防火墙的诡异问题，菜鸟求解

biyexp

默认情况下，防火墙的配置
[root@gaoxin ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

我添加了3306
[root@gaoxin ~]# iptables -I INPUT -p tcp -m state --state NEW -m tcp --dport 3306 -j ACCEPT

再使用iptables -L查看，会发现已经添加进去了
[root@gaoxin ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:mysql
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

然后我保存并重启
[root@gaoxin ~]# service iptables save
iptables：将防火墙规则保存到 /etc/sysconfig/iptables：     [确定]
[root@gaoxin ~]# service iptables restart
iptables：清除防火墙规则：                                 [确定]
iptables：将链设置为政策 ACCEPT：filter                    [确定]
iptables：正在卸载模块：                                   [确定]
iptables：应用防火墙规则：                                 [确定]

----------------------------------
到此为止， 这都正常吧。。

但是我如果用setup，关闭防火墙，然后再用setup开启防火墙后



为什么配置就消失了？菜鸟虚心听取求高人解答

[root@gaoxin ~]# iptables -L   又恢复默认的配置了。
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

zongg

1. /etc/init.d/iptables save

复制代码

这和你重新关闭和开启没关系,是你没有保存配置.用上面这个命令,iptables 规则会保存在/etc/sysconfig/iptables文件中.

biyexp

回复 2# zongg

请问， 我还需要用什么命令保存配置？用service iptables save ，还是被覆盖 ，真心不会了，请教


   

zongg

biyexp 发表于 2012-08-15 14:46
回复 2# zongg

请问， 我还需要用什么命令保存配置？用service iptables save ，还是被覆盖 ，真心不会 ...

先写规则再save 不会被覆盖吧.

zongg

如果还被覆盖就和你开启和关闭防火墙有关了,自己测试一下.

biyexp

回复 4# zongg

1、写规则--OK
2、保存--OK
3、用命令重启等等， 都不会被覆盖--OK

4、只要用了setup的防火墙修改，或者关闭再重启之后，之前配置的都会被覆盖掉，也就是只要用了setup的防火墙， 之前用命令做的设置都会被覆盖。


请问这正常吗？


   

Hetflyter

[root@gaoxin ~]# iptables -L
请问一下，你的INPUT链中第3条把所有的包都接受了，下面的已经没有作用了吧？
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited