System (系统) – Page 51

January 8, 2020April 9, 2022

[内容] Linux 路由转发的设置

注意：

openSUSE & SUSE 搭配容器环境或者虚拟机环境可能只能使用永久路由转发才会实现路由转发

内容目录：

内容一：临时路由转发的设置
1.1 临时开启路由转发
1.2 临时停止路由转发

内容二：永久路由转发的设置
2.1 方法一：修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/.conf 配置文件
2.1.1 永久开启路由转发
2.1.1.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/.conf 配置文件
2.1.1.2 让路由转发的永久设置立刻生效
2.1.2 永久关闭路由转发
2.1.2.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/*.conf 配置文件
2.1.2.2 让路由转发的永久设置立刻生效
2.2 方法二：yast
2.2.1 永久开启路由转发
2.2.2 永久关闭路由转发

内容三：显示当前路由转发的状态

具体的内容：

内容一：临时路由转发的设置
1.1 临时开启路由转发

# echo 1 > /proc/sys/net/ipv4/ip_forward
# echo 1 > /proc/sys/net/ipv6/conf/all/forwarding

或者：

# sysctl -w net.ipv4.ip_forward=1
# sysctl -w net.ipv6.conf.all.forwarding=1
# sysctl -w net.ipv4.route.flush=1
# sysctl -w net.ipv6.route.flush=1

（注意：此方法对 openSUSE & SUSE 无效）

1.2 临时停止路由转发

# echo 0 > /proc/sys/net/ipv4/ip_forward
# echo 0 > /proc/sys/net/ipv6/conf/all/forwarding

或者：

# sysctl -w net.ipv4.ip_forward=0
# sysctl -w net.ipv6.conf.all.forwarding=0
# sysctl -w net.ipv4.route.flush=1
# sysctl -w net.ipv6.route.flush=1

（注意：此方法对 openSUSE & SUSE 无效）

内容二：永久路由转发的设置
2.1 方法一：修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/.conf 配置文件
2.1.1 永久开启路由转发
2.1.1.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/.conf 配置文件

# vim /etc/sysctl.conf

或者：

# vim /etc/sysctl.d/*.conf

添加以下内容：

......
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1

2.1.1.2 让路由转发的永久设置立刻生效

# sysctl -p /etc/sysctl.conf

或者：

# reboot

（注意：openSUSE & SUSE 只会在 reboot 重启后生效）

2.1.2 永久关闭路由转发
2.1.2.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/*.conf 配置文件

# vim /etc/sysctl.conf

或者：

# vim /etc/sysctl.d/*.conf

添加以下内容：

......
net.ipv4.ip_forward = 0
net.ipv6.conf.all.forwarding = 0

2.1.2.2 让路由转发的永久设置立刻生效

# sysctl -p /etc/sysctl.conf

或者：

# reboot

（注意：openSUSE & SUSE 只会在 reboot 重启后生效）

2.2 方法二：yast
2.2.1 永久开启路由转发

# yast

System –> Network Settings –> Routing –> 开启 Enable IPv4 Forwarding –> 开启 Enable Ipv6 Forwarding –> OK

（注意：此方法只对 openSUSE & SUSE 有效）

2.2.2 永久关闭路由转发

# yast

System –> Network Settings –> Routing –> 关闭 Enable IPv4 Forwarding –> 关闭 Enable Ipv6 Forwarding –> OK

（注意：此方法只对 openSUSE & SUSE 有效）

内容三：显示当前路由转发的状态

# cat /proc/sys/net/ipv4/ip_forward

（
补充：
1) 如果返回的结果是 1 则代表已经生效
2) 如果返回的结果是 0 则代表没有生效
）

# cat /proc/sys/net/ipv6/conf/all/forwarding

（
补充：
1) 如果返回的结果是 1 则代表已经生效
2) 如果返回的结果是 0 则代表没有生效
）

（注意：此方法对 openSUSE & SUSE 无效）

或者：

# sysctl net.ipv4.ip_forward

（
补充：
1) 如果返回的结果是 net.ipv4.ip_forward = 1 则代表已经生效
2) 如果返回的结果是 net.ipv4.ip_forward = 0 则代表没有生效
）

# sysctl net.ipv6.conf.all.forwarding

（
补充：
1) 如果返回的结果是 net.ipv6.conf.all.forwarding = 1 则代表已经生效
2) 如果返回的结果是 net.ipv6.conf.all.forwarding = 0 则代表没有生效
）

December 21, 2019January 2, 2022

[内容] CentOS Linux & RHEL yum 的使用（设置代理）

内容一：设置所有 yum 源网络代理的方法

# vim /etc/yum.conf

添加以下内容：

......
proxy=http://<user>:<password>@<IP address>:<port>/

（
注意：
1) 如果没有用户和密码就写成 proxy=http://<IP address>:<port>/
2) 如果密码中也有一个 “@” 符号，则需要把 “@” 符号转义一下，转义成 %40
）

或者：

# vim /etc/yum.conf

添加以下内容：

......
proxy=http:<IP address>:<port>
proxy_username=<user>
proxy_password=<password>

（注意：如果没有用户和密码就不写后面两行）

内容二：单独设置某个 yum 源网络代理的方法

# vim /etc/yum.repos.d/<yum source file name prefix>.repo

添加以下内容：

......
proxy=http://<user>:<password>@<IP address>:<port>/
......

（
注意：
1) 如果没有用户和密码就写成 proxy=http://<IP address>:<port>/
2) 如果密码中也有一个 “@” 符号，则需要把 “@” 符号转义一下，转义成 %40
）

或者：

# vim /etc/yum.repos.d/<yum source file name prefix>.repo

添加以下内容：

......
proxy=http://<IP address>:<port>
proxy_username=<user>
proxy_password=<password>

（注意：如果没有用户和密码就不写后面两行）

December 15, 2019April 25, 2022

[命令] Linux 命令 firewall-cmd （设置防火墙）

内容目录：

内容一：防火墙信息查询
1.1 防火墙运行状态查询
1.2 显示防火墙紧急模式是否开启（是否拒绝所有网络）
1.3 防火墙默认信息查询
1.3.1 显示防火墙的所有区域
1.3.2 显示防火墙支持的所有服务
1.3.3 显示防火墙支持的所有 icmp 协议
1.4 显示防火墙当前所在的区域
1.5 显示防火墙的策略
1.5.1 显示防火墙当前所在区域的策略
1.5.1.1 显示防火墙当前所在区域的所有策略
1.5.1.2 显示防火墙当前所在区域的复杂（rich）策略
1.5.2 显示所有区域的所有策略
1.5.3 显示某一个区域的策略
1.5.3.1 显示某一个区域的所有策略
1.5.3.1.1 显示某一个区域的所有策略的格式
1.5.3.1.2 显示某一个区域的所有策略的案例
1.5.3.2 显示某一个区域的复杂（rich）策略
1.5.3.2.1 显示某一个区域的复杂（rich）策略的格式
1.5.3.2.2 显示某一个区域的复杂（rich）策略的案例
1.5.4 显示某一个区域某一个服务的策略
1.5.4.1 显示某一个区域某一个服务的策略的格式
1.5.4.2 显示某一个区域某一个服务的策略的案例
1.6 显示网卡所在的区域
1.6.1 显示哪些区域被放入了网卡
1.6.2 显示某一个网卡所属的区域
1.6.2.1 显示某一个网卡所属的区域的格式
1.6.2.2 显示某一个网卡所属的区域的案例

内容二：区域的网卡管理
2.1 显示网卡所在的区域
2.1.1 显示哪些区域处于激活状态
2.1.2 显示某一个网卡所属的区域
2.1.2.1 显示某一个网卡所属的区域的格式
2.1.2.2 显示某一个网卡所属的区域的案例
2.2 将某一个网卡放入某一个区域
2.2.1 将某一个网卡放入某一个区域的格式
2.2.2 将某一个网卡放入某一个区域的案例
2.3 将某一个网卡从某一个区域删除
2.3.1 将某一个网卡从某一个区域删除的格式
2.3.2 将某一个网卡从某一个区域删除的案例

内容三：防火墙区域设置
3.1 显示防火墙目前所在的区域
3.2 指定防火墙的区域
3.2.1 指定防火墙的区域的格式
3.2.2 指定防火墙的区域的案例

内容四：防火墙暂时策略设置（防火墙重启后失效）
4.1 开放策略相关
4.1.1 暂时开放端口
4.1.1.1 暂时在防火墙当前所在区域里开放某一个端口
4.1.1.1.1 暂时在防火墙当前所在区域里开放某一个端口的格式
4.1.1.1.2 暂时在防火墙当前所在区域里开放某一个端口的案例
4.1.1.2 暂时在防火墙当前所在区域里开放某一个服务的所有端口
4.1.1.2.1 暂时在防火墙当前所在区域里开放某一个服务的所有端口的格式
4.1.1.2.2 暂时在防火墙当前所在区域里开放某一个服务的所有端口的案例
4.1.1.3 暂时在防火墙当前所在区域里对某个网段开放某一个端口
4.1.1.3.1 暂时在防火墙当前所在区域里对某个网段开放某一个端口的格式
4.1.1.3.2 暂时在防火墙当前所在区域里对某个网段开放某一个端口的案例
4.1.1.4 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口
4.1.1.4.1 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口的格式
4.1.1.4.2 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口的案例
4.1.1.5 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口
4.1.1.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式
4.1.1.5.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的案例
4.1.2 暂时关闭已开放的端口
4.1.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口
4.1.2.1.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口的格式
4.1.2.1.2 暂时在防火墙当前所在区域里关闭已开放的某一个端口的案例
4.1.2.2 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口
4.1.2.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口的格式
4.1.2.2.2 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口的案例
4.1.2.3 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口
4.1.2.3.1 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口的格式
4.1.2.3.2 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放的某一个端口的案例
4.1.2.4 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口
4.1.2.4.1 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口的格式
4.1.2.4.2 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口的案例
4.1.2.5 暂时在防火墙当前所在区域里关闭对除了某一个 IP 地址外的 IP 地址开放多个端口
4.1.2.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式
4.1.2.5.2 暂时在防火墙当前所在区域里关闭对除了某一个 IP 地址外的 IP 地址开放多个端口的案例
4.2 拒绝策略相关
4.2.1 暂时拒绝端口
4.2.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口
4.2.1.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式
4.2.1.1.2 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的案例
4.2.1.2 暂时在防火墙当前所在区域里对某一个 IP 地址拒绝多个端口
4.2.1.2.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式
4.2.1.2.2 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的案例
4.2.1.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口
4.2.1.2.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口的格式
4.2.1.2.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口的案例
4.2.2 暂时撤销已拒绝端口
4.2.2.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口
4.2.2.1.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的格式
4.2.2.1.2 暂时在防火墙当前所在区域里撤销撤销已设置的对某个网段拒绝某一个端口的案例
4.2.2.2 暂时在防火墙当前所在区域里撤销已设置的对某一个 IP 地址拒绝多个端口
4.2.2.2.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的格式
4.2.2.1.2 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的案例
4.2.3.2 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口
4.2.3.2.1 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口的格式
4.2.2.3.2 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口的案例
4.3 转发策略相关
4.3.1 开启防火墙转发策略
4.3.2 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口
4.3.2.1 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口的格式
4.3.2.2 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口的案例
4.3.3 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口
4.3.3.1 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口的格式
4.3.3.2 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口的案例

内容五：将防火墙不带优先级策略的设置方法转换成指定优先级策略的设置方法
5.1 firewall-cmd 防火墙优先级介绍
5.2 防火墙不带优先级策略的设置方法
5.3 防火墙指定优先级策略的设置方法

内容六：将防火墙当前所在区域策略的设置方法转换成指定区域策略的设置方法
6.1 防火墙当前所在区域策略的设置方法
6.2 防火墙指定区域策略的设置方法

内容七：防火墙暂时禁止 icmp 的设置
7.1 防火墙暂时禁止 icmp
7.2 防火墙暂时取消禁止 icmp

内容八：防火墙紧急模式的管理（拒绝所有网络）
8.1 防火墙开启紧急模式（拒绝所有网络）
8.2 防火墙取消紧急模式（取消拒绝所有网络）
8.3 显示防火墙紧急模式是否开启（是否拒绝所有网络）

内容九：将防火墙暂时策略的设置方法转换成永久策略和限时策略的设置方法
9.1 防火墙暂时策略的设置方法
9.2 防火墙永久策略的设置
9.3 防火墙限时策略的设置
9.4 防火墙将正在运行的策略转换成永久的策略

内容十：防火墙策略的加载
10.1 使用防火墙命令加载策略
10.2 在系统层面上重启防火墙以加载策略

具体的内容：

内容一：防火墙信息查询
1.1 防火墙运行状态查询

# firewall-cmd –state

1.2 显示防火墙紧急模式是否开启（是否拒绝所有网络）

# firewall-cmd –query-panic

1.3 防火墙默认信息查询
1.3.1 显示防火墙的所有区域

# firewall-cmd --get-zones

1.3.2 显示防火墙支持的所有服务

# firewall-cmd --get-services

1.3.3 显示防火墙支持的所有 icmp 协议

# firewall-cmd --get-icmptypes

1.4 显示防火墙当前所在的区域

# firewall-cmd --get-default-zone

1.5 显示防火墙的策略
1.5.1 显示防火墙当前所在区域的策略
1.5.1.1 显示防火墙当前所在区域的所有策略

# firewall-cmd --list-all

1.5.1.2 显示防火墙当前所在区域的复杂（rich）策略

# firewall-cmd --list-rich-rules

1.5.2 显示所有区域的所有策略

# firewall-cmd --list-all-zones

（
补充：firewall-cmd 防火墙默认区域有：
1) block 拒绝被访问，并回应一个拒绝的信息
2) work 只允许部分端口被访问，例如 22 端口
3) home 只允许部分端口被访问，例如 22 端口
4) public 只允许部分端口被访问，例如 22 端口
5) dmz 只允许部分端口被访问，例如 22 端口
6) trusted 全部开放
7) drop 禁止被访问，不回应一个拒绝的信息
8) internal 只允许部分端口被访问，例如 22 端口
9) external 只允许部分端口被访问，例如 22 端口
）

1.5.3 显示某一个区域的策略
1.5.3.1 显示某一个区域的所有策略
1.5.3.1.1 显示某一个区域的所有策略的格式

# firewall-cmd --zone=<zone> --list-all

1.5.3.1.2 显示某一个区域的所有策略的案例

# firewall-cmd --zone=public --list-all

（补充：这里以显示 public 区域的策略为例）

1.5.3.2 显示某一个区域的复杂（rich）策略
1.5.3.2.1 显示某一个区域的复杂（rich）策略的格式

# firewall-cmd --zone=<zone> --list-rich-rules

1.5.3.2.2 显示某一个区域的复杂（rich）策略的案例

# firewall-cmd --zone=public --list-rich-rules

（补充：这里以显示 public 区域的复杂（rich）策略为例）

1.5.4 显示某一个区域某一个服务的策略
1.5.4.1 显示某一个区域某一个服务的策略的格式

# firewall-cmd --zone=<zone> --query-service=<service>

1.5.4.2 显示某一个区域某一个服务的策略的案例

# firewall-cmd --zone=public --query-service=https

（补充：这里以显示 public 区域的 https 服务的策略为例）

1.6 显示网卡所在的区域
1.6.1 显示哪些区域被放入了网卡

# firewall-cmd --get-active-zones

（注意：只有放入了网卡的区域才会处于激活状态）

1.6.2 显示某一个网卡所属的区域
1.6.2.1 显示某一个网卡所属的区域的格式

# firewall-cmd –get-zone-of-interface=<network card>

1.6.2.2 显示某一个网卡所属的区域的案例

# firewall-cmd --get-zone-of-interface=eth0

（补充：这里以显示 eth0 网卡属于哪一个区域为例）

内容二：区域的网卡管理
2.1 显示网卡所在的区域
2.1.1 显示哪些区域被放入了网卡

# firewall-cmd --get-active-zones

（注意：只有放入了网卡的区域才会处于激活状态）

2.1.2 显示某一个网卡所属的区域
2.1.2.1 显示某一个网卡所属的区域的格式

# firewall-cmd –get-zone-of-interface=<network card>

2.1.2.2 显示某一个网卡所属的区域的案例

# firewall-cmd --get-zone-of-interface=eth0

（补充：这里以显示 eth0 网卡属于哪一个区域为例）

2.2 将某一个网卡放入某一个区域
2.2.1 将某一个网卡放入某一个区域的格式

# firewall-cmd --zone=<zone> --add-interface=<network card>

2.2.2 将某一个网卡放入某一个区域的案例

# firewall-cmd --zone=public --add-interface=eth0

（补充：这里以往 public 区域里加入 eth0 网卡为例）

2.3 将某一个网卡从某一个区域删除
2.3.1 将某一个网卡从某一个区域删除的格式

# firewall-cmd --zone=<zone> --remove-interface=<network card>

2.3.2 将某一个网卡从某一个区域删除的案例

# firewall-cmd --zone=public --remove-interface=eth0

（补充：这里以从 public 区域删除 eth0 网卡为例）

内容三：防火墙区域设置
3.1 显示防火墙目前所在的区域

# firewall-cmd --get-default

3.2 指定防火墙的区域
3.2.1 指定防火墙的区域的格式

# firewall-cmd --set-default=<zone>

3.2.2 指定防火墙的区域的案例

# firewall-cmd --set-default=public

（补充：这里以将默认区域设置为 public 为例）

内容四：防火墙暂时策略设置（防火墙重启后失效）

（注意：防火墙的规则没有现后之分，但是拒绝规则永远高于允许规则）

4.1 开放策略相关
4.1.1 暂时开放端口
4.1.1.1 暂时在防火墙当前所在区域里开放某一个端口
4.1.1.1.1 暂时在防火墙当前所在区域里开放某一个端口的格式

# firewall-cmd --add-port=<port>/tcp

4.1.1.1.2 暂时在防火墙当前所在区域里开放某一个端口的案例

# firewall-cmd --add-port=80/tcp

（补充：这里以暂时添加 80/TCP 端口为例）

4.1.1.2 暂时在防火墙当前所在区域里开放某一个服务的所有端口
4.1.1.2.1 暂时在防火墙当前所在区域里开放某一个服务的所有端口的格式

# firewall-cmd --add-service=<service>

4.1.1.2.2 暂时在防火墙当前所在区域里开放某一个服务的所有端口号的案例

# firewall-cmd --add-service=http

（补充：这里以暂时添加 http 服务为例）

4.1.1.3 暂时在防火墙当前所在区域里对某个网段开放某一个端口
4.1.1.3.1 暂时在防火墙当前所在区域里对某个网段开放某一个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<network segment>/<subnet mask>" port protocol="<port protocol>" port="<port>" accept"

4.1.1.3.2 暂时在防火墙当前所在区域里对某个网段开放某一个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" accept"

（补充：这里以暂时对 192.168.1.0/24 开放 80/tcp 端口为例）

4.1.1.4 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口
4.1.1.4.1 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" accept"

4.1.1.4.2 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

（补充：这里以暂时对 192.168.1.1 开放 0/tcp 到 65535/tcp 端口为例）

4.1.1.5 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口
4.1.1.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source NOT address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" accept"

4.1.1.5.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source NOT address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

（补充：这里以暂时对非 192.168.1.1 开放 0/tcp 到 65535/tcp 端口为例）

4.1.2 暂时关闭已开放的端口
4.1.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口
4.1.2.1.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口的格式

# firewall-cmd --remove-port=<port>/tcp

4.1.2.1.2 暂时在防火墙当前所在区域里关闭已开放的某一个端口的案例

# firewall-cmd --remove-port=80/tcp

（补充：这里以暂时关闭 80/TCP 端口为例）

4.1.2.2 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口
4.1.2.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口的格式

# firewall-cmd --remove-service=<service>

4.1.2.2.2 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口号的案例

# firewall-cmd --remove-service=http

（补充：这里以暂时关闭 http 服务为例）

4.1.2.3 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口
4.1.2.3.1 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口的格式

# firewall-cmd --remove-rich-rule="rule family="ipv4" source address="<network segment>/<subnet mask>" port protocol="<port protocol>" port="<port>" accept"

4.1.2.3.2 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放的某一个端口的案例

# firewall-cmd --remove-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" accept"

（补充：这里以暂时对 192.168.1.0/24 关闭 80/tcp 端口为例）

4.1.2.4 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口
4.1.2.4.1 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口的格式

# firewall-cmd --remove-rich-rule="rule family="ipv4" source address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" accept"

4.1.2.4.2 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口的案例

# firewall-cmd --remove-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

（补充：这里以暂时对 192.168.1.1 关闭 0/tcp 到 65535/tcp 端口为例）

4.1.2.5 暂时在防火墙当前所在区域里关闭对除了某一个 IP 地址外的 IP 地址开放多个端口
4.1.2.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式

# firewall-cmd --remove-rich-rule="rule family="<network protocol>" source NOT address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" accept"

4.1.2.5.2 暂时在防火墙当前所在区域里关闭对除了某一个 IP 地址外的 IP 地址开放多个端口的案例

# firewall-cmd --remove-rich-rule="rule family="ipv4" source NOT address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

（补充：这里以暂时对非 192.168.1.1 关闭 0/tcp 到 65535/tcp 端口为例）

4.2 拒绝策略相关
4.2.1 暂时拒绝端口
4.2.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口
4.2.1.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<network segment>/<subnet mask>" port protocol="<port protocol>" port="<port>" drop"

或者：

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<network segment>/<subnet mask>" port protocol="<port protocol>" port="<port>" reject"

（补充：这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应）

4.2.1.1.2 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol=tcp port=80 drop"

或者：

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol=tcp port=80 reject"

（
补充：
1) 这里以在 public 区域拒绝 192.168.1.0/24 访问 80/tcp 端口为例
2) 这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应
）

4.2.1.2 暂时在防火墙当前所在区域里对某一个 IP 地址拒绝多个端口
4.2.1.2.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" drop"

或者：

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" reject"

（补充：这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应）

4.2.1.2.2 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol=tcp port="0-65535" drop"

或者：

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol=tcp port="0-65535" reject"

（
补充：
1) 这里以在 public 区域拒绝 192.168.1.1 访问 0/tcp 到 65536/tcp 端口为例
2) 这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应
）

4.2.1.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口
4.2.1.2.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source NOT address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" accept"

或者：

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source NOT address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" reject"

（补充：这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应）

4.2.1.2.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source NOT address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

或者：

# firewall-cmd --add-rich-rule="rule family="ipv4" source NOT address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

（
补充：
1) 这里以拒绝非 192.168.1.1 访问 0/tcp 到 65536/tcp 端口为例
2) 这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应
）

4.2.2 暂时撤销已拒绝端口
4.2.2.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口
4.2.2.1.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<network segment>/<subnet mask>" port protocol="<port protocol>" port="<port>" drop"

或者：

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<network segment>/<subnet mask>" port protocol="<port protocol>" port="<port>" reject"

（补充：这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应）

4.2.2.1.2 暂时在防火墙当前所在区域里撤销撤销已设置的对某个网段拒绝某一个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol=tcp port=80 drop"

或者：

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol=tcp port=80 reject"

（
补充：
1) 这里以取消在 public 区域拒绝 192.168.1.1 访问 0/tcp 到 65536/tcp 端口为例
2) 这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应
）

4.2.2.2 暂时在防火墙当前所在区域里撤销已设置的对某一个 IP 地址拒绝多个端口
4.2.2.2.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" drop"

或者：

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" reject"

（补充：这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应）

4.2.2.1.2 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol=tcp port="0-65535" drop"

或者：

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol=tcp port="0-65535" reject"

（
补充：
1) 这里以取消拒绝 192.168.1.1 访问 0/tcp 到 65536/tcp 端口为例
2) 这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应
）

4.2.3.2 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口
4.2.3.2.1 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口的格式

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source NOT address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" accept"

或者：

# firewall-cmd --add-rich-rule="rule family="<network protocol>" source NOT address="<IP address>" port protocol="<port protocol>" port="<starting port>-<end port>" reject"

（补充：这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应）

4.2.2.3.2 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口的案例

# firewall-cmd --add-rich-rule="rule family="ipv4" source NOT address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

或者：

# firewall-cmd --add-rich-rule="rule family="ipv4" source NOT address="192.168.1.1" port protocol="tcp" port="0-65535" accept"

（
补充：
1) 这里以取消拒绝非 192.168.1.1 访问 0/tcp 到 65536/tcp 端口为例
2) 这里 drop 和 reject 的区别是 drop 收到数据包后直接丢掉不给发送方任何回应，而 drop 收到数据包后会给发送方发送一个拒绝的回应
）

4.3 转发策略相关
4.3.1 开启防火墙转发策略

# firewall-cmd --add-masquerade --permanent

（注意：只有开启了防火墙转发策略之后防火墙才能转发端口）

4.3.2 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口
4.3.2.1 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口的格式

# firewall-cmd --add-forward-port=port=<port>:proto=<port protocol>:toport=<port>:toaddr=<IP address>

4.3.2.2 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口的案例

# firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.1

（补充：这里以将本地的 80 端口转向 192.168.1.1 的 8080 端口为例）

4.3.3 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口
4.3.3.1 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口的格式

# firewall-cmd --remove-forward-port=port=<port>:proto=<port protocol>:toport=<port>:toaddr=<IP address>

4.3.3.2 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口的案例

# firewall-cmd --remove-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.1

（补充：这里以取消将本地的 80 端口转向 192.168.1.1 的 8080 端口为例）

内容五：将防火墙不带优先级策略的设置方法转换成指定优先级策略的设置方法

（
注意：
1) 此方法只对复杂（rich）策略有效
2) 此方法只对较新的 firewall-cmd 防火墙有效
）

5.1 firewall-cmd 防火墙优先级介绍

1) 优先级数字的范围从 -32768 到 32767
2) 数字越低代表优先级越高

5.2 防火墙不带优先级策略的设置方法

和内容一、内容二、内容三、内容四里的相关设置命令一样，例：

# firewall-cmd --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" accept"

（补充：这里以对 192.168.1.0/24 开放 80/tcp 端口为例）

5.3 防火墙指定优先级策略的设置方法

和内容一、内容二、内容三、内容四里的大部分设置命令一样，但是需要在其中添加 priority= 参数，例：

# firewall-cmd --add-rich-rule="rule priority=100 family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" accept"

（补充：这里以对 192.168.1.0/24 开放 80/tcp 端口并将优先级设置为 100 为例）

内容六：将防火墙当前所在区域策略的设置方法转换成指定区域策略的设置方法
6.1 防火墙当前所在区域策略的设置方法

和内容一、内容二、内容三、内容四里的大部分设置命令一样，例：

# firewall-cmd --add-port=80/tcp

（补充：这里以在当前所在区域添加 80/tcp 端口为例）

6.2 防火墙指定区域策略的设置方法

和内容一、内容二、内容三、内容四里的大部分设置命令一样，但是需要在其中添加 –-zone= 参数，例：

# firewall-cmd --add-port=80/tcp --zone=public

（补充：这里以在 public 区域添加 80/tcp 端口为例）

内容七：防火墙暂时禁止 icmp 的设置
7.1 防火墙暂时禁止 icmp

# firewall-cmd --add-rich-rule='rule protocol value=icmp drop'

7.2 防火墙暂时取消禁止 icmp

# firewall-cmd --remove-rich-rule='rule protocol value=icmp drop'

内容八：防火墙紧急模式的管理（拒绝所有网络）
8.1 防火墙开启紧急模式（拒绝所有网络）

# firewall-cmd –panic-on

8.2 防火墙取消紧急模式（取消拒绝所有网络）

# firewall-cmd –panic-off

8.3 显示防火墙紧急模式是否开启（是否拒绝所有网络）

# firewall-cmd –query-panic

内容九：将防火墙暂时策略的设置方法转换成永久策略和限时策略的设置方法
9.1 防火墙暂时策略的设置方法

和内容一、内容二、内容三、内容四里的大部分设置命令一样，例：

# firewall-cmd --add-port=80/tcp

（补充：这里以临时添加 80/tcp 端口为例）

9.2 防火墙永久策略的设置

和内容一、内容二、内容三、内容四里的大部分设置命令一样，但是需要在其中添加 –permanent 参数，例：

# firewall-cmd --add-port=80/tcp --permanent

（补充：这里以永久添加 80/tcp 端口为例）

（注意：永久策略设置后，防火墙要重新加载才会生效）

9.3 防火墙限时策略的设置

和内容一、内容二、内容三、内容四的大部分设置命令一样，但是需要在后面添加 –timeout=<秒> 参数，例：

# firewall-cmd --add-port=80/tcp --timeout=3600

（补充：这里以在 3600 秒期间添加 80/tcp 端口为例）

（注意：此策略会在 3600 秒后失效）

内容十：防火墙策略的加载
10.1 使用防火墙命令加载策略

# firewall-cmd --reload

（注意：此时暂时策略会失效，永久策略会生效）

10.2 在系统层面上重启防火墙以加载策略

# systemctl retart firewalld

（注意：此时暂时策略会失效，永久策略会生效）

[命令] Linux 命令 iptables （设置防火墙）（转载）

一、iptables命令

    iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。

1.1 语法

iptables(选项)(参数)

    1

1.2 选项
选项 	描述
-t<表> 	指定要操纵的表；
-A 	向规则链中添加条目；
-D 	从规则链中删除条目；
-i 	向规则链中插入条目；
-R 	替换规则链中的条目；
-L 	显示规则链中已有的条目；
-F 	清楚规则链中已有的条目；
-Z 	清空规则链中的数据包计算器和字节计数器；
-N 	创建新的用户自定义规则链；
-P 	定义规则链中的默认目标；
-h 	显示帮助信息；
-p 	指定要匹配的数据包协议类型；
-s 	指定要匹配的数据包源ip地址；
-j<目标> 	指定要跳转的目标；
-i<网络接口> 	指定数据包进入本机的网络接口；
-o<网络接口> 	指定数据包要离开本机所使用的网络接口。

1.3 iptables命令选项输入顺序

    iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

1.3.1 表名包括：

    raw：高级功能，如：网址过滤。
    mangle：数据包修改（QOS），用于实现服务质量。
    net：地址转换，用于网关路由器。
    filter：包过滤，用于防火墙规则。

1.3.2 规则链名包括

    INPUT链：处理输入数据包。
    OUTPUT链：处理输出数据包。
    PORWARD链：处理转发数据包。
    PREROUTING链：用于目标地址转换（DNAT）。
    POSTOUTING链：用于源地址转换（SNAT

1.3.3 动作包括

    accept：接收数据包。
    DROP：丢弃数据包。
    REDIRECT：重定向、映射、透明代理。
    SNAT：源地址转换。
    DNAT：目标地址转换。
    MASQUERADE：IP伪装（NAT），用于ADSL。
    LOG：日志记录。

二、示列

# 清除已有iptables规则
iptables -F
iptables -X
iptables -Z

# 开放指定的端口
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT               #允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    #允许已建立的或相关连的通行
iptables -A OUTPUT -j ACCEPT         #允许所有本机向外的访问
iptables -A INPUT -p tcp --dport 22 -j ACCEPT    #允许访问22端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT    #允许访问80端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT    #允许ftp服务的21端口
iptables -A INPUT -p tcp --dport 20 -j ACCEPT    #允许FTP服务的20端口
iptables -A INPUT -j reject       #禁止其他未允许的规则访问
iptables -A FORWARD -j REJECT     #禁止其他未允许的规则访问

# 屏蔽IP
iptables -I INPUT -s 123.45.6.7 -j DROP       #屏蔽单个IP的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP      #封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP    #封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP    #封IP段即从123.45.6.1到123.45.6.254的命令是

# 显示已添加的iptables规则
iptables -L -n -v
Chain INPUT (policy DROP 48106 packets, 2690K bytes)
 pkts bytes target     prot opt in     out     source               destination         
 5075  589K ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
 191K   90M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
1499K  133M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80
4364K 6351M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
 6256  327K ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes)
 pkts bytes target     prot opt in     out     source               destination         
 5075  589K ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0  

# 删除已添加的iptables规则
iptables -L -n --line-numbers # 将所有iptables以序号标记显示
iptables -D INPUT 8 #比如要删除INPUT里序号为8的规则
————————————————
版权声明：本文为CSDN博主「书香水墨」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_27870421/article/details/93166786

注明：所有转载内容皆直接从被转载文章网页的标题和内容的文本中复制而来

CC 4.0 BY-SA 版权协议网址：https://creativecommons.org/licenses/by-sa/4.0/deed.z

站主补充：
站主补充一：iptables 保证现有连接不会被禁止的防火墙规则
# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

站主补充二：iptables 保证本地环路不会被禁止的防火墙规则
# iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# iptables -A INPUT -i lo -j ACCEPT

站主补充三：iptables 清空某一张表的规则
3.1 iptables 清空 filter 表的规则
# iptables -t filter -F

3.2 iptables 清空 nat 表的规则
# iptables -t nat -F

站主补充四：iptables 设置某一个链的默认规则
4.1 将某一个默认规则设置成允许
4.1.1 iptables 将 OUTPUT 链的默认规则设置为允许
# iptables -P OUTPUT ACCEPT

（补充：这里以将 OUTPUT 链设置为允许为例）

4.1.2 iptables 将 INPUT 链的默认规则设置为允许
# iptables -P INPUT ACCEPT

（补充：这里以将 INPUT 链设置为允许为例）

4.1.3 iptables 将 FORWAED 链的默认规则设置为允许
# iptables -P FORWARD ACCEPT

（补充：这里以将 FORWARD 链设置为允许为例）

4.2 将某一个默认规则设置成丢掉
4.2.1 iptables 将 OUTPUT 链的默认规则设置为丢掉
# iptables -P OUTPUT DROP

（补充：这里以将 OUTPUT 链设置为丢掉为例）

4.2.2 iptables 将 INPUT 链的默认规则设置为丢掉
# iptables -P INPUT DROP

（补充：这里以将 INPUT 链设置为丢掉为例）

4.2.3 iptables 将 FORWAED 链的默认规则设置为丢掉
# iptables -P FORWARD DROP

（补充：这里以将 FORWAED 链设置为丢掉为例）

站主补充五：iptables 一次性添加多个不连续端口的策略
# iptables -I INPUT -p tcp -m multiport --dport 22:30,80,3306 -j DROP

（补充：这里以将 INPUT 链里添加丢掉 22 到 30、80、3306 端口为例）

站住补充六：iptables 一次性添加多个连续端口的策略
# iptables -I INPUT -p tcp -m multiport --dport 22:30 -j DROP

（补充：这里以将 INPUT 链里添加丢掉 22 到 30 端口为例）

站住补充七：iptables 一次性添加多个连续和不连续端口的策略
# iptables -I INPUT -p TCP -m multiport --dport 22:30,80,3301:3306 -j DROP

（补充：这里以将 INPUT 链里添加丢掉 22 到 30、80、3301 到 3306 端口为例）

站主补充八：iptables 一次性给多个 IP 地址添加多个端口的策略
# iptables -I INPUT -s 192.168.1.1,192.168.1.5,192.168.1.100-110 -p TCP -m multiport --dport 22:30,80,3306 -j ACCEPT

（补充：这里以将 INPUT 链里添加允许 192.168.1.1、192.168.1.5、192.168.1.100 到 192.168.1.110 的 22 到 30、80、3301 到 3306 端口为例）

站主补充九：iptables 删除一条规则
9.1 显示所有规则的编号
# iptables --list --line-numbers

9.2 删除某一条规则
# iptables -D INPUT 3

（补充：这里以删除编号为 3 个规则为例）

站主补充十：iptables icmp 也就是 ping 的管理
# iptables -t filter -A INPUT -j ACCEPT -p icmp -m icmp --icmp-type 8 #允许 icmp 进去
# iptables -t filter -A INPUT -j ACCEPT -p icmp -m icmp --icmp-type 0 #允许 icmp 响应出去

站主补充十一：iptables 的规则保存
# iptables-save

或者：

# service iptables save

（注意：此方法只在 CentOS 7 & RHEL 7 有用）

站主补充十二：iptables 显示所有规则
12.1 iptables 显示所有规则
# iptables -nL

12.2 iptables 显示所有规则并显示编号
# iptables --list --line-numbers

12.3 iptables 显示某一张表里的所有规则
# iptables -L -v -t filter -n --line-numbers

December 10, 2019December 26, 2021

[命令] Linux 命令 parted （分区硬盘）（转载）

linux使用parted进行分区

#将分区设置成gpt格式

 parted  /dev/sdc mklabel gpt

#创建一个20G的分区

parted /dev/sdc mkpart primary 0 20000

#将剩余的空间全部创建成一个扩展分区 

 parted /dev/sdc mkpart extended 1 100%

/dev/sdd分区分成1个分区

parted /dev/sdd mklabel gpt

parted /dev/sdd mkpart primary 0 100%

将硬盘分为两个主分区

[root@localhost ~]# parted /dev/sdb   
GNU Parted 1.8.1 Using /dev/sdb Welcome to GNU Parted! Type ‘help’ to view a list of commands.
(parted) mklabel gpt           # 将MBR磁盘格式化为GPT
(parted) print                       #打印当前分区
(parted) mkpart primary 0 4.5TB                # 分一个4.5T的主分区
(parted) mkpart primary 4.5TB 12TB      # 分一个7.5T的主分区
(parted) print                         #打印当前分区
(parted) quit 退出
————————————————
版权声明：本文为CSDN博主「随小风」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/sfdst/article/details/81167080

注明：所有转载内容皆直接从被转载文章网页的标题和内容的文本中复制而来

注意：

内容目录：

内容一：临时路由转发的设置1.1 临时开启路由转发1.2 临时停止路由转发

内容三：显示当前路由转发的状态

具体的内容：

内容一：临时路由转发的设置1.1 临时开启路由转发

1.2 临时停止路由转发

内容二：永久路由转发的设置2.1 方法一：修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/*.conf 配置文件2.1.1 永久开启路由转发2.1.1.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/*.conf 配置文件

2.1.1.2 让路由转发的永久设置立刻生效

2.1.2 永久关闭路由转发2.1.2.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/*.conf 配置文件

2.1.2.2 让路由转发的永久设置立刻生效

2.2 方法二：yast2.2.1 永久开启路由转发

2.2.2 永久关闭路由转发

内容三：显示当前路由转发的状态

内容一：设置所有 yum 源网络代理的方法

内容二：单独设置某个 yum 源网络代理的方法

内容目录：

内容三：防火墙区域设置3.1 显示防火墙目前所在的区域3.2 指定防火墙的区域3.2.1 指定防火墙的区域的格式3.2.2 指定防火墙的区域的案例

内容五：将防火墙不带优先级策略的设置方法转换成指定优先级策略的设置方法5.1 firewall-cmd 防火墙优先级介绍5.2 防火墙不带优先级策略的设置方法5.3 防火墙指定优先级策略的设置方法

内容六：将防火墙当前所在区域策略的设置方法转换成指定区域策略的设置方法6.1 防火墙当前所在区域策略的设置方法6.2 防火墙指定区域策略的设置方法

内容七：防火墙暂时禁止 icmp 的设置7.1 防火墙暂时禁止 icmp7.2 防火墙暂时取消禁止 icmp

内容八：防火墙紧急模式的管理 （拒绝所有网络）8.1 防火墙开启紧急模式 （拒绝所有网络）8.2 防火墙取消紧急模式 （取消拒绝所有网络）8.3 显示防火墙紧急模式是否开启 （是否拒绝所有网络）

内容九：将防火墙暂时策略的设置方法转换成永久策略和限时策略的设置方法9.1 防火墙暂时策略的设置方法9.2 防火墙永久策略的设置9.3 防火墙限时策略的设置9.4 防火墙将正在运行的策略转换成永久的策略

内容十：防火墙策略的加载10.1 使用防火墙命令加载策略10.2 在系统层面上重启防火墙以加载策略

相关链接：与 firewall-cmd 相关的 shell 脚本

具体的内容：

内容一：防火墙信息查询1.1 防火墙运行状态查询

1.2 显示防火墙紧急模式是否开启 （是否拒绝所有网络）

1.3 防火墙默认信息查询1.3.1 显示防火墙的所有区域

1.3.2 显示防火墙支持的所有服务

1.3.3 显示防火墙支持的所有 icmp 协议

1.4 显示防火墙当前所在的区域

1.5 显示防火墙的策略1.5.1 显示防火墙当前所在区域的策略1.5.1.1 显示防火墙当前所在区域的所有策略

1.5.1.2 显示防火墙当前所在区域的复杂 （rich） 策略

1.5.2 显示所有区域的所有策略

1.5.3 显示某一个区域的策略1.5.3.1 显示某一个区域的所有策略1.5.3.1.1 显示某一个区域的所有策略的格式

1.5.3.1.2 显示某一个区域的所有策略的案例

1.5.3.2 显示某一个区域的复杂 （rich） 策略1.5.3.2.1 显示某一个区域的复杂 （rich） 策略的格式

1.5.3.2.2 显示某一个区域的复杂 （rich） 策略的案例

1.5.4 显示某一个区域某一个服务的策略1.5.4.1 显示某一个区域某一个服务的策略的格式

1.5.4.2 显示某一个区域某一个服务的策略的案例

1.6 显示网卡所在的区域1.6.1 显示哪些区域被放入了网卡

1.6.2 显示某一个网卡所属的区域1.6.2.1 显示某一个网卡所属的区域的格式

1.6.2.2 显示某一个网卡所属的区域的案例

内容二： 区域的网卡管理2.1 显示网卡所在的区域2.1.1 显示哪些区域被放入了网卡

2.1.2 显示某一个网卡所属的区域2.1.2.1 显示某一个网卡所属的区域的格式

2.1.2.2 显示某一个网卡所属的区域的案例

2.2 将某一个网卡放入某一个区域2.2.1 将某一个网卡放入某一个区域的格式

2.2.2 将某一个网卡放入某一个区域的案例

2.3 将某一个网卡从某一个区域删除2.3.1 将某一个网卡从某一个区域删除的格式

2.3.2 将某一个网卡从某一个区域删除的案例

内容三：防火墙区域设置3.1 显示防火墙目前所在的区域

3.2 指定防火墙的区域3.2.1 指定防火墙的区域的格式

3.2.2 指定防火墙的区域的案例

内容四：防火墙暂时策略设置 （防火墙重启后失效）

4.1 开放策略相关4.1.1 暂时开放端口4.1.1.1 暂时在防火墙当前所在区域里开放某一个端口4.1.1.1.1 暂时在防火墙当前所在区域里开放某一个端口的格式

4.1.1.1.2 暂时在防火墙当前所在区域里开放某一个端口的案例

4.1.1.2 暂时在防火墙当前所在区域里开放某一个服务的所有端口4.1.1.2.1 暂时在防火墙当前所在区域里开放某一个服务的所有端口的格式

4.1.1.2.2 暂时在防火墙当前所在区域里开放某一个服务的所有端口号的案例

4.1.1.3 暂时在防火墙当前所在区域里对某个网段开放某一个端口4.1.1.3.1 暂时在防火墙当前所在区域里对某个网段开放某一个端口的格式

4.1.1.3.2 暂时在防火墙当前所在区域里对某个网段开放某一个端口的案例

4.1.1.4 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口4.1.1.4.1 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口的格式

4.1.1.4.2 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口的案例

4.1.1.5 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口4.1.1.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式

4.1.1.5.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的案例

4.1.2 暂时关闭已开放的端口4.1.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口4.1.2.1.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口的格式

4.1.2.1.2 暂时在防火墙当前所在区域里关闭已开放的某一个端口的案例

4.1.2.2 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口4.1.2.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口的格式

4.1.2.2.2 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口号的案例

4.1.2.3 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口4.1.2.3.1 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口的格式

4.1.2.3.2 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放的某一个端口的案例

4.1.2.4 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口4.1.2.4.1 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口的格式

4.1.2.4.2 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口的案例

4.1.2.5 暂时在防火墙当前所在区域里关闭对除了某一个 IP 地址外的 IP 地址开放多个端口4.1.2.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式

4.1.2.5.2 暂时在防火墙当前所在区域里关闭对除了某一个 IP 地址外的 IP 地址开放多个端口的案例

4.2 拒绝策略相关4.2.1 暂时拒绝端口4.2.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口4.2.1.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式

4.2.1.1.2 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的案例

4.2.1.2 暂时在防火墙当前所在区域里对某一个 IP 地址拒绝多个端口4.2.1.2.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式

4.2.1.2.2 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的案例

4.2.1.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口4.2.1.2.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口的格式

内容一：临时路由转发的设置
1.1 临时开启路由转发
1.2 临时停止路由转发

内容一：临时路由转发的设置
1.1 临时开启路由转发

内容二：永久路由转发的设置
2.1 方法一：修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/.conf 配置文件
2.1.1 永久开启路由转发
2.1.1.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/.conf 配置文件

2.1.2 永久关闭路由转发
2.1.2.1 修改 /etc/sysctl.conf 配置文件或者 /etc/sysctl.d/*.conf 配置文件

2.2 方法二：yast
2.2.1 永久开启路由转发

内容三：防火墙区域设置
3.1 显示防火墙目前所在的区域
3.2 指定防火墙的区域
3.2.1 指定防火墙的区域的格式
3.2.2 指定防火墙的区域的案例

内容五：将防火墙不带优先级策略的设置方法转换成指定优先级策略的设置方法
5.1 firewall-cmd 防火墙优先级介绍
5.2 防火墙不带优先级策略的设置方法
5.3 防火墙指定优先级策略的设置方法

内容六：将防火墙当前所在区域策略的设置方法转换成指定区域策略的设置方法
6.1 防火墙当前所在区域策略的设置方法
6.2 防火墙指定区域策略的设置方法

内容七：防火墙暂时禁止 icmp 的设置
7.1 防火墙暂时禁止 icmp
7.2 防火墙暂时取消禁止 icmp

内容八：防火墙紧急模式的管理（拒绝所有网络）
8.1 防火墙开启紧急模式（拒绝所有网络）
8.2 防火墙取消紧急模式（取消拒绝所有网络）
8.3 显示防火墙紧急模式是否开启（是否拒绝所有网络）

内容九：将防火墙暂时策略的设置方法转换成永久策略和限时策略的设置方法
9.1 防火墙暂时策略的设置方法
9.2 防火墙永久策略的设置
9.3 防火墙限时策略的设置
9.4 防火墙将正在运行的策略转换成永久的策略

内容十：防火墙策略的加载
10.1 使用防火墙命令加载策略
10.2 在系统层面上重启防火墙以加载策略

内容一：防火墙信息查询
1.1 防火墙运行状态查询

1.2 显示防火墙紧急模式是否开启（是否拒绝所有网络）

1.3 防火墙默认信息查询
1.3.1 显示防火墙的所有区域

1.5 显示防火墙的策略
1.5.1 显示防火墙当前所在区域的策略
1.5.1.1 显示防火墙当前所在区域的所有策略

1.5.1.2 显示防火墙当前所在区域的复杂（rich）策略

1.5.3 显示某一个区域的策略
1.5.3.1 显示某一个区域的所有策略
1.5.3.1.1 显示某一个区域的所有策略的格式

1.5.3.2 显示某一个区域的复杂（rich）策略
1.5.3.2.1 显示某一个区域的复杂（rich）策略的格式

1.5.3.2.2 显示某一个区域的复杂（rich）策略的案例

1.5.4 显示某一个区域某一个服务的策略
1.5.4.1 显示某一个区域某一个服务的策略的格式

1.6 显示网卡所在的区域
1.6.1 显示哪些区域被放入了网卡

1.6.2 显示某一个网卡所属的区域
1.6.2.1 显示某一个网卡所属的区域的格式

内容二：区域的网卡管理
2.1 显示网卡所在的区域
2.1.1 显示哪些区域被放入了网卡

2.1.2 显示某一个网卡所属的区域
2.1.2.1 显示某一个网卡所属的区域的格式

2.2 将某一个网卡放入某一个区域
2.2.1 将某一个网卡放入某一个区域的格式

2.3 将某一个网卡从某一个区域删除
2.3.1 将某一个网卡从某一个区域删除的格式

内容三：防火墙区域设置
3.1 显示防火墙目前所在的区域

3.2 指定防火墙的区域
3.2.1 指定防火墙的区域的格式

内容四：防火墙暂时策略设置（防火墙重启后失效）

4.1 开放策略相关
4.1.1 暂时开放端口
4.1.1.1 暂时在防火墙当前所在区域里开放某一个端口
4.1.1.1.1 暂时在防火墙当前所在区域里开放某一个端口的格式

4.1.1.2 暂时在防火墙当前所在区域里开放某一个服务的所有端口
4.1.1.2.1 暂时在防火墙当前所在区域里开放某一个服务的所有端口的格式

4.1.1.3 暂时在防火墙当前所在区域里对某个网段开放某一个端口
4.1.1.3.1 暂时在防火墙当前所在区域里对某个网段开放某一个端口的格式

4.1.1.4 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口
4.1.1.4.1 暂时在防火墙当前所在区域里对某一个 IP 地址开放多个端口的格式

4.1.1.5 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口
4.1.1.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式

4.1.2 暂时关闭已开放的端口
4.1.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口
4.1.2.1.1 暂时在防火墙当前所在区域里关闭已开放的某一个端口的格式

4.1.2.2 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口
4.1.2.2.1 暂时在防火墙当前所在区域里关闭已开放的某一个服务的所有端口的格式

4.1.2.3 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口
4.1.2.3.1 暂时在防火墙当前所在区域里关闭已开放的对某个网段开放某一个端口的格式

4.1.2.4 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口
4.1.2.4.1 暂时在防火墙当前所在区域里关闭已开放的对某一个 IP 地址开放的多个端口的格式

4.1.2.5 暂时在防火墙当前所在区域里关闭对除了某一个 IP 地址外的 IP 地址开放多个端口
4.1.2.5.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址开放多个端口的格式

4.2 拒绝策略相关
4.2.1 暂时拒绝端口
4.2.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口
4.2.1.1.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式

4.2.1.2 暂时在防火墙当前所在区域里对某一个 IP 地址拒绝多个端口
4.2.1.2.1 暂时在防火墙当前所在区域里对某个网段拒绝某一个端口的格式

4.2.1.2 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口
4.2.1.2.1 暂时在防火墙当前所在区域里对除了某一个 IP 地址外的 IP 地址拒绝多个端口的格式

4.2.2 暂时撤销已拒绝端口
4.2.2.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口
4.2.2.1.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的格式

4.2.2.2 暂时在防火墙当前所在区域里撤销已设置的对某一个 IP 地址拒绝多个端口
4.2.2.2.1 暂时在防火墙当前所在区域里撤销已设置的对某个网段拒绝某一个端口的格式

4.2.3.2 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口
4.2.3.2.1 暂时在防火墙当前所在区域里撤销已设置的对除了某一个 IP 地址外的 IP 地址拒绝多个端口的格式

4.3 转发策略相关
4.3.1 开启防火墙转发策略

4.3.2 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口
4.3.2.1 暂时在防火墙当前所在区域里开启一个端口跳转到另一个 IP 地址的另一个端口的格式

4.3.3 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口
4.3.3.1 暂时在防火墙当前所在区域里关闭已开放的一个端口跳转到另一个 IP 地址的另一个端口的格式

内容六：将防火墙当前所在区域策略的设置方法转换成指定区域策略的设置方法
6.1 防火墙当前所在区域策略的设置方法

内容七：防火墙暂时禁止 icmp 的设置
7.1 防火墙暂时禁止 icmp

内容八：防火墙紧急模式的管理（拒绝所有网络）
8.1 防火墙开启紧急模式（拒绝所有网络）

8.2 防火墙取消紧急模式（取消拒绝所有网络）

8.3 显示防火墙紧急模式是否开启（是否拒绝所有网络）

内容九：将防火墙暂时策略的设置方法转换成永久策略和限时策略的设置方法
9.1 防火墙暂时策略的设置方法

内容十：防火墙策略的加载
10.1 使用防火墙命令加载策略