Linux常用命令

发现很多使用过的Linux命令总是忘记，所以打算把常用的命名整理到这里 待更新

防火墙管理工具—iptables

iptables 中基本的命令参数

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加入新规则
-I num	在规则链的头部加入新规则
-D	删除某一条规则
-s	匹配来源地址 IP/MASK，加叹号“!”表示除这个 IP 外
-d	匹配目标地址
-i	匹配从这块网卡流入的数据
-o	匹配从这块网卡流出的数据
-p	匹配协议，如 TCP、 UDP、 ICMP
–dport num	匹配目标端口号
-sport num	匹配来源端口号

常用命令

在 iptables 命令后添加-L 参数查看已有的防火墙规则链：

iptables -L

在 iptables 命令后添加-F 参数清空已有的防火墙规则链：

iptables -F

把 INPUT 规则链的默认策略设置为拒绝：

iptables -P INPUT DROP

向 INPUT 链中添加允许 ICMP 流量进入的策略规则：

iptables -I INPUT -p icmp -j ACCEPT

删除 INPUT 规则链中刚刚加入的那条策略（允许 ICMP 流量），并把默认策略设置为允许：

iptables -D INPUT 1
iptables -P INPUT ACCEPT

将 INPUT 规则链设置为只允许指定网段的主机访问本机的 22 端口，拒绝来自其他所有主机的流量：

iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT

注意：防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

向 INPUT 规则链中添加拒绝所有人访问本机 12345 端口的策略规则：

iptables -I INPUT -p tcp --dport 12345 -j REJECT
iptables -I INPUT -p udp --dport 12345 -j REJECT

向 INPUT 规则链中添加拒绝 192.168.10.5 主机访问本机 80 端口（Web 服务）的策略规则：

iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT

向 INPUT 规则链中添加拒绝所有主机访问本机 1000～1024 端口的策略规则：

iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT
iptables -A INPUT -p udp --dport 1000:1024 -j REJECT

请特别注意，使用 iptables 命令配置的防火墙规则默认会在系统下一次重启时失效

如果想让配置的防火墙策略永久生效，还要执行保存命令：

service iptables save

ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过），DROP是直接将流量丢弃而且不响应；REJECT则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息

# 防火墙管理工具—firewalld
## firewalld 中常用的区域名称及其规则

> 相较于传统的防火墙管理配置工具， firewalld 支持动态更新技术并加入了区域（zone）
的概念。简单来说，区域就是 firewalld 预先准备了几套防火墙策略集合（策略模板），用户可
以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。

区域 | 默认策略规则
:—- | :—-
trusted | 允许所有的数据包
home | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关,则允许流量
internal | 等同于home区域
work | 区域拒绝流入的流量,除非与流出的流量数相关；而如果流量与ssh、ipp-client与
dhcpv6-client服务相关，则允许流量
public | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz | 拒绝流入的流量，除非与流出的流量相关；而如果流量与 ssh 服务相关，则允许流量
block | 拒绝流入的流量，除非与流出的流量相关
drop | 拒绝流入的流量，除非与流出的流量相关

## 终端管理工具

firewalld-cmd 命令中使用的参数以及作用

参数 | 作用
:—- | :—-
–get-default-zone | 查询默认的区域名称
–set-default-zone=<区域名称> | 设置默认的区域，使其永久生效
–get-zones | 显示可用的区域
–get-services | 显示预先定义的服务
–get-active-zones | 显示当前正在使用的区域与网卡名称
–add-source= | 将源自此 IP 或子网的流量导向指定的区域
–remove-source= | 不再将源自此 IP 或子网的流量导向某个指定区域
–add-interface=<网卡名称> | 将源自该网卡的所有流量都导向某个指定区域
–change-interface=<网卡名称> | 将某个网卡与区域进行关联
–list-all | 显示当前区域的网卡配置参数、资源、端口以及服务等信息
–list-all-zones | 显示所有区域的网卡配置参数、资源、端口以及服务等信息
–add-service=<服务名> | 设置默认区域允许该服务的流量
–add-port=<端口号/协议> | 设置默认区域允许该端口的流量
–remove-service=<服务名> | 设置默认区域不再允许该服务的流量
–remove-port=<端口号/协议> | 设置默认区域不再允许该端口的流量
–reload | 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
–panic-on | 开启应急状况模式
–panic-off | 关闭应急状况模式

与 Linux 系统中其他的防火墙策略配置工具一样，使用 firewalld 配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd 命令正常设置防火墙策略时添加–permanent参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个“不近人情”的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行 firewall-cmd –reload 命令。

## 常用命令

查看 firewalld 服务当前所使用的区域：

firewall-cmd --get-default-zone

查询 eno16777728 网卡在 firewalld 服务中的区域：

firewall-cmd --get-zone-of-interface=eno16777728

把 firewalld 服务中 eno16777728 网卡的默认区域修改为 external，并在系统重启后生效。分别查看当前与永久模式下的区域名称：

firewall-cmd --permanent --zone=external --change-interface=eno16777728
firewall-cmd --get-zone-of-interface=eno16777728
firewall-cmd --permanent --get-zone-of-interface=eno16777728

把 firewalld 服务的当前默认区域设置为 public：

firewall-cmd --set-default-zone=public

启动/关闭 firewalld 防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）：

firewall-cmd --panic-on
firewall-cmd --panic-off

查询 public 区域是否允许请求 SSH 和 HTTPS 协议的流量：

firewall-cmd --zone=public --query-service=ssh
firewall-cmd --zone=public --query-service=https

把 firewalld 服务中请求 HTTPS 协议的流量设置为永久允许，并立即生效：

firewall-cmd --zone=public --add-service=https
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --reload

把 firewalld 服务中请求 HTTP 协议的流量设置为永久拒绝，并立即生效：

firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload

把在 firewalld 服务中访问 8080 和 8081 端口的流量策略设置为允许，但仅限当前生效：

firewall-cmd --zone=public --add-port=8080-8081/tcp
firewall-cmd --zone=public --list-ports

把原本访问本机 888 端口的流量转发到 22 端口，要且求当前和长期均有效：

流量转发命令格式为 firewall-cmd –permanent –zone=<区域> –add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标 IP 地址>

firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10
firewall-cmd --reload

然后客户端就可以使用ssh命令访问192.168.10.10 主机的 888 端口：

ssh -p 888 192.168.10.10  //或者
ssh -p 888 root@192.168.10.10

# 创建会话网络

> nmcli 是一款基于命令行的网络配置工具，功能丰富，参数众多。它可以轻松地查看网络信息或网络状态

查看网络状态：

nmcli connection show
nmcli con show eno16777736

网络回话应用场景：如果我们在公司网络中使用笔记本电脑时需要手动指定网络的IP地址，而回到家中则是使用DHCP自动分配IP地址。这就需要麻烦地频繁修改IP地址，但是使用了网络会话功能后一切就简单多了—只需在不同的使用环境中激活相应的网络会话，可以实现网络配置信息的自动切换了。

使用con-name参数指定公司所使用的网络会话名称company，然后依次用ifname参数指定本机的网卡名称，用`autoconnect no 参数设置该网络会话默认不被自动激活，以及用 ip4 及 gw4 参数:

nmcli connection add con-name company ifname ens33 autoconnect no type ethernet ipv4.addresses 192.168.45.10/24 ipv4.gateway 192.168.45.1

—

使用 con-name 参数指定家庭所使用的网络会话名称 house。因为我们想从外部DHCP服务器自动获得IP地址，因此这里不需要进行手动指定：

nmcli connection add con-name house ifname ens33

—

可以使用 nmcli 命令查看创建的所有网络会话：

nmcli connection show

—

使用nmcli命令配置过的网络会话是永久生效的，下班回家后启用house网络会话，网卡就能自动通过DHCP获取到IP地址了。

nmcli connection up house

删除网络会话

nmcli connection delete house

如果使用的是虚拟机，请把虚拟机系统的网卡（网络适配器）切换成桥接模式

待整理

1、Linux下关闭终端继续运行进程

后台运行：

./test.sh &

就是在相应命令的后面添加 &，其他可执行文件一样

关闭终端之后继续运行：

nohup ./test.sh &

显示当前正在执行的进程：

top命令

2、端口及进程管理

查看端口占用情况：

lsof -i :端口号

强制中止端口进程：

kill -9 $(lsof -i tcp:端口号 -t)

非root用户：
kill -9 $(sudo lsof -i tcp:端口号 -t)

这篇文章中的很多内容来自刘遄老师的《Linux就该这么学》，一来防止忘记，二来方便以后查看。