10.11 Linux网络相关 10.12 firewalld和netfilter 10.13 netfilter5表5链介绍 10.14 iptables语法

10.11 Linux网络相关

ifconfig查看网卡ip（yum install net-tools） -a 全部显示(默认情况下down掉的网卡不显示)

ifup ens33/ifdown ens33

ifup ens33 && ifdown ens33 关闭并开启(重启)

设定虚拟网卡ens33:1

进入网卡所在目录, cp ifconfig-ens33 ifcgf-ens33:0

vim ifcgf-ens33:0

修改 name=ens33:0 , device, ip地址重新设1个 , dns和网关可以不要

ifup ens33 && ifdown ens33 重启

mii-tool ens33 查看网卡是否连接

ethtool ens33 也可以查看网卡是否连接

更改主机名 hostnamectl set-hostname aminglinux

DNS配置文件/etc/resolv.conf 临时更改重启后会被网卡配置文件的内容所覆盖

/etc/hosts文件 (以先出现的记录为主。从上到下依次执行的，一旦匹配到一个域名就直接解析了)

10.12 firewalld和netfilter

selinux临时关闭 setenforce 0 getenforce 查看

selinux永久关闭 vi /etc/selinux/config selinux=disabled

centos7之前使用netfilter防火墙

centos7开始使用firewalld防火墙

关闭firewalld开启netfilter方法

1. 关闭firewalld开启netfilter方法

2. systemctl stop firewalld  停服务

3. systemctl disable firewalled  关闭服务

4. yum install -y iptables-services

5. systemctl enable iptables

6. systemctl start iptables

iptables -nvL 查看自带的规则

netfilter才是防火墙；firewalld和iptables是两种不同的防火墙管理工具，其底层都是iptables命令。

10.13 netfilter5表5链介绍

netfilter的5个表

filter表用于过滤包，最常用的表，有INPUT(数据包进来之前经过的链)、FORWARD(目标地址不是本机会经过的链)、OUTPUT(数据包出去之前经过的链)三个链

nat表用于网络地址转换，有PREROUTING、OUTPUT、POSTROUTING三个链

managle表用于给数据包做标记，几乎用不到

raw表可以实现不追踪某些数据包，阿铭从来不用

security表在centos6中并没有，用于强制访问控制（MAC）的网络规则，阿铭没用过

参考文章 http://www.cnblogs.com/metoy/p/4320813.htm

数据包流向与netfilter的5个链

PREROUTING：数据包进入路由表之前

INPUT：通过路由表后目的地为本机

FORWARD：通过路由表后，目的地不为本机

OUTPUT：由本机产生，向外发出

POSTROUTING：发送到网卡接口之前

10.14 iptables语法

查看iptables规则：iptables -nvL 规则保存在 /etc/sysconfig/iptables, 重启服务或系统会加载规则配置文件

iptables -F 清空规则,但配置文件里还有, 需save

service iptables save 保存规则到配置文件

iptables -t nat //-t指定表 默认为filter表

iptables -Z 可以把计数器清零

-A增加规则 后面跟xx链 / -I 插入到最前面 前面的规则优先被匹配 / -D 删除规则

-s 指定源ip / -d 指定目标ip

-p 指定协议tcp/udp 如果用了 --sport 或 --dport 前面必须要指定它的协议 -p

--sport 指定源端口 / --dport 指定目标端口

-j 操作 ACCEPT(允许)/DROP(扔掉) / REJECT(拒绝) 区别是DROP看都不看直接扔掉, REJECT还会看一下

-i 指定网卡

-P 更改默认 规则(策略), 谨慎操作

iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP

iptables -I/-A/-D INPUT -s 1.1.1.1 -j DROP

iptables -I INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT

iptables -nvL --line-numbers 可查看规则num号

iptables -D INPUT 1 删除1号规则

iptables -P INPUT DROP 更改链的默认 规则(策略), 谨慎操作