七週五次課（5月10日)iptables規則備份和恢復、firewalld的9個zone、firewalld zone的操做、firewalld service的操做

10.19  iptables規則備份和恢復

 service iptables save ，會把規則保存到 iptables 的配置文件中 /etc/sysconfig/iptables

iptables -save > /tmp/ipt.txt   將規則保存到ipt.txt

iptabls  - restore </tmp/ipt.txt  恢復規則

10.20 firewalld的9個zone

 firewall-cmd --get-zones   查看全部的zone

firewall-cmd --get-default-zone 查看默認的zone

firewalld的9個zone

10.21 firewalld關於zone的操做

firewall-cmd --set-default-zone=work   //設定默認的zone

firewall-cmd --get-default-zone  //查看默認的zone

firewall-cmd --get-zone-of-interface=eth0   //查找指定網卡的zone

firewall-cmd  --zone=public  --add-interface=eth0  //給指定網卡設置zone 

firewall-cmd  --zone=dmz  --change-interface=eth0  //針對網卡更改zone

firewall-cmd  --zone=dmz  --remove-interface=eth0  //針對網卡刪除zone

firewall-cmd  --get-active-zones  //查看系統全部網卡所在的zone

10.22 firewalld 關於 service 的操做

 systemctl start firewalld # 啓動,
# systemctl enable firewalld # 開機啓動
# systemctl stop firewalld # 關閉
# systemctl disable firewalld # 取消開機啓動

firewall-cmd  --get-services  查看全部的services

firewall-cmd  --list-services  //查看當前zone下有哪些service

firewall-cmd --zone=work --list-services   //查看指定zone下的service

firewall-cmd --zone=public --add-service=http  //將http服務加入public 

firewall-cmd --zone=public --add-service=http --permanent  // 寫入配置文件

每一次更改 zone 的配置文件，/etc/firewalld/zones/ 下都會生成一個新的文件 public.xml 和一箇舊的備份文件 public.xml.old 

zone 和 service 都是有模板文件的，在 /usr/lib/firewalld/zones/ 和 /usr/lib/firewalld/services/ 裏面

ftp 服務自定義端口 1121，須要在 work zone 下面放行 ftp

cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services    

vi /etc/firewalld/services/ftp.xml 

輸入命令 cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones/ ，回車，再輸入命令 vim /etc/firewalld/zones/work.xml 

從新加載服務，輸入命令 firewall-cmd --reload

firewall-cmd --add-service=mysql # 開放mysql端口

firewall-cmd --remove-service=http # 阻止http端口

firewall-cmd --list-services  # 查看開放的服務

firewall-cmd --add-port=3306/tcp # 開放經過tcp訪問3306

firewall-cmd --remove-port=80tcp # 阻止經過tcp訪問3306

firewall-cmd --add-port=233/udp  # 開放經過udp訪問233

firewall-cmd --list-ports  # 查看開放的端口

 

4、端口轉發

端口轉發能夠將指定地址訪問指定的端口時，將流量轉發至指定地址的指定端口。轉發的目的若是不指定ip的話就默認爲本機，若是指定了ip卻沒指定端口，則默認使用來源端口。

若是配置好端口轉發以後不能用，能夠檢查下面兩個問題：

• 好比我將80端口轉發至8080端口，首先檢查本地的80端口和目標的8080端口是否開放監聽了
• 其次檢查是否容許假裝IP，沒容許的話要開啓假裝IP

?

1 2 3 4 5 6

# 將80端口的流量轉發至8080 firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 # 將80端口的流量轉發至 firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.1.0.1192.168.0.1 # 將80端口的流量轉發至192.168.0.1的8080端口 firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1:toport=8080

• 當咱們想把某個端口隱藏起來的時候，就能夠在防火牆上阻止那個端口訪問，而後再開一個不規則的端口，以後配置防火牆的端口轉發，將流量轉發過去。
• 端口轉發還能夠作流量分發，一個防火牆拖着好多臺運行着不一樣服務的機器，而後用防火牆將不一樣端口的流量轉發至不一樣機器