用过Linux系统的人一定很熟悉iptables，这是Linux从内核2.4.x版本自带的防火墙现在Linux内核已经更新到5.11.x版本，Linux的防火墙基于iptables，UFW和Firewalld，在一些发行版中已经取代了iptables。

Netfilter/Iptables

Netfilter/Iptables是Linux系统的防火墙，Iptables管理规则，Netfilter是规则的执行者，共同构成Linux下的包过滤防火墙。

Iptables有四个内置表，分别是filter表、nat表、***ngle表和raw表，用于实现包过滤、网络地址转换、包重构(修改)和数据跟踪。每个表都有一个相应的链。下图显示了iptables中的四个表和五个链:

链是包传播的路径。每个链可以有一个或多个规则。当数据包到达链时，iptables将从链中的第一个规则开始检查，以查看数据包是否满足规则定义的条件。如果是，系统将根据本规则定义的方法处理数据包；否则iptables将继续检查下一个规则。如果数据包不符合链中的任何规则，iptables将根据链中预定义的默认策略处理数据包。

这篇文章非常清楚iptables的原理:
https://blog.csdn.net/tennysonsky/article/details/44596515

在Linux中，可以使用以下命令启用或禁用iptables

// 启动iptablessystemctl start iptables// 停止iptablessystemctl stop iptables

以下是常用的命令:

// 列出 INPUT 表中规则iptables -L INPUT// 允许3306端口TCP协议访问iptables -I INPUT -p tcp --dport 3306 -j ACCEPT// 允许IP为xxx.xxx.xxx.xxx通过udp访问本地500端口iptables -I INPUT -p udp --dport 500 -s xxx.xxx.xxx.xxx -j ACCEPT// -I参数是将规则插入表开头，-A是把规则添加到表未尾，优先级最低，可做为默认规则// 当不符合前面规则后拒绝所有请求iptables -A INPUT -p tcp -j REJECT// 删除INPUT表中第1条规则iptables -D INPUT 1// 清空规则列表iptables -F

Iptables还可以做基于内核的包转发。网上关于iptables用法的文章太多了，就不写了。

需要注意的是，虽然iptables规则可以立即生效，但是它们并没有被保存。开机后会丢失。

RedHat系统执行保存:

service iptables save

Debian执行iptables-save中列出的所有规则，并将它们输出到一个文件中进行保存。使用iptables-restore在系统启动时进行恢复。

// 保存iptables-save > /etc/iptables.conf// 恢复iptables-restore < /etc/iptables.conf

UFW和防火墙

Iptables功能强大又复杂，所以有UFW和Firewalld D，他们的命令简单明了很多，底层调用iptables。

UFW

UFW是Ubuntu下的防火墙:

// 启动ufwsystemctl start ufw// 停用ufwsystemctl stop ufw

以下是常用的命令:

// 查询ufw开启状态，打印规则ufw status// 允许80端口访问ufw allow 80// 拒绝8000端口访问ufw deny 9000// 拒绝ip为xxx.xxx.xxx.xxx访问ufw deny from xxx.xxx.xxx.xxx// 允许通过tcp协议，9000-9002访问ufw allow 9000:9002/tcp// 删除规则ufw delete allow httpFirewalld

Firewalld是Fedora/CentOS 8之后版本附带的防火墙:

// 启动firewalldsystemctl start firewalld// 停用firewalldsystemctl stop firewalld

以下是常用的命令:

// 允许tcp协议8161端口访问，--zone(作用域)，--per***nent(永久生效)firewall-cmd --zone=public --add-port=8161/tcp --per***nent// 重新加载规则firewall-cmd --reload// 将80端口的流量转发至8080firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080// 将80端口的流量转发至192.168.0.1firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1// 将80端口的流量转发至192.168.0.1的8080端口firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080

Firewalld还有一个图形界面:

本文来自罗金艺还行吧投稿，不代表舒华文档立场，如若转载，请注明出处：https://www.chinashuhua.cn/24/555631.html