Linux常用命令

发现很多使用过的Linux命令总是忘记,所以打算把常用的命名整理到这里 待更新

防火墙管理工具—iptables

iptables 中基本的命令参数

参数 作用
-P 设置默认策略
-F 清空规则链
-L 查看规则链
-A 在规则链的末尾加入新规则
-I num 在规则链的头部加入新规则
-D 删除某一条规则
-s 匹配来源地址 IP/MASK,加叹号“!”表示除这个 IP 外
-d 匹配目标地址
-i 匹配从这块网卡流入的数据
-o 匹配从这块网卡流出的数据
-p 匹配协议,如 TCP、 UDP、 ICMP
–dport num 匹配目标端口号
-sport num 匹配来源端口号

常用命令

在 iptables 命令后添加-L 参数查看已有的防火墙规则链:

1
iptables -L

在 iptables 命令后添加-F 参数清空已有的防火墙规则链:

1
iptables -F

把 INPUT 规则链的默认策略设置为拒绝:

1
iptables -P INPUT DROP

向 INPUT 链中添加允许 ICMP 流量进入的策略规则:

1
iptables -I INPUT -p icmp -j ACCEPT

删除 INPUT 规则链中刚刚加入的那条策略(允许 ICMP 流量),并把默认策略设置为允许:

1
2
iptables -D INPUT 1
iptables -P INPUT ACCEPT

将 INPUT 规则链设置为只允许指定网段的主机访问本机的 22 端口,拒绝来自其他所有主机的流量:

1
2
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT

注意:防火墙策略规则是按照从上到下的顺序匹配的,因此一定要把允许动作放到拒绝动作前面,否则所有的流量就将被拒绝掉,从而导致任何主机都无法访问我们的服务。

向 INPUT 规则链中添加拒绝所有人访问本机 12345 端口的策略规则:

1
2
iptables -I INPUT -p tcp --dport 12345 -j REJECT
iptables -I INPUT -p udp --dport 12345 -j REJECT

向 INPUT 规则链中添加拒绝 192.168.10.5 主机访问本机 80 端口(Web 服务)的策略规则:

1
iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT

向 INPUT 规则链中添加拒绝所有主机访问本机 1000~1024 端口的策略规则:

1
2
iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT
iptables -A INPUT -p udp --dport 1000:1024 -j REJECT

请特别注意,使用 iptables 命令配置的防火墙规则默认会在系统下一次重启时失效


如果想让配置的防火墙策略永久生效,还要执行保存命令:

1
service iptables save


ACCEPT(允许流量通过)、REJECT(拒绝流量通过)、LOG(记录日志信息)、DROP(拒绝流量通过),DROP是直接将流量丢弃而且不响应;REJECT则会在拒绝流量后再回复一条“您的信息已经收到,但是被扔掉了”信息,从而让流量发送方清晰地看到数据被拒绝的响应信息

防火墙管理工具—firewalld

firewalld 中常用的区域名称及其规则

相较于传统的防火墙管理配置工具, firewalld 支持动态更新技术并加入了区域(zone)
的概念。简单来说,区域就是 firewalld 预先准备了几套防火墙策略集合(策略模板),用户可
以根据生产场景的不同而选择合适的策略集合,从而实现防火墙策略之间的快速切换。

区域 默认策略规则
trusted 允许所有的数据包
home 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关,则允许流量
internal 等同于home区域
work 区域拒绝流入的流量,除非与流出的流量数相关;而如果流量与ssh、ipp-client与

dhcpv6-client服务相关,则允许流量
public | 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、dhcpv6-client服务相关,则允许流量
external | 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
dmz | 拒绝流入的流量,除非与流出的流量相关;而如果流量与 ssh 服务相关,则允许流量
block | 拒绝流入的流量,除非与流出的流量相关
drop | 拒绝流入的流量,除非与流出的流量相关

终端管理工具

firewalld-cmd 命令中使用的参数以及作用

参数 作用
–get-default-zone 查询默认的区域名称
–set-default-zone=<区域名称> 设置默认的区域,使其永久生效
–get-zones 显示可用的区域
–get-services 显示预先定义的服务
–get-active-zones 显示当前正在使用的区域与网卡名称
–add-source= 将源自此 IP 或子网的流量导向指定的区域
–remove-source= 不再将源自此 IP 或子网的流量导向某个指定区域
–add-interface=<网卡名称> 将源自该网卡的所有流量都导向某个指定区域
–change-interface=<网卡名称> 将某个网卡与区域进行关联
–list-all 显示当前区域的网卡配置参数、资源、端口以及服务等信息
–list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等信息
–add-service=<服务名> 设置默认区域允许该服务的流量
–add-port=<端口号/协议> 设置默认区域允许该端口的流量
–remove-service=<服务名> 设置默认区域不再允许该服务的流量
–remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量
–reload 让“永久生效”的配置规则立即生效,并覆盖当前的配置规则
–panic-on 开启应急状况模式
–panic-off 关闭应急状况模式

与 Linux 系统中其他的防火墙策略配置工具一样,使用 firewalld 配置的防火墙策略默认为运行时(Runtime)模式,又称为当前生效模式,而且随着系统的重启会失效。如果想让配置策略一直存在,就需要使用永久(Permanent)模式了,方法就是在用firewall-cmd 命令正常设置防火墙策略时添加–permanent参数,这样配置的防火墙策略就可以永久生效了。但是,永久生效模式有一个“不近人情”的特点,就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效,需要手动执行 firewall-cmd –reload 命令。

常用命令

查看 firewalld 服务当前所使用的区域:

1
firewall-cmd --get-default-zone

查询 eno16777728 网卡在 firewalld 服务中的区域:

1
firewall-cmd --get-zone-of-interface=eno16777728

把 firewalld 服务中 eno16777728 网卡的默认区域修改为 external,并在系统重启后生效。分别查看当前与永久模式下的区域名称:

1
2
3
firewall-cmd --permanent --zone=external --change-interface=eno16777728
firewall-cmd --get-zone-of-interface=eno16777728
firewall-cmd --permanent --get-zone-of-interface=eno16777728

把 firewalld 服务的当前默认区域设置为 public:

1
firewall-cmd --set-default-zone=public

启动/关闭 firewalld 防火墙服务的应急状况模式,阻断一切网络连接(当远程控制服务器时请慎用):

1
2
firewall-cmd --panic-on
firewall-cmd --panic-off

查询 public 区域是否允许请求 SSH 和 HTTPS 协议的流量:

1
2
firewall-cmd --zone=public --query-service=ssh
firewall-cmd --zone=public --query-service=https

把 firewalld 服务中请求 HTTPS 协议的流量设置为永久允许,并立即生效:

1
2
3
firewall-cmd --zone=public --add-service=https
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --reload

把 firewalld 服务中请求 HTTP 协议的流量设置为永久拒绝,并立即生效:

1
2
firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload

把在 firewalld 服务中访问 8080 和 8081 端口的流量策略设置为允许,但仅限当前生效:

1
2
firewall-cmd --zone=public --add-port=8080-8081/tcp
firewall-cmd --zone=public --list-ports

把原本访问本机 888 端口的流量转发到 22 端口,要且求当前和长期均有效:

流量转发命令格式为 firewall-cmd –permanent –zone=<区域> –add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标 IP 地址>

1
2
firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10
firewall-cmd --reload

然后客户端就可以使用ssh命令访问192.168.10.10 主机的 888 端口:

1
2
ssh -p 888 192.168.10.10  //或者
ssh -p 888 root@192.168.10.10

创建会话网络

nmcli 是一款基于命令行的网络配置工具,功能丰富,参数众多。它可以轻松地查看网络信息或网络状态

查看网络状态:

1
2
nmcli connection show
nmcli con show eno16777736

网络回话应用场景:如果我们在公司网络中使用笔记本电脑时需要手动指定网络的IP地址,而回到家中则是使用DHCP自动分配IP地址。这就需要麻烦地频繁修改IP地址,但是使用了网络会话功能后一切就简单多了—只需在不同的使用环境中激活相应的网络会话,可以实现网络配置信息的自动切换了。

使用con-name参数指定公司所使用的网络会话名称company,然后依次用ifname参数指定本机的网卡名称,用`autoconnect no 参数设置该网络会话默认不被自动激活,以及用 ip4 及 gw4 参数:

1
nmcli connection add con-name company ifname ens33 autoconnect no type ethernet ipv4.addresses 192.168.45.10/24 ipv4.gateway 192.168.45.1


使用 con-name 参数指定家庭所使用的网络会话名称 house。因为我们想从外部DHCP服务器自动获得IP地址,因此这里不需要进行手动指定:

1
nmcli connection add con-name house ifname ens33


可以使用 nmcli 命令查看创建的所有网络会话:

1
nmcli connection show


使用nmcli命令配置过的网络会话是永久生效的,下班回家后启用house网络会话,网卡就能自动通过DHCP获取到IP地址了。

1
nmcli connection up house

删除网络会话

1
nmcli connection delete house

如果使用的是虚拟机,请把虚拟机系统的网卡(网络适配器)切换成桥接模式

待整理

1、Linux下关闭终端继续运行进程

后台运行:

1
./test.sh &

就是在相应命令的后面添加 &,其他可执行文件一样

关闭终端之后继续运行:

1
nohup ./test.sh &

显示当前正在执行的进程:

top命令

2、端口及进程管理

查看端口占用情况:

1
lsof -i :端口号

强制中止端口进程:

1
2
3
4
kill -9 $(lsof -i tcp:端口号 -t)

非root用户:
kill -9 $(sudo lsof -i tcp:端口号 -t)


这篇文章中的很多内容来自刘遄老师的《Linux就该这么学》,一来防止忘记,二来方便以后查看。

Donate comment here
-------------本文结束感谢您的阅读-------------
0%