一、防火墙简述

iptables 其实不是真正意义上的防火墙，我们可以把它理解成一个客户点代理，用户通过iptables这个代理，将用户的安全设定执行到对应的“安全框架中”，这个安全框架才是真正的的防火墙，这个框架的名字叫netfilter。
netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间。
iptables其实是一个命令行工具，位于用户空间，我们用这个工具操作真正的框架。
netfilter/iptables（下文中简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。
iptables 表
filter表：负责过滤功能，防火墙；内核模块：iptables_filter
nat表：network address translation，网络地址转换功能；内核模块：iptable_nat
mangle表：拆解报文，做出修改，并重新封装 的功能；iptable_mangle
raw表：关闭nat表上启用的连接追踪机制；iptable_raw

安装iptables

centOS7默认防火墙不是iptables，而是firewalle。
通过如下命令检测是否安装iptables和安装iptables
service iptables status
提示 service could not be found 为没有安装

1、禁用firewalle#
停止firewalle 服务
systemctl stop firewalle
禁用
firewallesystemctl mask firewalle
启动： systemctl start firewalld
查看状态： systemctl status firewalld
禁用，禁止开机启动： systemctl disable firewalld
2、安装iptables
yum install -y iptables
升级yum update iptables
安装 iptables-services yum install iptables-services
3、在实际生产过程中，对iptables命令进行配置
#查看现有iptables 规则
iptables -L -n
#先允许所有iptables -P INPUT ACCEPT
#清空所有默认规则
iptables -F
#清空所有自定义规则
iptables -X
#允许来自lo 接口的数据包 某些调用localhost 的应用访问
iptables -A INPUT -i lo -j ACCEPTiptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
#允许从其他地方pingiptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
#通过 ipsec vpn 时， MTU需要减少
iptables -A INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
#允许访问80 端口 443 22 21等
iptables -A INPUT -p tcp --dport 80 -j ACCEPT…
#禁止本机主动发出外部链接 有效防止反弹 shell 攻击
iptables -A OUTPUT -j DROP
#禁止非开放白名单流量进入
iptables -A INPUT -j DROP
#保存命令service iptables save
#配置完重启iptables服务
#注册
systemctl enable iptables.service
#开启服务
systemctl start iptables.service
#查看状态
systemctl status iptables.service
#重启防火墙/etc/init.d/iptables restart
systemctl restart iptables.service

DenyHosts防止暴力破解

yum -y install wget
2、下载安装DenyHosts
wget ‘https://sourceforge.net/projects/denyhosts/files/denyhosts/2.6/DenyHosts-2.6.tar.gz/download’ -O DenyHosts-2.6.tar.gz
3、解压
tar zxvf DenyHosts-2.6.tar.gz
4、进入安装目录，通过python对服务进行安装
cd DenyHosts-2.6
python setup.py install
5、进入主目录进行配置
cd /usr/share/denyhosts
6、 daemon-control-dist ，denyhosts.cfg-dist 是系统提供的配置模板，将这两个文件复制为配置文件
cp daemon-control-dist daemon-control
cp denyhosts.cfg-dist denyhosts.cfg
7、创建链接到初始化文件
ln daemon-control /etc/init.d
启动
/etc/init.d/daemon-control sta
8、配置文件中的几个核心项
/usr/share/denyhosts/denyhosts.cfg
ssh root@IP地址 访问