关于centos7   firewalld    http://www.ibm.com/developerworks/cn/linux/1507_caojh/index.html 如何保存及重载规则: 保存规则至指定文件: iptables-save > /PATH/TO/SOMEFILE # iptables-save > /root/iptables.1 # cat iptables.1 # Generated by iptables-save v1.4.21 on Tue Oct 16…

获取帮助: centos 6 :man iptables centos 7: man iptables-extensions 扩展匹配: 隐式扩展:当使用-p指定某一协议之后,协议自身所支持的扩展就叫做隐式扩展.使用[tcp|udp|icmp]指定某特定协议后.自动能对协议进行扩展.可省略 -m 选项 -p tcp --dport PORT [-PORT]:目标端口匹配 --sport PORT [-PORT] :源端口 --tcp-flags: SYN ,ACK ,FIN ,RST ,PSH…

如果你看过前文,那么你一定知道,前文已经对"tcp扩展模块"做过总结,但是只总结了tcp扩展模块中的"--sport"与"--dport"选项,并没有总结"--tcp-flags"选项,那么此处,我们就来认识一下tcp扩展模块中的"--tcp-flags". 注:阅读这篇文章之前,需要对tcp协议的基础知识有一定的了解,比如:tcp头的结构.tcp三次握手的过程. 见名知义,"--tcp-flag…

iptables的匹配条件 一.通用匹配:-s.-d.-p.-i.-o 二.扩展匹配 1.隐含扩展:使用-p{tcp|udp|icmp}指定某特定协议后,自动能够对协议进行扩展 -p tcp --dport m[-n]:匹配的目标端口,可以是连续的多个端口 --sport m[-n]:匹配的源端口,可以是连续的多个端口 --tcp-flags URG,PSH,RST,SYN,ACK,FIN也可以使用ALL和NONE --tcp-flags rst,syn,ack,fin syn 四个标志位中只有…

一.iptables的基本匹配条件 上一篇博文我们说到了iptables的基本工作原理.数据报文在内核的走向和管理链.管理规则.以及查看规则.导入和导出规则:回顾请参考https://www.cnblogs.com/qiuhom-1874/p/12237976.html,今天我们再来说说iptables的基本匹配条件. iptables的基本匹配条件也叫通用匹配条件,是iptables/netfilter原生自带的,无需加载模块,通俗的讲就是iptables这个命令的原生选项.iptables基…

上一篇博文讲了iptables的基本匹配条件和隐式匹配条件,回顾请参考https://www.cnblogs.com/qiuhom-1874/p/12269717.html:今天在来说说iptabels的一些常用的显示扩展匹配条件,所谓显示扩展匹配条件?显示扩展匹配条件就是我们需要用到一些扩展的模块,用-m选项去指定动态加载.要用iptabels的扩展匹配条件的前提是,我们的系统上要有对应的扩展模块.在Linux主机上/usr/lib64/xtables/这个目录用来存放iptables的模块的…

上一篇博文我们讲到了iptables的一些常用的扩展匹配模块以及扩展模块的一些选项的说明,回顾请参考https://www.cnblogs.com/qiuhom-1874/p/12273755.html:今天再来说说剩下的几个比较长用的扩展模块. 1.limit,此模块主要是基于收发报文段速率来做匹配,通俗的将就是来控制访问速率的.其原理是用的令牌桶算法,具体如下图 提示:从图上大概可以了解到它的基本流程,首先令牌桶在第一次会生成一定数量的令牌,然后用户要访问服务器,需要从令牌桶里拿令牌才可以访…

iptables/netfilter netfilter: kernel framework,位于内核中的协议框架 iptables  是规则管理命令行工具 四表:filter, nat, mangle, raw 五链:PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING iptables 子命令: 链:-F, -X, -N, -E, -Z, -P, -L 规则:-A, -I, -D, -R -j TARGET: ACCEPT, DROP, REJECT…

前文中总结了iptables的tcp扩展模块,此处,我们来总结一下另外两个跟协议有关的常用的扩展模块,udp扩展与icmp扩展. udp扩展 我们先来说说udp扩展模块,这个扩展模块中能用的匹配条件比较少,只有两个,就是--sport与--dport,即匹配报文的源端口与目标端口. 没错,tcp模块中也有这两个选项,名称都一模一样. 只不过udp扩展模块的--sport与--dport是用于匹配UDP协议报文的源端口与目标端口,比如,放行samba服务的137与138这两个UDP端口,示例如下…

前文我们讲了iptables的扩展匹配,一些常用的扩展模块以及它的专有选项的使用和说明,回顾请参考https://www.cnblogs.com/qiuhom-1874/p/12285152.html:今天我们来说说iptables的处理动作:iptables的处理动作分基本处理动作和扩展处理动作,基本处理动作有ACCEPT和DROP 这两个动作很好理解,一个表示放行操作,一个表示丢弃操作.扩展处理动作有REJECT.RETURN,这两个动作一个表示拒绝,通常情况下建议都用DROP 去丢弃不想通…