2018-6-11笔记

10.12 firewalld和netfilter

永久关闭selinux 

# vi /etc/selinux/config      enforcing改为disabled  保存并重启系统即可

# getenforce 查看selinux开关状态  Enforcing为打开状态

# setenforce 0  临时关闭

centos6 >netfilter>centos7>firewalld iptables工具用法一样，可以用他来添加一些规则，例如开放关闭某一个端口

centos7上可以先关闭firwalld而开启使用netfilter

# systemctl disable firewalld  首先设置他为开机不启动firewalld

# systemctl stop firewalld  然后关掉此服务

# yum install -y iptables-services 启用netfilter前需要先安装这个包

# systemctl enable iptables      # systemctl start iptables  开启此服务

# iptables -nvL 查看iptables默认规则

10.13 netfilter5表5链介绍

表1.filter：包含三个内置的链：INPUT对进来的包进行过滤、FORWARD不是本机的包会经过这里，进行更改或者转发、OUTPUT对发送到某个ip的包进行禁止。。。

表2 nat：路由器，，端口映射

 

10.14 iptables 语法

# iptables -nvL查看规则

# service iptables restart重启

# cat /etc/sysconfig/iptables 规则保存路径

# iptables -F 清空规则，但是配置文件内容不变

# service iptables save 可以将当前规则保存到配置文件内

# service iptables restart系统或者这个服务重启后，都会重启配置文件内的规则

# iptables -t filter -nvL filter表，，不加任何默认也为filter表   -t指定表

# iptables -t nat -nvL nat表

规则写完，仅仅是在内存中生效，若要重启后依然生效，需要保存规则：# service iptables save

# iptables-Z； 清空计数器，第一列为包的数量，第二列为大小（字节）

 

# iptables -AINPUT -s 192.168.188.1 -p tcp –sport 1234 -d192.168.188.128 –dport 80 -j DROP 不接受来自某端口某ip数据

(-A增加一条规则；INPUT链；-s 199.199.199.199制定来源ip；-p tcp指定协议；--sport1234  来源端口；-d 199.199.199.199目标的ip；dport 80 目标端口；-j DROP  丢掉此数据（REJECT拒绝）)

# iptabless -I INPUT -p tcp –dport 80 -j DROP  不写明来源和接受ip只写目标端口，-I 是将规则插入到最前边，前边的规则进行优先过滤

# iptabless -D INPUT -p tcp –dport 80 -j DROP  -D删除规则

# iptables -nvL—line-numbler  使规则前显示序号

# iptables -DINPUT 7 就可以删掉第七条规则

CCEPT为OUTPUT链的默认规则

# iptables -P OUTPUT DROP 将默认规则修改为DROP  但会导致远程连接断开

10.15 iptables filter 表小案例

10.16 10.17 10.18iptables nat 表应用（上、中、下）

虚拟机1   添加一个网卡

虚拟机2 添加一个网卡

第一台虚拟机可以连接外网，第二台只有内网网卡，无法远程实现链接

ens37 是新添加的网卡，接下来为他配置一个ip

网段为24，重启就没有了，永久生效需要修改配置文件（拷贝ens33配置文件，name……）

第二台机器，断开外网ens33  # ifdown ens33

为第二台机器设置ip  24网段

相互可以ping通，，windows无法ping通任何一个

# cat/proc/sys/net/ipv4/ip_forward查看a机器是否开启路由转发，默认为0，，不开启

# echo “1”> !$  改为1 打开端口转发

a机器增加一条nat规则，使这网段可以上网

b机器设置网关为100.1，这时b机器可以ping通外网

设置dns后。即可ping通公网，但不可链接windows！！

winsdows不可以链接100.100但可以链接133.130，通过端口映射，使本地机器直接链接到b机器

访问133.130的22端口实际上链接的是100.100的22端口

1.  端口转发

2.  删掉上一次的规则

3.  增加两条出win》linux入linux》win规则

4.b机器加上网关

可以链接外网。。。