防火墙管理工具：

在RHEL 7系统中，firewalld防火墙取代了iptables防火墙。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，

而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。

iptables：

策略与规则链：

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

在进行路由选择前处理数据包（PREROUTING）；处理流入的数据包（INPUT）；处理流出的数据包（OUTPUT）；处理转发的数据包（FORWARD）；在进行路由选择后处理数据包（POSTROUTING）。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。

常用的参数以及作用：

-P：设置默认策略；-F：清空规则链；-L：查看规则链；-A：在规则链的末尾加入新规则；-I num：在规则链的头部加入新规则；-D num：删除某一条规则；-s：匹配来源地址IP/MASK，加叹号“!”表示除这个IP外；-d：匹配目标地址；-i网卡名称：匹配从这块网卡流入的数据；-o网卡名称：匹配从这块网卡流出的数据；-p：匹配协议，如TCP、UDP、ICMP；--dport num：匹配目标端口号；--sport num：匹配来源端口号；

在iptables命令后添加-L参数查看已有的防火墙规则链

firewalld：

RHEL 7系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，

它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

firewalld中常用的区域名称及策略规则：

trusted：允许所有的数据包home：拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量internal：等同于home区域work：拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量public：拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量external：拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量dmz：拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量block：拒绝流入的流量，除非与流出的流量相关drop：拒绝流入的流量，除非与流出的流量相关

firewall-cmd命令中使用的参数以及作用：

--get-default-zone：查询默认的区域名称--set-default-zone=<区域名称>：设置默认的区域，使其永久生效--get-zones：显示可用的区域--get-services：显示预先定义的服务--get-active-zones：显示当前正在使用的区域与网卡名称--add-source=：将源自此IP或子网的流量导向指定的区域--remove-source=：不再将源自此IP或子网的流量导向某个指定区域--add-interface=<网卡名称>：将源自该网卡的所有流量都导向某个指定区域--change-interface=<网卡名称>：将某个网卡与区域进行关联--list-all：显示当前区域的网卡配置参数、资源、端口以及服务等信息--list-all-zones：显示所有区域的网卡配置参数、资源、端口以及服务等信息--add-service=<服务名>：设置默认区域允许该服务的流量--add-port=<端口号/协议>：设置默认区域允许该端口的流量--remove-service=<服务名>：设置默认区域不再允许该服务的流量--remove-port=<端口号/协议>：设置默认区域不再允许该端口的流量--reload：让“永久生效”的配置规则立即生效，并覆盖当前的配置规则--panic-on：开启应急状况模式--panic-off：关闭应急状况模式

与Linux系统中其他的防火墙策略配置工具一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，

方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。

示例：

查看firewalld服务当前所使用的区域

服务的访问控制列表：

TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。

TCP Wrappers服务的控制列表文件中常用的参数

在配置TCP Wrappers服务时需要遵循两个原则：

编写拒绝策略规则时，填写的是服务名称，而非协议名称；建议先编写拒绝策略规则，再编写允许策略规则，以便直观地看到相应的效果。