转载自：csdn

CentOS7默认的防火墙不是iptables,而是firewalle.

安装iptable iptable-service

#先检查是否安装了iptables  
service iptables status  
#安装iptables  
yum install -y iptables  
#升级iptables  
yum update iptables   
#安装iptables-services  
yum install iptables-services  

禁用/停止自带的firewalld服务

#停止firewalld服务  
systemctl stop firewalld  
#禁用firewalld服务  
systemctl mask firewalld  

设置现有规则

#查看iptables现有规则  
iptables -L -n  
#先允许所有,不然有可能会杯具  
iptables -P INPUT ACCEPT  
#清空所有默认规则  
iptables -F  
#清空所有自定义规则  
iptables -X  
#所有计数器归0  
iptables -Z  
#允许来自于lo接口的数据包(本地访问)  
iptables -A INPUT -i lo -j ACCEPT  
#开放22端口  
iptables -A INPUT -p tcp --dport 22 -j ACCEPT  
#开放21端口(FTP)  
iptables -A INPUT -p tcp --dport 21 -j ACCEPT  
#开放80端口(HTTP)  
iptables -A INPUT -p tcp --dport 80 -j ACCEPT  
#开放443端口(HTTPS)  
iptables -A INPUT -p tcp --dport 443 -j ACCEPT  
#允许ping  
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT  
#允许接受本机请求之后的返回数据 RELATED,是为FTP设置的  
iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT  
#其他入站一律丢弃  
iptables -P INPUT DROP  
#所有出站一律绿灯  
iptables -P OUTPUT ACCEPT  
#所有转发一律丢弃  
iptables -P FORWARD DROP  

其他规则设定

#如果要添加内网ip信任（接受其所有TCP请求）  
iptables -A INPUT -p tcp -s 45.96.174.68 -j ACCEPT  
#过滤所有非以上规则的请求  
iptables -P INPUT DROP  
#要封停一个IP，使用下面这条命令：  
iptables -I INPUT -s ***.***.***.*** -j DROP  
#要解封一个IP，使用下面这条命令:  
iptables -D INPUT -s ***.***.***.*** -j DROP  

保存规则设定

#保存上述规则  
service iptables save  

开启iptables服务

#注册iptables服务  
#相当于以前的chkconfig iptables on  
systemctl enable iptables.service  
#开启服务  
systemctl start iptables.service  
#查看状态  
systemctl status iptables.service  

解决vsftpd在iptables开启后,无法使用被动模式的问题

1.首先在/etc/sysconfig/iptables-config中修改或者添加以下内容

#添加以下内容,注意顺序不能调换  
IPTABLES_MODULES="ip_conntrack_ftp"  
IPTABLES_MODULES="ip_nat_ftp"  

2.重新设置iptables设置

iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT  

以下为完整设置脚本

#!/bin/sh  
iptables -P INPUT ACCEPT  
iptables -F  
iptables -X  
iptables -Z  
iptables -A INPUT -i lo -j ACCEPT  
iptables -A INPUT -p tcp --dport 22 -j ACCEPT  
iptables -A INPUT -p tcp --dport 21 -j ACCEPT  
iptables -A INPUT -p tcp --dport 80 -j ACCEPT  
iptables -A INPUT -p tcp --dport 443 -j ACCEPT  
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT  
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  
iptables -P INPUT DROP  
iptables -P OUTPUT ACCEPT  
iptables -P FORWARD DROP  
service iptables save  
systemctl restart iptables.service  

原文链接：http://blog.csdn.net/l1028386804/article/details/50779761

#!/bin/sh
service iptables status
yum -y install iptables
yum update iptables
yum -y install iptables-services
systemctl stop firewalld
systemctl mask firewalld
iptables -F
iptables -X
iptables -Z
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j DROP
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
service iptables save
systemctl enable iptables.service
systemctl start iptables.service
systemctl status iptables.service
iptables -L -n

ip6tables 配置参考，配置方法与 iptables 类似

启用 ip6tables：

systemctl start ip6tables
systemctl enable ip6tables

清空原有规则：

ip6tables -F
ip6tables -X
ip6tables -Z

接受已经通过其他规则接受的任何现有连接的流量：

ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

接受所有ICMP数据包。与IPv4不同，阻止ICMPv6流量不是一个好主意，因为IPv6对它的依赖程度更高：

ip6tables -A INPUT -p ipv6-icmp -j ACCEPT

接受从/到本地接口的所有流量：

ip6tables -A INPUT -i lo -j ACCEPT

接受DHCPv6流量。如果你使用无状态自动配置，或者静态配置你的机器，这就没有必要了：

ip6tables -A INPUT -m state --state NEW -m udp -p udp --dport 546 -d fe80::/64 -j ACCEPT

接受ssh和http的新连接：

ip6tables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
ip6tables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

在我们的规则末尾，我们使用 “端口不可达 “拒绝所有不符合规则的流量。这导致另一端出现标准的 “连接拒绝 “消息，并有效地隐藏了我们有一个防火墙的事实。nmap等工具将报告我们所有的端口都是 “关闭 “的，而不是 “过滤 “的，并且更难确定我们甚至有一个防火墙：

ip6tables -A INPUT -j REJECT --reject-with icmp6-port-unreachable
ip6tables -A FORWARD -j REJECT --reject-with icmp6-port-unreachable

设置各个 Chain 的默认规则：

ip6tables -P INPUT DROP
ip6tables -P OUTPUT ACCEPT
ip6tables -P FORWARD DROP

保存配置并重启 ip6tables 服务：

service ip6tables save
systemctl restart ip6tables