网卡配置

# 编辑网卡
vim /etc/sysconfig/network-scripts/ifcfg-eno16777728
# 重启网卡服务
systemctl restart network

问题：

Job for network.service failed. See 'systemctl status network.service' and 'journalctl -xn' for details.

解决方案

# 执行命令获取 mac 地址
[root@hengfly Desktop]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eno16777728: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:92:1d:e8 brd ff:ff:ff:ff:ff:ff

其中
link/ether 00:0c:29:92:1d:e8 brd ff:ff:ff:ff:ff:ff 中 00:0c:29:92:1d:e8 是mac 地址，在 /etc/sysconfig/network-scripts/ifcfg-eno16777728 网卡配置文件中配置 HWADDR 值为 mac 地址，最终重启网卡服务 systemctl restart network 。

Iptables

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

在进行路由选择前处理数据包（PREROUTING）；
处理流入的数据包（INPUT）；
处理流出的数据包（OUTPUT）；
处理转发的数据包（FORWARD）；
在进行路由选择后处理数据包（POSTROUTING）。

iptables服务的术语中分别是ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是REJECT和DROP的不同点。就DROP来说，它是直接将流量丢弃而且不响应；REJECT则会在拒绝流量后再回复一条“信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

iptables是一款基于命令行的防火墙策略管理工具，具有大量参数，学习难度较大。好在对于日常的防火墙策略配置来讲，大家无需深入了解诸如“四表五链”的理论概念，只需要掌握常用的参数并做到灵活搭配即可，这就足以应对日常工作了。
根据OSI七层模型的定义，iptables属于是数据链路层的服务，所以可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。

iptables中常用的参数以及作用

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加入新规则
-I num	在规则链的头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址IP/MASK，加叹号“!”表示除这个IP外
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议，如TCP、UDP、ICMP
—dport num	匹配目标端口号
—sport num	匹配来源端口号

在iptables命令后添加-L参数查看已有的防火墙规则链： iptables -L
在iptables命令后添加-F参数清空已有的防火墙规则链： iptables -F
把INPUT规则链的默认策略设置为拒绝： iptables -P INPUT DROP
向INPUT链中添加允许ICMP流量进入的策略规则： iptables -I INPUT -p icmp -j ACCEPT
将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量： iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT 和 iptables -A INPUT -p tcp --dport 22 -j REJECT
向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则： iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT

防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

Firewalld

firewalld中常用的区域名称及策略规则

区域	默认规则策略
trusted	允许所有的数据包
home	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

firewall-cmd是firewalld防火墙配置管理工具的CLI命令行界面版本。

firewall-cmd命令中使用的参数以及作用

参数	作用
—get-default-zone	查询默认的区域名称
—set-default-zone=<区域名称>	设置默认的区域，使其永久生效
—get-zones	显示可用的区域
—get-services	显示预先定义的服务
—get-active-zones	显示当前正在使用的区域与网卡名称
—add-source=	将源自此IP或子网的流量导向指定的区域
—remove-source=	不再将源自此IP或子网的流量导向某个指定区域
—add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域
—change-interface=<网卡名称>	将某个网卡与区域进行关联
—list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息
—list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
—add-service=<服务名>	设置默认区域允许该服务的流量
—add-port=<端口号/协议>	设置默认区域允许该端口的流量
—remove-service=<服务名>	设置默认区域不再允许该服务的流量
—remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量
—reload	让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
—panic-on	开启应急状况模式
—panic-off	关闭应急状况模式

使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加 --permanent 参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个“不近人情”的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd —reload命令。

把https协议的流量设置为永久允许放行，并立即生效： firewall-cmd --permanent --zone=public --add-service=https
把http协议的流量设置为永久拒绝，并立即生效： firewall-cmd --permanent --zone=public --remove-service=http
把访问8080和8081端口的流量策略设置为允许，但仅限当前生效： firewall-cmd --zone=public --add-port=8080-8081/tcp
firewall-cmd 格式： firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>

Cockpit驾驶舱管理工具

Cockpit是一个基于网页的图形化工具，天然具备很好的跨平台性，可以用于服务器、容器、虚拟机等等多种管理场景，即便是新手都可以直接上手操作。

# 安装
dnf install cockpit
# 启动
systemctl start cockpit
# 加入到开机启动项
systemctl enable cockpit.socket

访问： 本机地址:9090

linux