linux网络相关，firewalld和netfilter，netfilter5表5链介绍，itptables语法

linux网络相关，firewalld和netfilter，netfilter5表5链介绍，itptables语法

• 来源:新网
• 更新日期:2018-03-22

摘要：摘要: 七周三次课（3月21日） 10.11 Linux网络相关 10.12 firewalld和netfilter 10.13 netfilter5表5链介绍 10.14 iptables语法

Linux网络相关：
如果没有 ifconfig 命令 那么需要安装一个包(yum install net-tools)
如果 ifconfig 命令查看不到网卡的话，那么可以使用 ifconfig -a 查看(网卡down掉时使用这个命令)
down=网卡被关闭
ifdown 网卡名字 关闭网卡
ifup 网卡名字 开启网卡
在远程终端上面使用了 ifdown 关闭了网卡，那么必须在本地机器上面使用 ifup 启用网卡才可以使用。 关闭网卡后ip就会消失，需要在本地机器重启才可以继续使用。
ifdown 网卡名字 && ifup 网卡名字 =断开网卡后再重新连接上(自动重启网卡服务)
设定一个虚拟网卡，先进入网卡配置目录然后拷贝一份网卡配置文件。
配置文件地址 /etc/sysconfig/network-scripts/
加上托意的内容，更换一个IP，DNS，和网关 都可以不要。
然后重启网卡，就可以查看到设置的虚拟网卡了。
mii-tool 网卡名字 可以查看网线是否连接好 link ok =网线正常。如果mii-tool 命令不支持，那么可以使用 entool 网卡名字 查看网线是否连接OK Link detected:yes =网线正常。
hostnamectl set-hostname 名字(修改主机名) 直接打一个bash可以更换新的主机名
网卡配置文件里面可以直接更改DNS
可以更改域名解析(只支持本机)
支持一个IP多个域名，用空格分开即可
修改完以后马上生效。
Linux防火墙-netfilter：
修改配置文件永久关闭防火墙：vi /etc/selinux/config
使用getenforce 查看到防火墙的状态为 disabled 说明防火墙被永久关闭了。
netfilter 是Centos7以前版本的叫法，Centos7后改名变更为firewalld 。 netfiler 又叫 iptables
下面是在Centos7上关闭 firewalld 防火墙，然后在开启netfilter 防火墙。
先关闭 firewalld 然后停止 firewalld 的服务，再安装一个 iptables 安装包，安装完以后会产生一个新的 iptables 服务，开始 iptables 防火墙即可。用 iptables -nvL 可以查看iptables自带的一些规则。
netfilter5表5链介绍：
1. netfilter的五个表
filter这个表主要用于过滤包的，是系统预设的表，这个表也是阿铭用的最多的。内建三个链INPUT、OUTPUT以及FORWARD。INPUT作用于进入本机的包;OUTPUT作用于本机送出的包;FORWARD作用于那些跟本机无关的包。
nat主要用处是网络地址转换，也有三个链。PREROUTING 链的作用是在包刚刚到达防火墙时改变它的目的地址，如果需要的话。OUTPUT链改变本地产生的包的目的地址。POSTROUTING链在包就要离开防火墙之前改变其源地址。
mangle这个表主要是用于给数据包打标记，然后根据标记去操作哪些包。
raw表可以实现不追踪某些数据包，默认系统的数据包都会被追踪，但追踪势必消耗一定的资源，所以可以用raw表来指定某些端口的包不被追踪。
security表在Centos6中是没有的，它用于强制访问控制(MAC)的网络规则。
2.netfilter的五个链
PREROUTING：数据包进入路由表之前
INPUT：通过路由表后目的地为本机
FORWARDING：通过路由表后，目的地不为本机
OUTPUT：由本机产生，向外转发
POSTROUTING：发送到网卡接口之前
3.iptables传输数据包的过程
① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。
③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
iptables语法：
规则配置文件路径：/etc/sysconfig/iptables
iptables -F 可以清空规则
如果清空规则以后，没有保存新的规则到 /etc/sysconfig/iptables 里面，那么重启 iptables 服务就会把原来的规则重新加载。

一般查看两个表：nat 和 filter
当你写完新的规则以后需要使用 service iptables save 保存规则
iptables -Z 可以归0计数器
iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP
iptables (-I/-A/-D) INPUT -s 1.1.1.1 -j DROP 在首部插入规则 ，如果满足第一条规则那么就会直接执行，如果规则是在尾部那么添加的规则就是按照顺序执行下去直到找到需要的规则。 DROP=直接执行并且拒绝后面的命令。
删除指定的规则：iptables -D INPUT 1 DORP=拒绝服务 ACCEPT=允许服务
-P后面跟链名，策略内容或为DROP，ACCEPT，默认是ACCEPT。注意：如果在连接远程服务器，千万不要随便执行这个命令，因为一旦执行，远程连接就会被断开：iptables -P OUTPUT DROP
iptables -nvL --line-numbers 把规则前面的编号显示出来，然后可以根据规则的编号进行删除。
扩展(selinux了解即可)
1. selinux教程http://os.51cto.com/art/201209/355490.htm
2.selinux pdf电子书http://pan.baidu.com/s/1jGGdExK