iptables规则备份和恢复/firewalld的9个zone

iptables规则备份和恢复

iptables规则保存，默认保存的位置路径：/etc/sysconfig/iptables文件里；

[root@Ask-02 ~]# service iptables save

iptables规则备份到指定路径；

[root@Ask-02 ~]# iptables-save > /tmp/ipt.txt

iptables清空规则；

[root@Ask-02 ~]# iptables -t nat -F

iptables查看规则；

[root@Ask-02 ~]# iptables -t nat -nvL

iptables恢复规则；

[root@Ask-02 ~]# iptables-restore < /tmp/ipt.txt

firewalld的9个zone

关闭iptables；

[root@Ask-02 ~]# systemctl disable iptables
[root@Ask-02 ~]# systemctl stop iptables

打开firewalled；

[root@Ask-02 ~]# systemctl enable firewalld
[root@Ask-02 ~]# systemctl start firewalld

firewalled有两个基础概念，分别是zone和service，每一个zone里面有不一样的iptables规则，默认一共有9个zone，而Centos7默认的zone为public。
获取系统全部的zone命令以下；

[root@Ask-02 ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work

查看系统默认的zone命令以下；

[root@Ask-02 ~]# firewall-cmd --get-default-zone
public

9个zone的简介：

• drop（丢弃）：任何接收的网络数据包都被抛弃，没有任何回复。仅能有发送出去的网络链接。
• block（限制）：任何接收的网络链接都被IPv4的icmp-host-prohibited信息和IPv6的icmp-adm-prohibited信息所拒绝。
• public（公共）：在公共区域使用，不能相信网络内的其余计算机不会对你的计算机形成危害，只能接收通过选取的链接
• external（外部）：特别是为路由器启用了假装功能的外部网。你不能信任来自网络的其余计算，不能相信它们不会对你的计算机形成危害，只能接收通过选择的链接。
• dmz（非军事区）：用于你的非军事区内的计算机，此区域内可公开访问，能够有限地进入你的内部网络，仅仅接收通过选择的链接。
• work（工做）：用于工做区。你能够基本相信网络内的其它计算机不会危害你的计算机。仅仅接收通过选择的链接。
• home（家庭）：用于家庭网络。你能够基本信任网络内的其它计算机不会危害你的计算机。仅仅接收通过选择的链接。
• internal（内部）：用于内部网络。你能够基本上信任网络内的其它计算机不会威胁你的计算机，仅仅接收通过选择的链接。
• trusted（信任）：可接收全部的网络链接

firewalld关于zone的操做

关于zone的命令；

[root@Ask-02 ~]# firewall-cmd --set-default-zone=work //设定默认的zone为work
[root@Ask-02 ~]# firewall-cmd --get-zone-of-interface=ens33 //查看指定网卡所在的zone
[root@Ask-02 ~]# firewall-cmd --zone=public --add-interface=lo //给指定网卡设置zone
[root@Ask-02 ~]# firewall-cmd --zone=dmz --change-interface=lo //针对网卡更改zone
[root@Ask-02 ~]# firewall-cmd --zone=dmz --remove-interface=lo //针对网卡删除zone
[root@Ask-02 ~]# firewall-cmd --get-active-zones //查看系统全部网卡所在的zone
public
interfaces: ens33

firewalld关于service的操做

[root@Ask-02 ~]# firewall-cmd --get-services //列出当前系统全部的service
[root@Ask-02 ~]# firewall-cmd --list-services //查看当前zone下有哪些service
[root@Ask-02 ~]# firewall-cmd --zone=public --list-services //查看指定zone下有哪些service
[root@Ask-02 ~]# firewall-cmd --zone=public --add-service=http //把http增长到public zone下面
[root@Ask-02 ~]# firewall-cmd --zone=public --add-service=http --permanent //以修改配置文件来增长service
[root@Ask-02 ~]# ls /usr/lib/firewalld/zones/ //查看zone对应的配置文件
[root@Ask-02 ~]# ls /etc/firewalld/zones/ //一旦更改zone配置文件，则会在这个路径下面生成对应的zone的配置文件

演示一个需求操做，ftp服务自定义端口1121，须要在work zone下面方行ftp
操做以下；

[root@Ask-02 ~]# cp /usr/lib/firewalld/services/ftp.xml /etc/firewalld/services/
[root@Ask-02 ~]# vi /etc/firewalld/services/ftp.xml //把里面的21改成1121

[root@Ask-02 ~]# cp /usr/lib/firewalld/zones/work.xml /etc/firewalld/zones/
[root@Ask-02 ~]# vi /etc/firewalld/zones/work.xml //在里面增长一行FTP相关的配置，内容以下

如此配置工做就完成，输入如下命令从新加载

[root@Ask-02 ~]# firewall-cmd --reload

并验证如下

[root@Ask-02 ~]# firewall-cmd --zone=work --list-servicesssh dhcpv6-client ftp