10.11 Linux網絡相關 10.12 firewalld和netfilter 10.13 netfilter5表5鏈介紹 10.14 iptables語法

10.11 Linux網絡相關

ifconfig查看網卡ip（yum install net-tools） -a 所有顯示(默認狀況下down掉的網卡不顯示)

ifup ens33/ifdown ens33

ifup ens33 && ifdown ens33 關閉並開啓(重啓)

設定虛擬網卡ens33:1

進入網卡所在目錄, cp ifconfig-ens33 ifcgf-ens33:0

vim ifcgf-ens33:0

修改 name=ens33:0 , device, ip地址從新設1個 , dns和網關能夠不要

ifup ens33 && ifdown ens33 重啓

mii-tool ens33 查看網卡是否鏈接

ethtool ens33 也能夠查看網卡是否鏈接

更改主機名 hostnamectl set-hostname aminglinux

DNS配置文件/etc/resolv.conf 臨時更改重啓後會被網卡配置文件的內容所覆蓋

/etc/hosts文件 (以先出現的記錄爲主。從上到下依次執行的，一旦匹配到一個域名就直接解析了)

10.12 firewalld和netfilter

selinux臨時關閉 setenforce 0 getenforce 查看

selinux永久關閉 vi /etc/selinux/config selinux=disabled

centos7以前使用netfilter防火牆

centos7開始使用firewalld防火牆

關閉firewalld開啓netfilter方法

1. 關閉firewalld開啓netfilter方法   

2. systemctl stop firewalld  停服務

3. systemctl disable firewalled  關閉服務

4. yum install -y iptables-services 

5. systemctl enable iptables 

6. systemctl start iptables

iptables -nvL 查看自帶的規則

netfilter纔是防火牆；firewalld和iptables是兩種不一樣的防火牆管理工具，其底層都是iptables命令。

10.13 netfilter5表5鏈介紹

netfilter的5個表

filter表用於過濾包，最經常使用的表，有INPUT(數據包進來以前通過的鏈)、FORWARD(目標地址不是本機會通過的鏈)、OUTPUT(數據包出去以前通過的鏈)三個鏈

nat表用於網絡地址轉換，有PREROUTING、OUTPUT、POSTROUTING三個鏈

managle表用於給數據包作標記，幾乎用不到

raw表能夠實現不追蹤某些數據包，阿銘歷來不用

security表在centos6中並無，用於強制訪問控制（MAC）的網絡規則，阿銘沒用過

參考文章 http://www.cnblogs.com/metoy/p/4320813.htm

數據包流向與netfilter的5個鏈

PREROUTING：數據包進入路由表以前

INPUT：經過路由表後目的地爲本機

FORWARD：經過路由表後，目的地不爲本機

OUTPUT：由本機產生，向外發出

POSTROUTING：發送到網卡接口以前

10.14 iptables語法

查看iptables規則：iptables -nvL 規則保存在 /etc/sysconfig/iptables, 重啓服務或系統會加載規則配置文件

iptables -F 清空規則,但配置文件裏還有, 需save

service iptables save 保存規則到配置文件

iptables -t nat //-t指定表 默認爲filter表

iptables -Z 能夠把計數器清零

-A增長規則 後面跟xx鏈 / -I 插入到最前面 前面的規則優先被匹配 / -D 刪除規則

-s 指定源ip / -d 指定目標ip

-p 指定協議tcp/udp 若是用了 --sport 或 --dport 前面必需要指定它的協議 -p

--sport 指定源端口 / --dport 指定目標端口

-j 操做 ACCEPT(容許)/DROP(扔掉) / REJECT(拒絕) 區別是DROP看都不看直接扔掉, REJECT還會看一下

-i 指定網卡

-P 更改默認 規則(策略), 謹慎操做

iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP

iptables -I/-A/-D INPUT -s 1.1.1.1 -j DROP

iptables -I INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT

iptables -nvL --line-numbers 可查看規則num號

iptables -D INPUT 1 刪除1號規則

iptables -P INPUT DROP 更改鏈的默認 規則(策略), 謹慎操做