iptables 默认的配置文件是 /etc/sysconfig/iptables

centos如何关闭防火墙(iptables)

service iptables stop
chkconfig iptables off 

iptables配置

使用命令

要允许到防火墙上的端口80的通信，添加以下规则：

iptables -A INPUT -p tcp -m tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT 

iptables -I INPUT -p tcp --dport 80 -j ACCEPT <<< Cent7 firewall可用

封IP

## 封单个ip
iptables -I INPUT -s 10.1.0.0 -j DROP

## 封ip段
iptables -I INPUT -s 211.1.0.0/16 -j DROP 
iptables -I INPUT -s 211.2.0.0/16 -j DROP 

或者编辑配置文件

在文件/etc/sysconfig/iptables后面添加

*filter
 
# 拒绝所有入站流量
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
 
# 允许所有出站流量
:OUTPUT ACCEPT [0:0]
 
# 允许已经连接的会话
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 
# 允许所有的 loopback 流量
-A INPUT -i lo -j ACCEPT
 
# 打开80和443端口供http/https使用
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
 
# 允许ssh端口22
# -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
 
# 只允许1.2.3.4这个地址通过端口23连接
-A INPUT -m state --state NEW -m tcp -p tcp -s 1.2.3.4 --dport 23 -j ACCEPT
# 允许多个ip地址连接
-A INPUT -m state --state NEW -m tcp -p tcp -s 202.53.1.2,93.1.2.3 --dport 23 -j ACCEPT
# 只允许这个网段的地址连接23端口
-A INPUT -m state --state NEW -m tcp -p tcp -s 192.168.1.1/24 --dport 23 -j ACCEPT
 
# 拒绝IP为10.2.3.4的连接
#-A INPUT -m state --state NEW -s 10.2.3.4 -j DROP
 
COMMIT

配置修改以后，需要执行service iptables save保存，然后重启service iptables restart

启用iptables服务

chkconfig iptables on

启动iptables服务

service iptables start

查看当前的iptables规则列表

iptables -S
iptables --list
iptables -L
iptables -L -n -v
iptables -L -n -v --line-numbers
iptables -S TABLE_NAME
iptables --table NameHere --list
iptables -t NameHere -L -n -v --line-numbers

iptables命令

语法

iptable  [-t  表]  **命令选项**  [连名]   匹配条件   [-j 动作]

常用命令选项如下：
-A 【append】在指定的连的结尾添加规则
-D 【delete】删除指定连中的规则，可以按规则号或规则内容匹配
-I 【insert】插入一条新规则，默认是在最前面
-R 【replace】替换某一条规则
-L 【list】列出所有规则
-F 【flush】清空所有规则
-N 【new】自定义一条规则连
-X 【--delete-chain】删除用户自定义规则连
-P 【policy】设置默认策略
-n 【numeric】以数字方式显示，如：显示ip，但不显示主机名
-v 【verbose】显示详细信息
-V 【version】查看iptable的版本信息
--line-number查看规则连是，显示列表号
-Z清空计数器值