iptables防火墙策略：
ACCEPT（允许流量通过）
REJECT（拒绝流量通过） 拒绝，并对访问返回拒绝信息
LOG（记录日志信息）
DROP（拒绝流量通过） 拒绝并且不对访问做任何响应
规则：
在进行路由选择前处理数据包（PREROUTING）； 处理流入的数据包（INPUT）； 处理流出的数据包（OUTPUT）； 处理转发的数据包（FORWARD）； 在进行路由选择后处理数据包（POSTROUTING）
iptables [参数选项]
-P 设置默认策略 -F 清空规则链 -L 查看规则链 -A 在规则链的末尾加入新规则 -I num 在规则链的头部加入新规则 -D num 删除某一条规则 -s 匹配来源地址IP/MASK，加叹号“!”表示除这个IP外 -d 匹配目标地址 -i 网卡名称 匹配从这块网卡流入的数据 -o 网卡名称 匹配从这块网卡流出的数据 -p 匹配协议，如TCP、UDP、ICMP
-j 目标动作或跳转，后跟策略（ACCEPT 允许 REJECT 拒绝）
--dport num 匹配目标端口号 --sport num 匹配来源端口号
iptables -F 清空已有的防火墙规则链
iptables -P INPUT DROP 把INPUT规则链的默认策略设置为拒绝
iptables -I INPUT -p icmp -j ACCEPT 向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则默认允许这种ping命令检测行为
iptables -D INPUT 1 删除INPUT规则链中允许ICMP流量的策略
iptables -P INPUT ACCEPT 把默认策略设置为允许ICMP流量
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT 将INPUT规则链设置为只允许指定网段的主机访问本机的22端口
iptables -A INPUT -p tcp --dport 22 -j REJECT 拒绝来自其他所有主机的22端口流量
iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT 向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则
iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT 向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则
iptables -A INPUT -p udp --dport 1000:1024 -j REJECT 同上
Firewalld RHEL 7系统中集成了多款防火墙管理工具
默认规则策略：
trusted 允许所有的数据包 home 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量 internal 等同于home区域 work 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量 public 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量 external 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 dmz 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 block 拒绝流入的流量，除非与流出的流量相关 drop 拒绝流入的流量，除非与流出的流量相关
firewall-cmd 命令参数
--get-default-zone 查询默认的区域名称 --set-default-zone=<区域名称> 设置默认的区域，使其永久生效 --get-zones 显示可用的区域 --get-services 显示预先定义的服务 --get-active-zones 显示当前正在使用的区域与网卡名称 --add-source= 将源自此IP或子网的流量导向指定的区域 --remove-source= 不再将源自此IP或子网的流量导向某个指定区域 --add-interface=<网卡名称> 将源自该网卡的所有流量都导向某个指定区域 --change-interface=<网卡名称> 将某个网卡与区域进行关联 --list-all 显示当前区域的网卡配置参数、资源、端口以及服务等信息 --list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等信息 --add-service=<服务名> 设置默认区域允许该服务的流量 --add-port=<端口号/协议> 设置默认区域允许该端口的流量 --remove-service=<服务名> 设置默认区域不再允许该服务的流量 --remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量 --reload 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
--permanent 永久生效（当前不生效，重启后生效） --panic-on 开启应急状况模式 --panic-off 关闭应急状况模式
--query-service=服务 放行服务
