文章: Debian 10 iptables防火墙常用命令 [打印]
分类: 电脑技术
作者: admin
2021-12-29 13:08
Debian 10 iptables防火墙常用命令
查看某条规则下的防火墙开放端口
XML/HTML代码
  1. #查看全部规则   
  2. iptables -L --line-numbers   
  3. #查看ufw-user-input 规则   
  4. iptables -L ufw-user-input --line-numbers    
  5. 授权开放防火墙端口  
  6. iptables -I INPUT -p tcp --dport 795 -j ACCEPT   
  7. 授权关闭防火墙端口  
  8. iptables -D INPUT -p tcp --dport 8888 -j ACCEPT   
  9. 删除某条规则  
  10. iptables -D ufw-user-input 6   
  11. 查看正常服务的对外端口  
  12. netstat -tlpn  
保存防火墙规则
如果没有安装iptables-persistent则先安装iptables-persistent
XML/HTML代码
  1. sudo apt-get install iptables-persistent  
输入以下命令保存规则持续生效
XML/HTML代码
  1. netfilter-persistent save  
  2. netfilter-persistent reload  
XML/HTML代码
  1. debian10保存防火墙规则  
  2. firewall-cmd --add-port=88/tcp --permanent  
  3. 重新加载防火墙  
  4. firewall-cmd --reload  
防火墙配置文件
/etc/firewalld/zones/public.xml
 
1.firewalld的基本使用
XML/HTML代码
  1. 启动：  systemctl start firewalld  
  2. 查状态：systemctl status firewalld   
  3. 停止：  systemctl disable firewalld  
  4. 禁用：  systemctl stop firewalld  
  5. 在开机时启用一个服务：systemctl enable firewalld.service  
  6. 在开机时禁用一个服务：systemctl disable firewalld.service  
  7. 查看服务是否开机启动：systemctl is-enabled firewalld.service  
  8. 查看已启动的服务列表：systemctl list-unit-files|grep enabled  
  9. 查看启动失败的服务列表：systemctl --failed  
2.配置firewalld-cmd
XML/HTML代码
  1. 查看版本： firewall-cmd --version  
  2. 查看帮助： firewall-cmd --help  
  3. 显示状态： firewall-cmd --state  
  4. 查看所有打开的端口： firewall-cmd --zone=public --list-ports  
  5. 更新防火墙规则： firewall-cmd --reload  
  6. 查看区域信息:  firewall-cmd --get-active-zones  
  7. 查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0  
  8. 拒绝所有包：firewall-cmd --panic-on  
  9. 取消拒绝状态： firewall-cmd --panic-off  
  10. 查看是否拒绝： firewall-cmd --query-panic  
3.那怎么开启一个端口呢
添加firewall-cmd --zone=public(作用域) --add-port=80/tcp(端口和访问类型) --permanent(永久生效)
XML/HTML代码
  1. firewall-cmd --zone=public --add-service=http --permanent  
  2. firewall-cmd --reload    # 重新载入，更新防火墙规则  
  3. firewall-cmd --zone= public --query-port=80/tcp  #查看  
  4. firewall-cmd --zone= public --remove-port=80/tcp --permanent  # 删除  
  5. firewall-cmd --list-services  
  6. firewall-cmd --get-services  
  7. firewall-cmd --add-service=<service>  
  8. firewall-cmd --delete-service=<service>  
在每次修改端口和服务后/etc/firewalld/zones/public.xml文件就会被修改,所以也可以在文件中之间修改,然后重新加载
使用命令实际也是在修改文件，需要重新加载才能生效。
XML/HTML代码
  1. firewall-cmd --zone=public --query-port=80/tcp  
  2. firewall-cmd --zone=public --query-port=8080/tcp  
  3. firewall-cmd --zone=public --query-port=3306/tcp  
  4. firewall-cmd --zone=public --add-port=8080/tcp --permanent  
  5. firewall-cmd --zone=public --add-port=3306/tcp --permanent  
  6. firewall-cmd --zone=public --query-port=3306/tcp  
  7. firewall-cmd --zone=public --query-port=8080/tcp  
  8. firewall-cmd --reload  # 重新加载后才能生效  
  9. firewall-cmd --zone=public --query-port=3306/tcp  
  10. firewall-cmd --zone=public --query-port=8080/tcp  
4.参数解释
XML/HTML代码
  1. –add-service #添加的服务  
  2. –zone #作用域  
  3. –add-port=80/tcp #添加端口，格式为：端口/通讯协议  
  4. –permanent #永久生效，没有此参数重启后失效  
5.详细使用
XML/HTML代码
  1. firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept'    //设置某个ip访问某个服务  
  2. firewall-cmd --permanent --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //删除配置  
  3. firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //设置某个ip访问某个端口  
  4. firewall-cmd --permanent --remove-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //删除配置  
  5. firewall-cmd --query-masquerade  # 检查是否允许伪装IP  
  6. firewall-cmd --add-masquerade    # 允许防火墙伪装IP  
  7. firewall-cmd --remove-masquerade # 禁止防火墙伪装IP  
  8. firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080   # 将80端口的流量转发至8080  
  9. firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1 # 将80端口的流量转发至192.168.0.1  
  10. firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的流量转发至192.168.0.1的8080端口
Ubuntu开发防火墙所有端口：
XML/HTML代码
  1. iptables -P INPUT ACCEPT  
  2. iptables -P FORWARD ACCEPT  
  3. iptables -P OUTPUT ACCEPT  
  4. iptables -F  
  5. netfilter-persistent save  
具体命令根据实际情况自行修改。