linux查看系统防火墙设置：在Linux系统下配置企业级防火墙
linux查看系统防火墙设置：在Linux系统下配置企业级防火墙负责过滤目标IP地址是自己本机的数据包 INPUT filter 和主机自身有关，主要负责过滤流入自己的数据包和自己流出的数据包，它是iptables默认的表。 filter表在这3个检查点进行检查：
在Linux系统下配置企业级防火墙
大概配置如图所示：
iptables的四表五链:
四表：
filter
和主机自身有关，主要负责过滤流入自己的数据包和自己流出的数据包，它是iptables默认的表。
filter表在这3个检查点进行检查：
INPUT
负责过滤目标IP地址是自己本机的数据包
FORWARD
负责过滤目标地址不是本机的数据包，但是防火墙的转发机制要开启（在/etc/sysctl.conf里，把 net.ipv4.ip_forward=1）如果不开启会把流经forwad检查点的包丢弃掉
nat
和主机本身无关，负责将源IP地址进行转换，转换成公网IP，因为私网IP是不能与公网直接进行通信的。
还负责将目标地址、端口转换。
prerouting: 用于包在到达防火墙的时候，改变它的目标地址。DNAT 目标地址转换
OUTPUT:用于改变防火墙本机产生的包的目标地址。
postrouting: 用于包在离开防火墙的时候，改变它的源地址。SNAT 源地址转换
raw
mangle
五链：
PREROUTING
INPUT
OUTPUT
POSTROUTING
FORWARD
具体如下图所示：
开始配置企业级防火墙
规则如下：
1、实现 相关的 SNAT 功能。
代理内部的客户机上网， 但是 限制 连接，下午 14:00 – 18:00 之间 不允许 访问 www.taobao.com www.jd.com 网站。
2、实现 DNAT 功能 。将内部服务器 172.16.100.99 映射 到 网关，允许 外部主机访问 172.16.100.99 提供的 web 服务
3、内部 的 10.1.1.0 网段主机， 只能 通过网关访问 172.16.100.99 的web 服务， 但是 管理员 10.1.1.10 不受限制，并绑定MAC ，每个IP只能产生 3 个连接
4、网关主机本身，仅允许 内部 IP 访问自己的 web服务，仅允许 10.1.1.10 ssh 连接自己。
5、防御 外部 主机，主动 连接 内部主机， 仅仅让外部主机能够 访问 172.16.100.99 的 web 服务。
（1） 清空防火墙规则 iptables -F iptables -X iptables -Z iptables -t nat -F iptables -t nat -X iptables -t nat -Z (2) 设置防火墙全局规则 iptables -t filter -P INPUT DROP iptables -t filter -P OUTPUT ACCEPT iptables -t filter -P FORWARD ACCEPT （3）实现内部客户机上网 iptables -t nat -A POSTROUTING -o ens33 -j MASQUERADE （4）内部的 10.1.1.0网段主机，只能通过网关访问 172.16.100.99的web 服务，但是管理员10.1.1.10不受限制，并绑定MAC，每个IP只能产生 3 个连接 iptables -t filter -A FORWARD -i ens39 -d 172.16.100.99 -m mac --mac-source 00:0c:29:0a:51:d1 -s 10.1.1.10 -p tcp --dport 80 -j ACCEPT iptables -t filter -A FORWARD -i ens39 -d 172.16.100.99 -p tcp ! --dport 80 -j DROP iptables -t filter -A INPUT -s 10.1.1.10 -m mac --mac-source 00:0c:29:0a:51:d1 -p tcp --dport 22 -m connlimit ! --connlimit-above 3 -j ACCEPT （5）网关主机本身，仅允许内部 IP访问自己的 web服务，仅允许 10.1.1.10 ssh 连接自己。 iptables -t filter -A INPUT -i ens39 -p tcp --dport 80 -j ACCEPT iptables -t filter -A INPUT -i ens38 -p tcp --dport 80 -j ACCEPT （6）防御外部主机，动连接内部主机，仅仅让外部主机能够 访问 172.16.100.99 的 web 服务。 iptables -t nat -A PREROUTING -i ens33 -d 192.168.72.125 -p tcp --dport 80 -j DNAT --to 172.16.100.99 （7）每天9：00到12：00，下午2：00-18：00禁止访问淘宝网，京东网。 iptables -t filter -A FORWARD -o ens33 -m string --algo kmp --string "taobao" -m time --timestart 1:00 --timestop 4:00 -j DROP iptables -t filter -A FORWARD -o ens33 -m string --algo kmp --string "jd" -m time --timestart 6:00 --timestop 10:00 -j DROP 如有问题，请多多担待！！！！
