目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其实是代理层的网关。
三层的防火墙会在这层对源地址和目标地址进行检测.
对于七层的防火墙，不管你源端口或者目标端口，源地址或者目标地址是什么，都将对你所有的东西进行检查。
对于设计原理来讲，七层防火墙更加安全，但是这却带来了效率更低。
iptables 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。
如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
防火墙在做信息包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的信 息包过滤表中，而这些表集成在 Linux 内核中。
在信息包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/iptables IP 信息包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。
虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter 和 iptables 组成。
netfilter(网络过滤器) 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。
在内核空间中选择了5个位置，
1.内核空间中：从一个网络接口进来，到另一个网络接口去的
2.数据包从内核流入用户空间的
3.数据包从用户空间流出的
4.进入/离开本机的外网接口
5.进入/离开本机的内网接口
内核，是一个操作系统的核心。
提供操作系统的最基本的功能，是操作系统工作的基础
负责管理系统的进程、内存、设备驱动程序、文件和网络系统，决定着系统的性能和稳定性。
这五个位置也被称为五个钩子函数（hook functions）,也叫五个规则链。
1.PREROUTING (路由前)
2.INPUT (数据包流入口)
3.FORWARD (转发管卡)
4.OUTPUT(数据包出口)
5.POSTROUTING（路由后）
这是NetFilter规定的五个规则链，任何一个数据包，只要经过本机，必将经过这五个链中的其中一个链。
防火墙策略一般分为两种，一种叫“通”策略，一种叫“堵”策略。
现在用的比较多个功能有3个：
1.filter 定义允许或者不允许的
2.nat 定义地址转换的
3.mangle功能:修改报文原数据
iptables传输数据包的过程
当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。
如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
iptables的规则表和链：
表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。
链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。
当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。
如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定义的默认策略来处理数据包。
Iptables采用“表”和“链”的分层结构。现在REHL5是四张表五个链。
规则表：
1.filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包 内核模块：iptables_filter.
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS 内核模块：iptable_mangle(别看这个表这么麻烦，咱们设置策略时几乎都不会用到它)
没用4.Raw表——两个链：OUTPUT、PREROUTING (这个是REHL4没有的，不过用的不多)
作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw
规则链：
1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则（所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则（所有的数据包出来的时侯都先由这个链处理）
其实iptables只是Linux防火墙的管理工具而已，位于/sbin/iptables。真正实现防火墙功能的是 netfilter，它是Linux内核中实现包过滤的内部结构。
iptables的基本语法格式
iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］
表名、链名用于指定 iptables命令所操作的表和链
命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等)；
条件匹配用于指定对符合什么样 条件的数据包进行处理；
目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理)。
iptables命令的管理控制选项
-A 在指定链的末尾添加（append）一条新的规则
-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I 在指定链中插入（insert）一条新的规则，默认在第一行添加
-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L 列出（list）指定链中所有的规则进行查看
-E 重命名用户定义的链，不改变链本身
-F 清空（flush）
-N 新建（new-chain）一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链（delete-chain）
-P 设置指定链的默认策略（policy）
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式（numeric）显示输出结果
-v 查看规则表详细信息（verbose）的信息
-V 查看版本(version)
-h 获取帮助（help）
防火墙处理数据包的四种方式
ACCEPT 允许数据包通过
DROP 直接丢弃数据包，不给任何回应信息
REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则
State（状态） Explanation（注释）
NEW NEW说明这个包是我们看到的第一个包。
意思就是，这是conntrack模块看到的某个连接第一个包，它即将被匹配了。
比如，我们看到一个SYN 包，是我们所留意的连接的第一个包，就要匹配它。
第一个包也可能不是SYN包，但它仍会被认为是NEW状态。
这样做有时会导致一些问题，但对某些情况是有非常大的帮助的。
例如，在 我们想恢复某条从其他的防火墙丢失的连接时，或者某个连接已经超时，但实际上并未关闭时。
ESTABLISHED ESTABLISHED已经注意到两个方向上的数据传输，而且会继续匹配这个连接的包。
处于ESTABLISHED状态的连接是非常容 易理解的。只要发送并接到应答，连接就是ESTABLISHED的了。
一个连接要从NEW变 为ESTABLISHED，只需要接到应答包即可，不管这个包是发往防火墙的，还是要由防火墙转发的。
ICMP的错误和重定向等信息包也被看作是ESTABLISHED，只要它们是我 们所发出的信息的应答。
RELATED RELATED是个比较麻烦的状态。
当一 个连接和某个已处于ESTABLISHED状态的连接有关系时，就被认为是RELATED的了。
换句话说，一个连接要想 是RELATED的，首先要有一个ESTABLISHED的连接。
这个ESTABLISHED连接再产生一个主连接之外的连接，这 个新的连接就是RELATED的了，当然前提是conntrack模块要能理解RELATED。
ftp是个很好的例子，FTP-data 连接就是和FTP-control有RELATED的。
还有其他的例子，比如，通过IRC的DCC连接。
有了这个状态，ICMP应 答、FTP传输、DCC等才能穿过防火墙正常工作。
注意，大部分还有一些UDP协议都依赖这个机制。这些协议 是很复杂的，它们把连接信息放在数据包里，并且要求这些信息能被正确理解。
INVALID INVALID说明数据包不能被识别属于哪个连接或没有任何状态。
有几个原因可以产生这种情况，比如，内存溢出，收到不知属于哪个连接的ICMP错误信息。
一般地，我们DROP这个状态的任何东西。
禁ping和允许ping
[root@zeyu ~]# iptables -I INPUT -p icmp -j REJECT
[root@zeyu ~]# iptables -I INPUT -p icmp -j ACCEPT
使用“！”可以将条件取反
允许防火墙转发除ICMP协议以外的所有数据包
iptables -A FORWARD -p ! icmp -j ACCEPT
使用iptables -L查看防火墙设置
centos7 关闭firewall安装iptables
关闭firewall：
[root@zeyu ~]# systemctl stop firewalld.service #停止firewall
[root@zeyu ~]# systemctl disable firewalld.service #禁止firewall开机启动
安装iptables防火墙
[root@zeyu ~]# yum install -y iptables-services #安装
加入防火墙规则
[root@zeyu ~]# iptables -A INPUT -i lo -j ACCEPT #第一条规则是要把 lo 回环网卡打开
[root@zeyu ~]# iptables -P INPUT DROP
[root@zeyu ~]# iptables -P FORWARD DROP
[root@zeyu ~]# iptables -P OUTPUT DROP
打开22端口允许ssh
[root@zeyu ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@zeyu ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
[root@zeyu ~]# service iptables save #进行保存
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
禁止来自于192.168.81.58的访问（但是不会拒绝22端口的访问）
[root@zeyu ~]# iptables -A INPUT -p tcp -s 192.168.81.58 -j DROP
通过 iptables -L -n --line-number 可以显示规则和相对应的编号
[root@zeyu ~]# iptables -I INPUT 2 -p tcp -s 192.168.81.58 -j REJECT
将规则插入到INPUT链第二条
[root@zeyu ~]# iptables -D INPUT 3
删除INPUT链的第3条规则
[root@zeyu ~]# iptables -I INPUT -p icmp -j ACCEPT
[root@zeyu ~]# iptables -A OUTPUT -p udp --sport 53 -j ACCEPT
[root@zeyu ~]# iptables -A INPUT -p udp --sport 53 -j ACCEPT
[root@zeyu ~]# iptables -A INPUT -p udp --dport 53 -j ACCEPT
[root@zeyu ~]# iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
开放DNS（53）端口
iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
过滤无效的数据包
端口转发
首先修改/etc/sysctl.conf
net.ipv4.ip_forward = 1#允许iptalbes FORWARD。
将本地接口IP 61.144.14.72 的3389端口 转发到116.6.73.229的3389
iptables -t nat -A PREROUTING --dst 61.144.14.72 -p tcp--dport?3389 -j DNAT --to-destination 116.6.73.229:3389
iptables -t nat -A POSTROUTING --dst 116.6.73.229 -p tcp--dport?3389 -j SNAT --to-source 61.144.14.72
清空nat表：
iptables -F -t nat d
fail2ban+iptables 保护服务器的安全
[root@localhost ~]# yum install ed gamin-python ipset
python-inotify-0.9.1-1.el6.noarch.rpm
fail2ban-server-0.9.6-3.el7.noarch.rpm
fail2ban-sendmail-0.9.6-3.el7.noarch.rpm
fail2ban-0.9.6-3.el7.noarch.rpm
fail2ban-firewalld-0.9.6-3.el7.noarch.rpm
[root@localhost ~]# service fail2ban start
查看fail2ban运行状态(centOS7下的iptables依赖于firewalld，因此fail2ban也需要firewalld保持运行)
[root@localhost ~]# fail2ban-client status
Status
|- Number of jail: 0
`- Jail list:
[root@localhost ~]# vim /etc/fail2ban/jail.local
[sshd] #设置jail名称
enabled = true #开启jail
port = ssh #设置ssh端口
logpath = %(sshd_log)s #指定sshd的log文件路径,
bantime = 300 #禁用时长(秒)
maxretry = 5 #登陆失败次数
[http]
enabled = true
port = http,https
filter = apache-banddos
logpath = /var/log/httpd/access_log
bantime = 60
maxretry = 50
findtime = 30
[root@localhost ~]# service fail2ban reload
Redirecting to /bin/systemctl reload fail2ban.service
[root@localhost ~]# fail2ban-client status
Status
|- Number of jail: 1
`- Jail list: sshd
[root@localhost ~]# firewall-cmd --zone=public --add-port=80/tcp --permanent
success
firewall的使用
查看版本：$ firewall-cmd --version
查看帮助：$ firewall-cmd --help
查看设置：
显示状态：$ firewall-cmd --state
查看区域信息: $ firewall-cmd --get-active-zones
查看指定接口所属区域：$ firewall-cmd --get-zone-of-interface=eth0
拒绝所有包：# firewall-cmd --panic-on
取消拒绝状态：# firewall-cmd --panic-off
查看是否拒绝：$ firewall-cmd --query-panic
更新防火墙规则：# firewall-cmd --reload
# firewall-cmd --complete-reload
两者的区别就是第一个无需断开连接，就是firewalld特性之一动态添加规则，第二个需要断开连接，类似重启服务
将接口添加到区域，默认接口都在public
# firewall-cmd --zone=public --add-interface=eth0
永久生效再加上 --permanent 然后reload防火墙
设置默认接口区域
# firewall-cmd --set-default-zone=public
立即生效无需重启
打开端口（貌似这个才最常用）
查看所有打开的端口：
# firewall-cmd --zone=dmz --list-ports
加入一个端口到区域：
# firewall-cmd --zone=dmz --add-port=8080/tcp
若要永久生效方法同上
打开一个服务，类似于将端口可视化，服务需要在配置文件中添加，/etc/firewalld 目录下有services文件夹，这个不详细说了，详情参考文档
# firewall-cmd --zone=work --add-service=smtp
移除服务
# firewall-cmd --zone=work --remove-service=smtp
