公司的局域网服务器配置好网络之后，又折腾了下防火墙，才弄好，不过防火墙的规则有点奇葩，查了N多资料，总算弄清楚各个规则的意思了。
防火墙的配置在 /etc/sysconfig/iptables文件内
在防火墙中，来往的数据流被称为IP压缩（本文下面也称数据流为IP压缩）。防火墙有三条缺省规则链来过滤IP压缩，分别为：
INPUT：所有以主机为目的地的IP压缩
OUTPUT：所有以主机为源的IP压缩
FORWARD：所有经过主机，但是既不是以主机为源，也不是以主机为目的地的压缩
而我们最关注的是INPUT规则，这样可以屏蔽一些黑客行为，或者局域网共享。
下面以centOS 6.4的默认规则为例子，讲解下各条规则大概的意思：
-A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
这是担负起大部份工作的规则，这里我们利用 -m 选项来装入一个模块（state）。state 模块能够查看一个压缩并判断它的状态是 NEW、ESTABLISHED 还是 RELATED。NEW 指內进的压缩属于不是由主机主导的新增连接。ESTABLISHED 及 RELATED 指內进的压缩隶属于一条现存的连接，或者与现存的连接有关系。这条规则的意思是：以本主机为目的地的IP压缩，如果隶属于现有的连接，则接受（accept）
-A INPUT -p icmp -j ACCEPT
表示接受icmp协议的IP压缩，icmp协议主要是ping，很多同学在局域网能ping通一台机器，但是无法通过web访问，就是因为开启了icmp协议，但是http等协议没有开，后面会讲解如何解决这个问题
-A INPUT -i lo -j ACCEPT
这条规则表示接受那些来自本机（localhost或者127.0.0.1的IP压缩）
-A INPUT -m state –state NEW -m tcp -p tcp –dport 22 -j ACCEPT
表示表示接受不是由本机引导的新增的，基于端口号22的连接（句子有点长，仔细体会哈）。22端口是ssh连接用的，所以如果你想远程操作机器，需要开启端口22
-A INPUT -j REJECT –reject-with icmp-host-prohibited
表示拒绝来自已经被禁止的主机的icmp的IP压缩
-A FORWARD -j REJECTED –reject-with icmp-host-prohibited
表示拒绝经过本机且源自那些已经被禁止的主机的icmp的IP压缩
下面再详细说说各个参数的意思：
-A：表示添加一条规则(add)
相应的还有：-P（设置规则的缺省值，比如-P INPUT ACCEPT表示没有以本机为目的地的IP压缩默认是接受的）
-F（清楚所有存在的规则，好添加新的规则）
-j：表示满足规则执行的相应的操作，意为jump，比如 ……-j ACCEPT就表示满足相应的规则就接受
-i：界面的意思（interface），lo是本机的意思（localhost）
注意，编辑完iptables文件之后，使用service iptables restart重启防火墙，可以使用命令：iptables -L查看规则是否生效
或者使用命令行
（1）重启后永久性生效：
开启：chkconfig iptables on
关闭：chkconfig iptables off
（2）即时生效，重启后失效：
开启：service iptables start
关闭：service iptables stop
比如局域网中搭建了一台centOS作为服务器，并且建立了LAMP或者LNMP环境，想让局域网中的其他人都能通过web访问该机器，那么先得固定机器的IP地址，将BOOTPROTO改成static，然后将IPADDR设置一个固定的IP（比如192.168.1.22），在设置子网掩码NETMASK（比如255.255.255.0），NETWORK和GATAWAY和DNS等也设置好，然后就是信任来自本局域网的访问了，添加下面的规则到iptables中，再重启防火墙即可。具体如何配置网络看这里：CentOS网络配置详解
-A INPUT -i eth0 -j ACCEPT #eth0是你的网卡号，用ifconfig -a命令查看你自己的网卡号
或者你想信任来自一系列IP的访问，可以用斜线记法规定IP的范围，比如：
-A INPUT -s 192.168.1.0/24 -j ACCEPT #即接受来自192.168.1.0-192.168.1.255的ip区段的IP压缩
或者为每一个IP添加一条规则，但是当IP比较多时会很麻烦，比如
-A INPUT -s 192.168.1.22 -j ACCEPT
打开80端口的规则
-A INPUT -p tcp –dport 80 -j ACCEPT