防火墙

查看防火墙状态

firewall-cmd --state 

停止firewall

systemctl stop firewalld.service 

开启

systemctl start firewalld.service 

禁止firewall开机启动

systemctl disable firewalld.service  

端口

查看对外开放的端口状态

netstat -anp 

对外开发端口

查看想开的端口是否已开：

firewall-cmd --query-port=80/tcp 

添加指定需要开放的端口：

firewall-cmd --add-port=80/tcp --permanent 

重载入添加的端口：

firewall-cmd --reload 

查询指定端口是否开启成功：

firewall-cmd --query-port=80/tcp 

只允许某个特定的的ip访问80端口

Linux防火墙Iptable如何设置只允许某个ip访问80端口，只允许特定ip访问某端口？参考下面命令，只允许46.166.150.22访问本机的80端口。如果要设置其他ip或端口，改改即可。 iptables -I INPUT -p TCP --dport 80 -j DROP iptables -I INPUT -s 46.166.150.22 -p TCP --dport 80 -j ACCEPT 在root用户下执行上面2行命令后，重启iptables， service iptables restart 

在centos7中使用firewall-cmd指定只允许192.168.0.1的ip访问80端口

firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept' 

查看iptables是否生效：

[root@www.ctohome.com]# iptables -L Chain INPUT (policy ACCEPT) target           prot opt source               destination          ACCEPT     tcp  --  46.166.150.22    anywhere            tcp dpt:http  DROP         tcp  --  anywhere             anywhere            tcp dpt:http   Chain FORWARD (policy ACCEPT) target     prot opt source               destination           Chain OUTPUT (policy ACCEPT) target     prot opt source               destination         

上面命令是针对整个服务器（全部ip）禁止80端口，如果只是需要禁止服务器上某个ip地址的80端口，怎么办？

下面的命令是只允许来自174.140.3.190的ip访问服务器上216.99.1.216的80端口

iptables -A FORWARD -s 174.140.3.190 -d 216.99.1.216 -p tcp -m tcp --dport 80 -j ACCEPT  iptables -A FORWARD -d 216.99.1.216 -p tcp -m tcp --dport 80 -j DROP 

禁止ip登录

centos7用的是firewall 添加单个黑名单只需要把ip添加到 /etc/hosts.deny

格式  sshd:$IP:deny vim /etc/hosts.deny   添加你要禁止的ip就可以了 sshd:192.168.1.147:deny 

这是允许的 /etc/hosts.allow

sshd:19.16.18.1:allow sshd:19.16.18.2:allow 

• 多次失败登录即封掉IP,防止暴力破解的脚本 超过5次的就加到黑名单

1、防爆破脚本

vim /usr/local/bin/secure_ssh.sh

#! /bin/bash cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}' > /usr/local/bin/black.txt for i in `cat  /usr/local/bin/black.txt` do     IP=`echo $i |awk -F= '{print $1}'`     NUM=`echo $i|awk -F= '{print $2}'`     if [ $NUM -gt 5 ]     then         grep $IP /etc/hosts.deny > /dev/null         if [ $? -gt 0 ]         then              echo "sshd:$IP:deny" >> /etc/hosts.deny         fi     fi done 

2、创建记录登录失败次数的文件

touch /usr/local/bin/black.txt 

3、添加定时 5分钟执行一次

*/5 * * * *  sh /usr/local/bin/secure_ssh.sh 

4、测试 ssh登录147

ssh 192.168.1.147 

5、查看黑名单列表是否记录

cat /usr/local/bin/black.txt

6、查看黑名单列表看是否添加进去了
cat /etc/hosts.deny