33

[root@g_linux01 network-scripts]# ethtool ens33
Settings for ens33:
	Supported ports: [ TP ]
	Supported link modes:   10baseT/Half 10baseT/Full 
	                        100baseT/Half 100baseT/Full 
	                        1000baseT/Full 
	Supported pause frame use: No
	Supports auto-negotiation: Yes
	Advertised link modes:  10baseT/Half 10baseT/Full 
	                        100baseT/Half 100baseT/Full 
	                        1000baseT/Full 
	Advertised pause frame use: No
	Advertised auto-negotiation: Yes
	Speed: 1000Mb/s
	Duplex: Full
	Port: Twisted Pair
	PHYAD: 0
	Transceiver: internal
	Auto-negotiation: on
	MDI-X: off (auto)
	Supports Wake-on: d
	Wake-on: d
	Current message level: 0x00000007 (7)
			       drv probe link
	Link detected: yes

更改主機名

hostnamectl set-hostname [主機名] （centos7的命令）

配置文件在/etc/hostname 

dns配置文件

/etc/resolv.conf(可臨時更改，想永久更改要在網卡配置文件中改)

etc/hosts 更改本機域名解析

 以先出現的記錄爲主。  這個文件也是從上到下依次執行的，127.0.0.1是特例，本機ip優先級高

firewalld和netfilter

複習selinux

修改配置文件中SELINUX=disabled

getenforce 可查詢selinux是否開啓

可能返回結果有三種：Enforcing、Permissive 和 Disabled。Disabled 表明 SELinux 被禁用，Permissive 表明僅記錄安全警告但不阻止可疑行爲，Enforcing 表明記錄警告且阻止可疑行爲。

firewalld

centos7 默認開啓firewalld 關閉netfilter，netfilter 是centos6的防火牆。但7依然能夠用

關閉firewalld 流程

1. systemctl disable firewalld 不開機啓動
2. systemctl stop firewalld    在關掉

開啓netfilter

1. 先安裝yum install -y iptables-services
2. systemctl enable iptables 設爲開機啓動
3. systemctl start iptables 啓動服務

netfilter5個表5個鏈介紹

filter,nat,mangle,raw，默認表是filter（沒有指定表的時候就是filter表）。

          filter：通常的過濾功能

          nat: 用於nat功能（端口映射，地址映射等）

          mangle: 用於對特定數據包的修改

          raw:優先級最高，設置raw時通常是爲了避免再讓iptables作數據包的連接跟蹤處理，提升性能

數據報從進入系統，進行IP校驗之後，首先通過第一個HOOK函數NF_IP_PRE_ROUTING進行處理；
而後就進入路由代碼，其決定該數據報是須要轉發仍是發給本機的；
若該數據報是發被本機的，則該數據通過HOOK函數NF_IP_LOCAL_IN處理之後而後傳遞給上層協議；
若該數據報應該被轉發則它被NF_IP_FORWARD處理；
通過轉發的數據報通過最後一個HOOK函數NF_IP_POST_ROUTING處理之後，再傳輸到網絡上。
本地產生的數據通過HOOK函數NF_IP_LOCAL_OUT 處理後，進行路由選擇處理，而後通過NF_IP_POST_ROUTING處理後發送出去。

 iptables語法

案例：http://blog.chinaunix.net/uid-9950859-id-98279.html 

查看默認規則

[root@g_linux01 ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 116K   28M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
11342  963K INPUT_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
11342  963K INPUT_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
11342  963K INPUT_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
11330  963K REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

重啓規則service iptabales restart(重啓後會加載配置文件中的規則)

保存規則service iptables save(修改後不保存，重啓後會失效)

規則保存在 cat /etc/sysconfig/iptables（若是沒有安裝yum install iptables-services）

iptables -F 清空規則

iptables -t filter -nvL (指定顯示哪一個表的規則，不加-t 默認顯示filter)

iptables -t nat -nvL

iptables -Z 清空計數器

限制某ip登陸

iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DORP/REJECT

• -A 增長一條規則，針對INPUT鏈（在最後插入規則）
• -s 來源
• -p 指定協議tcp 或者udp
• --sport  端口1234
• -d 目標ip
• --dport 目標端口
• -j 具體操做 DORP 拒絕（數據包來了，看都不看直接扔掉） REJECT（數據包來了，看後告訴他不能進來）

增長的規則在最後

-I 在規則最前插入

數據包進來後，會優先從前日後匹配規則（一旦匹配到就執行）

顯示規則編號iptables -nvL --line-number

[root@g_linux01 ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1      165 14676 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
2        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
3        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
4        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
5       83  7241 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

刪除規則 iptables -D INPUT 5

更改默認規則，紅框裏就是默認規則

iptables -P OUTPUT DROP （只是例子哦，別執行，要不就斷開遠程鏈接了）