1 概述
设置防火墙策略有以下两条原则：
A 任何不允许的访问，应该在请求到达时给予拒绝
B 规则在链接上的次序即为其检查时的生效次序
.基于上述的原则，用以下7条规则进行优化
.1)安全放行所有入站和出站的状态为ESTABLISHED状态连接，如果状态已经是ESTABLISHED，说明已经建立连接了，这种规则建议放在靠前的规则，这样速度回比较快。
.2)谨慎放行入站的新请求
.3)有特殊目的限制访问功能，要在放行规则之前加以拒绝。
.4)同类规则（访问同一应用），匹配范围小的放在前面，用于特殊处理
.5)不同类的规则（访问不同应用），匹配范围大的放在前面
.6)应该将那些可由一条规则能够描述的多个规则合并为一条
.7)设置默认策略，建议白名单（只放行特定连接，DROP），黑名单是放行ACCEPT
7.1）iptables-P，不建议
7.2）建议在规则的最后定义规则做为默认策略
本文主要对iptables命令的语句的语法进行简要介绍
2 语法格式
.规则格式：iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]] -j targetname[per-target-options]
其中，-t 指定表table：raw,mangle, nat, filter，默认是filter。-j是jump的意思
通过man 8 iptables查看iptables的man帮助文档
iptables的命令主要有以下的格式
.iptables [-t table] {-A|-C|-D}chain rule-specification
#这里如果不指定表名，就是用默认的filter
.iptables [-t table] -I chain[rulenum] rule-specification
.iptables [-t table] -R chainrulenum rule-specification
.iptables [-t table] -D chainrulenum
.iptables [-t table] -S [chain[rulenum]]
.iptables [-t table] {-F|-L|-Z}[chain [rulenum]] [options...]
.iptables [-t table] -N chain
.iptables [-t table] -X [chain]
.iptables [-t table] -P chain target
.iptables [-t table] -Eold-chain-name new-chain-name
.rule-specification = [matches...][target]
.match = -m matchname[per-match-options]
.target = -j targetname[per-target-options]
3 iptables 命令格式介绍
3.1 SUBCOMMAND：
subcommand分为三个部分：1链管理，2查看，3规则管理
3.1.1、链管理：
-N：new,自定义一条新的规则链，自定义链，这里动作如果是自定义链的话，表示和其他的链进行关联，达到灵活的控制
例子：
#定义一条新的链，名字为diy_chain
iptables -N diy_chain
#定义规则用于这条链上
iptables -A diy_chain -ptcp --tcp-flag ALL ALL -j REJECT
#将自定义的链和系统的默认的链做关联，这里可以把自定义的链当做是一个变量，这个变量里定义了一组规则。通过-j选项来关联。所以可以把常用的防火墙规则自定义为链。如果要使用，只需要调用该自定义链即可，使用时把自定义和现有系统默认的的链做关联，
iptables -A INPUT -jdiy_chain
或者,表示来说192.168.32.75的ip的包都关联到INPUT链，调用diy_chain这条自定义的链
iptables -A INPUT -s192.168.32.75 -j diy_chain
-X：delete，删除自定义的空的规则链，要先清空规则后才能删除，如果有调用关系，也要把调用的关系清掉，然后才能用-X删除自定义的链
例子
先清空自定义链上的规则
iptables -F diy_chain
然后清空调用的系统链的绑定，
iptables -D INPUT -jdiy_chain
最后才能删除自定义链
iptables -X diy_chain
-P：Policy，设置默认策略；对filter表中的链而言，其默认策略有：
ACCEPT：接受
DROP：丢弃
这个不修改这个策略。这个策略用iptables-F清空不了。需要用该命令用iptables -A INPUTACCEPT来修改策略。
例子
iptables -A INPUT DROP
-E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除
3.1.2、查看：
-L：list,列出指定鏈上的所有规则，本选项须置后，如果有dns，则会把ip解析成url。加-n就不会解析
-n：numberic，以数字格式显示地址和端口号
-v：verbose，详细信息
-vv更详细
-x：exactly，显示计数器结果的精确值,而非单位转换后的易读值
--line-numbers：显示规则的序号，默认编号不显示，需要自己加，顺序对防火墙来说很关键
常用组合：
--vnL
--vvnxL --line-numbers
-S selected,以iptables-save命令格式显示链上规则
注意系统默认的防火墙规则是放在文件/etc/sysconfig/iptables里，写入这个文件的防火墙策略是可以被保存的，当启动防火墙服务的时候，默认就会添加这些防火墙策略
3.1.3、规则管理：
-A：append，追加
-I：insert,插入，要指明插入至的规则编号，默认为第一条，注意，这里-I如果要指定数字，不能比当前防火墙规则最大的数字还大，但是可以等于最大的编号，因为这个-I选项默认是插入中间的规则，往前插入。
-D：delete，删除
(1)指明规则序号
如iptables -D INPUT 3
删掉第三条规则
(2)指明规则本身
iptables -D INPUT -s1.1.1.7 -j ACCEPT
-R：replace，替换指定链上的指定规则编号
#替换掉变化为3的策略
iptables -R INPUT 3 -s1.1.1.8 -j ACCEPT
-F：flush，清空指定的规则链
#清空FORWARD链的策略，如果不指定。默认是清空INPUT链
iptables -F FORWARD
-Z：zero，置零
iptables的每条规则都有两个计数器，-Z会将这两个计数器都清零
(1)匹配到的报文的个数
(2)匹配到的所有报文的大小之和
.chain：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
3.2匹配条件
基本：通用的，PARAMETERS，无需加载模块，由iptables/netfilter自行提供
扩展：需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效。其中扩展分为显示扩展和隐式扩展
关于匹配条件，参见博客：http://www.jianshu.com/p/6fe53c3416b3
3.3处理动作Target
.-j targetname [per-target-options]
简单：
ACCEPT，DROP
扩展：
REJECT：--reject-with:icmp-port-unreachable默认
RETURN：返回调用链
REDIRECT：端口重定向
LOG：记录日志，dmesg，非中断target,本身不拒绝和允许,放在拒绝和允许规则前并将日志记录在/var/log/messages系统日志中
--log-level level级别：emerg, alert, crit,error, warning, notice, info or debug
--log-prefix prefix日志前缀，用于区别不同的日志，最多29个字符
.示例：
表示将172.18.50.73发过来的主机，访问端口80,21,22,23端口记录日志，同时给日志报头加上"cent7c tocent6E:这些关键字
iptables -A INPUT -s172.18.50.73 -p tcp -m multiport --dports 80,21,22,23 -m state --state NEW -jLOG --log-prefix "cent7c to cent6E:"
MARK：做防火墙标记
DNAT：目标地址转换
SNAT：源地址转换
MASQUERADE：地址伪装
...
自定义链
4 防火墙规则启用和保存
4.1 规则有效期限：
使用iptables命令定义的规则，手动删除之前，其生效期限为kernel存活期限
4.2 保存防火墙规则：
保存规则至指定的文件
CentOS 6
serviceiptablessave
将规则覆盖保存至/etc/sysconfig/iptables文件中
CentOS 7可用下面方法保存规则
iptables-S > /PATH/TO/SOME_RULES_FILE
iptables-save >/PATH/TO/SOME_RULES_FILE
-S这个选项不会保存策略，只是把防火墙策略中的列表显示出来，要保存，需要重定向
加载默认规则
.CentOS 6：
service iptablesrestart
会自动从/etc/sysconfig/iptables重新载入规则
.CentOS 7重新载入预存规则文件中规则：
iptables-restore
例子：iptables-restore< /root/iptables.rule1
-n, --noflush：不清除原有规则
-t, --test：仅分析生成规则集，但不提交
4.3 开机启动
CentOS 6
设置开机启动项
chkconfig iptables on
. CentOS 7
开机自动重载规则文件中的规则：
.(1)用脚本保存各iptables命令；让此脚本开机后自动运行
/etc/rc.d/rc.local文件中添加脚本路径
/PATH/TO/SOME_SCRIPT_FILE
.(2)用规则文件保存各规则，开机时自动载入此规则文件中的规则
/etc/rc.d/rc.local文件添加
iptables-restore
.(3)自定义Unit File，进行iptables-restore
