CentOS6/7系列防火墙管理

1.CentOS7系列防火墙

CentOS7默认使用firewall作为防火墙，这里改为iptables防火墙步骤

firewall-cmd --state 
#查看默认防火墙状态 
（关闭后显示 not running ，开启后 running）

1.1 开启防火墙

启动防火墙服务

systemctl start firewalld.service

开机启动时开启防火墙服务

systemctl enable firewalld.service

查看防火墙服务是否开机自启动

systemctl is-enable firewalld.service

查看开机自启动的服务

systemctl list-unit-files | grep enabled

1.2 检查防火墙状态：

从CentOS7开始使用systemctl来管理服务和程序，包括了service和chkconfig.

方法1

[root@elk1 ~]# systemctl list-unit-files | grep firewalld

firewalld.service                             disabled

方法2

[root@elk1 ~]# systemctl status firewalld.service

● firewalld.service - firewalld - dynamic firewall daemon

   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)

   Active: inactive (dead)

     Docs: man:firewalld(1)

1.3 关闭防火墙

关闭当前防火墙

systemctl stop firewalld.service

禁止防火墙开机自启动

systemctl disabled firewalld.service

1.4 CentOS7 firewall命令管理

看已开放的端口

firewall-cmd --list-ports

开启端口

firewall-cmd --zone=pulic --add-port=80/tcp --permanent

命令含义：

    --zone #作用域

    --add-port=80/tcp #添加端口，格式为:通信/通讯协议

    --permanent #永久生效，没有此参数重启后生效

重启防火墙

firewall-cmd --reload 
#重启firewall

查看默认防火墙状态

firewall-cmd --state

关闭后显示not running 开启后 显示running

1.5 CentOS7 以下版本iptables命令

如果要开放80,22，8080端口，输入以下命令即可

iptables -I INPUT -p tcp --dport 80 -j ACCEPT

iptables -I INPUT -p tcp --dport 22 -j ACCEPT

iptables -I INPUT -p tcp --dport 8080 -j ACCEPT

保存

/etc/rc.d/init.d/iptables save

查看打开的端口

/etc/init.d/iptables status

防火墙开机自启开关

ckconfig iptables on #开机自启

chkconfig iptables off #开机不启动

即时生效，重启后复原

开启 
service iptables start

关闭 
service iptables stop

查看防火墙状态

service iptables status

2.CentOS7和6的默认防火墙的区别

CentOS7默认使用的是firewall作为防火墙，使用iptables必须重新设置一下

2.1 直接关闭防火墙

systemctl stop firewalld.service

systemc disabled firewalld.service

2.2 设置iptables service

yum -y install iptables-service

如果要修改防火墙配置，如增加防火墙端口3306

vi /etc/sysconfig/iptables

增加规则

-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT

保存退出后

systemctl restart iptables.service #重启防火墙配置生效

systemctl enable iptables.service #设置防火墙开机启动

解决主机不能访问虚拟机CentOS的站点

具体情况如下

1. 本机能ping通虚拟机
2. 虚拟机也能ping通过本机
3. 虚拟机能访问自己的web
4. 本机无法访问虚拟机的web

后来发现是防火墙的80端口屏蔽的缘故

检查是不是服务器的80端口被防火墙堵了，可以通过命令

telnet web_host_ip 80 来测试

解决方法如下：

iptables -I INPUT -p tcp --dport 80 -j ACCEPT

然后保存

/etc/init.d/iptables save

重启防火墙

/etc/init.d/iptables restart