centos封ip centos7怎么配置ip

2025-1-9

今天给各位分享centos封ip的知识，其中也会对centos7怎么配置ip进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！

怎么阻止centos7主动访问外网

1. IP封禁（这个是我们平时用得最多的）

# firewall-cmd--permanent--add-rich-rule="rule family='ipv4' source address='222.222.222.222' reject"单个IP

# firewall-cmd--permanent--add-rich-rule="rule family='ipv4' source address='222.222.222.0/24' reject" IP段

# firewall-cmd--permanent--add-rich-rule="rule family=ipv4 source address=192.168.1.2 port port=80 protocol=tcp accept"单个IP的某个端口

这个是我们用得最多的。封一个IP，和一个端口 reject拒绝 accept允许

当然，我们仍然可以通过 ipset来封禁 ip

# firewall-cmd--permanent--zone=public--new-ipset=blacklist--type=hash:ip

# firewall-cmd--permanent--zone=public--ipset=blacklist--add-entry=222.222.222.222

封禁网段

# firewall-cmd--permanent--zone=public--new-ipset=blacklist--type=hash:net

# firewall-cmd--permanent--zone=public--ipset=blacklist--add-entry=222.222.222.0/24

倒入 ipset规则

# firewall-cmd--permanent--zone=public--new-ipset-from-file=/path/blacklist.xml

然后封禁 blacklist

# firewall-cmd--permanent--zone=public--add-rich-rule='rule source ipset=blacklist drop'

2、IP封禁和端口

# firewall-cmd--permanent--add-rich-rule="rule family=ipv4 source address=192.168.1.2 port port=80 protocol=tcp accept"

只对192.168.1.2这个IP只能允许80端口访问（拒绝访问只需把 accept换成 reject、删除该规则把–add-rich-rule改成–remove-rich-rule即可）

# firewall-cmd--permanent--add-rich-rule="rule family=ipv4 source address=192.168.1.2/24 port port=80 protocol=tcp accept"

只对192.168.1.2这个IP段只能允许80端口访问（拒绝访问只需把 accept换成 reject、删除该规则把–add-rich-rule改成–remove-rich-rule即可）

3、双网卡内网网卡不受防火墙限制

# firewall-cmd--permanent--zone=public--add-interface=eth1

公网网卡–zone=public默认区域

# firewall-cmd--permanent--zone=trusted--add-interface=eth2

内网网卡–zone=trusted是受信任区域可接受所有的网络连接

重新载入以生效

# firewall-cmd--reload

硬件服务器CentOS操作系统安全加固操作说明

执行记录

一、服务器安全加固

1.1服务器安全加固目的

确保项目应用运行正常，操作系统遵循合理安全设计和规则，对默认操作系统进行必要配置。

在服务器完成操作系统升级后进行。

1.2服务器操作系统安全加固

1.2.1操作系统升级

目的：确保操作系统安装正确补丁包。

命令：执行升级操作。

1.2.2操作系统用户设置

目的：设立正确用户，分配合理角色与密码。

Root密码：根据IT人员建议设置，或使用默认建议密码。

devops账户：用于系统配置与远程登录，禁止远程Root登录。

建议devops账户密码。

添加用户：根据需求创建合理用户与角色。

1.2.3操作系统远程登陆

禁用root与devops账号远程登录，禁止空密码。

操作：修改SSH配置文件，使用vi编辑并取消注释。

1.2.4安装fail2ban

fail2ban监控系统日志，匹配错误信息执行屏蔽动作。

添加EPEL，执行安装命令。

配置fail2ban服务，创建或编辑jail.local文件。

应用文件顺序：jail.conf, jail.d/*.conf, jail.local, jail.d/*.local。

1.2.4.1配置fail2ban

打开jail.local，配置内容。

重新启动fail2ban服务。

1.2.4.2查看fail2ban状态

查看fail2ban状态。

查看各模块状态。

1.2.4.3手工解封IP

手动解封IP。

1.3服务器操作系统安全加固确认

Centos系统 ip命令使用方法

[root@Linux~]# ip [option] [动作] [命令]

参数：

option：设定的参数，主要有：

-s：显示出该设备的统计数据(statistics)，例如总接受封包数等；

动作：就是是可以针对哪些网络参数进行动作，包括有：

link：关于设备(device)的相关设定，包括 MTU, MAC地址等等

addr/address：关于额外的 IP设定，例如多 IP的实现等等；

route：与路由有关的相关设定

上面的语法我们可以知道， ip除了可以设定一些基本的网络参数之外，还能够进行额外的 IP设定，包括多 IP的实现，真是太完美了！下面我们就分三个部分(link, addr, route)来介绍这个 ip命令。

关于设备(device)的相关设定： ip link

ip link可以设定与设备(device)有关的相关设定，包括 MTU以及该网络设备的 MAC等等，当然也可以启动(up)或关闭(down)某个网络设备。整个语法是这样的：

[root@linux~]# ip [-s] link show==单纯的查阅该设备相关的信息

[root@linux~]# ip link set [device] [动作与参数]

参数：

show：仅显示出这个设备的相关内容，如果加上-s会显示更多统计数据；

set：可以开始设定项目， device指的是 eth0, eth1等等设备代号；

动作与参数：包括以下动作：

up|down：启动(up)或关闭(down)某个设备，其他参数使用预设的以太网参数；

address：如果这个设备可以更改 MAC，用这个参数修改；

name：给予这个设备一个特殊的名字；

mtu：设置最大传输单元。

范例一：显示出所有的设备信息

[root@linux~]# ip link show

1: lo: LOOPBACK,UP,10000 mtu 16436 qdisc noqueue

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

2: eth0: BROADCAST,MULTICAST,UP,10000 mtu 1500 qdisc pfifo_fast qlen 1000

link/ether 00:50:fc:22:9a:cb brd ff:ff:ff:ff:ff:ff

3: sit0: NOARP mtu 1480 qdisc noop

link/sit 0.0.0.0 brd 0.0.0.0

[root@linux~]# ip-s link show eth0

2: eth0: BROADCAST,MULTICAST,UP,10000 mtu 1500 qdisc pfifo_fast qlen 1000

link/ether 00:50:fc:22:9a:cb brd ff:ff:ff:ff:ff:ff

RX: bytes packets errors dropped overrun mcast

484011792 2247372 0 0 0 0

TX: bytes packets errors dropped carrier collsns

2914104290 2867753 0 0 0 0

使用 ip link show可以显示出整个设备的硬件相关信息，如上所示，包括 MAC地址、MTU等等，比较有趣的应该是那个 sit0的设备了，那个 sit0的设备是将IPv4和 IPv6的封包进行转换，对于我们仅使用 IPv4的网络是没有作用的。 lo及 sit0都是主机内部自行设定的。而如果加上-s的参数后，则这个网卡的相关统计信息就会被列出来，包括接收(RX)及传送(TX)的封包数量等等，详细的内容与 ifconfig所输出的结果相同。

范例二：启动、关闭与设定设备的相关信息

[root@linux~]# ip link set eth0 up

#启动eth0这个设备；

[root@linux~]# ip link set eth0 down

#关闭eth0这个设备；

[root@linux~]# ip link set eth0 mtu 1000

#更改 MTU为1000 bytes，单位就是 bytes。

更新网卡的 MTU使用 ifconfig也可以实。如果是要更改『网卡代号、 MAC地址的信息』的话，那可就得使用 ip了，设定前需要先关闭该网卡，否则会不成功。如下所示：

范例三：修改网卡代号、MAC等参数

[root@linux~]# ip link set eth0 name vbird

SIOCSIFNAME: Device or resource busy

#因为该设备目前是启动的，所以不能这样做设定。你应该要这样做：

[root@linux~]# ip link set eth0 down==关闭设备

[root@linux~]# ip link set eth0 name vbird==重新设定

[root@linux~]# ip link show==查看信息

2. vbird: BROADCAST,MILTICASE mtu 900 qdisc pfifo_fast qlen 1000

link/ehter 00:40:d0:13:c3:46 brd ff:ff:ff:ff:ff:ff

#呵呵，连网卡代号都可以改变！不过，玩玩后记得改回来啊！

#因为我们的 ifcfg-eth0还是使用原本的设备代号！避免有问题，要改回来

[root@linux~]# ip link set vbird name eth0==设备改回来

[root@linux~]# ip link set eth0 address aa:aa:aa:aa:aa:aa

[root@linux~]# ip link show eth0

#如果你的网卡支持MAC更改的话，

#那么上面这个命令就可以更改你的网卡MAC了！

#不过，还是那句老话，测试完之后请立刻改回来！

在这个设备的硬件相关信息设定，上面包括 MTU, MAC以及传输的模式等等，都可以在这里设定。有趣的是那个 address的项目，那个项目后面接的可是MAC地址而不是IP地址很容易搞错啊！切记切记！更多的硬件参数可以使用 man ip查阅一下与 ip link有关的设定。

关于额外的 IP相关设定： ip address

如果说 ip link是与 OSI七层模型的第二层数据链路层有关的话，那么 ip address(ip addr)就是与第三层网络层有关的了。主要是在设定与 IP有关的各项参数，包括 netmask, broadcast等等。

[root@linux~]# ip address show==查看IP参数

[root@linux~]# ip address [add|del] [IP参数] [dev?备名] [相关参数]

参数：

show：单纯的显示出设备的 IP信息；

add|del：进行相关参数的增加(add)或删除(del)设定，主要有：

IP参数：主要就是网域的设定，例如 192.168.100.100/24之类的设定；

dev：这个 IP参数所要设定的设备，例如 eth0, eth1等等；

centos封ip centos7怎么配置ip

怎么阻止centos7主动访问外网

硬件服务器CentOS操作系统安全加固 操作说明

Centos系统 ip命令使用方法

硬件服务器CentOS操作系统安全加固操作说明