linux虚拟机中仅主机模式下桥接网络的四种方法及iptables使用细节！

虚拟机桥接网络

vmware为我们提供了三种网络工作模式，它们分别是：Bridged（桥接模式）、NAT（网络地址转换模式）、Host-Only（仅主机模式）。

打开vmware虚拟机，我们可以在选项栏的“编辑”下的“虚拟网络编辑器”中看到VMnet0（桥接模式）、VMnet1（仅主机模式）、VMnet8（NAT模式），那么这些都是有什么作用呢？其实，我们现在看到的VMnet0表示的是用于桥接模式下的虚拟交换机；VMnet1表示的是用于仅主机模式下的虚拟交换机；VMnet8表示的是用于NAT模式下的虚拟交换机。

同时，在主机上对应的有VMware Network Adapter VMnet1和VMware Network Adapter VMnet8两块虚拟网卡，它们分别作用于仅主机模式与NAT模式下。在“网络连接”中我们可以看到这两块虚拟网卡，如果将这两块卸载了，可以在vmware的“编辑”下的“虚拟网络编辑器”中点击“还原默认设置”，可重新将虚拟网卡还原。此次选择仅主机模式


设置ip地址的网段为11，等下一步测试

接下来，我们就来实际操作，如何设置仅主机。
首先，安装完系统之后，在开启系统之前，点击“编辑虚拟机设置”来设置网卡模式。

点击“网络适配器”，选择“仅主机模式”，然后“确定”
在进入系统之前，我们先确认一下主机的ip地址、网关、DNS等信息。

1.配置文件方法

然后，进入系统编辑网卡配置文件，命令是vim /etc/sysconfig/network-scripts/ifcfg-eno16777736
配置如下：

使用systemctl restart neiwork 命令重新加载网卡

在外部主机中测试成功！

2.使用nmtui命令操作

这次使用频段的ip地址：192.168.11.45地址作区别

主机测试45段成功！

3.使用nm-connection-editor命令修改ip地址

此次使用192.168.11.84地址

点击Edit添加

在外部主机中测试成功

4.在虚拟机外设中选择保存，此次使用192.168.11.56

选择Network Settings

点击设置 更改地址再试一次

将192.168.11.84修改成1、92.168.11.65，实验结果如下：

试验成功。

防火墙管理工具

防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样一来，就可以保证仅有合法的流量在企业内网和外部公网之间流动了。

在RHEL 7系统中，firewalld防火墙取代了iptables防火墙。iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。换句话说，当前在Linux系统中其实存在多个防火墙管理工具，旨在方便运维人员管理Linux系统中的防火墙策略，我们只需要配置妥当其中的一个就足够了。

iptables

在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的firewalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。

各个防火墙管理工具的配置思路是一致的，在掌握了iptables后再学习其他防火墙管理工具时，也有借鉴意义。

策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

在进行路由选择前处理数据包（PREROUTING）；
处理流入的数据包（INPUT）；     *外网-->内网
处理流出的数据包（OUTPUT）；    *外网<--内网
处理转发的数据包（FORWARD）；   *通过第三方
在进行路由选择后处理数据包（POSTROUTING）。

匹配策略规则采取的动作：

ACCEPT（允许）：允许流量通过
LOG（登记）：允许流量通过，但记录日志信息
REJECT（拒绝）：拒绝流量通过且明确给予拒绝的响应（考试时务必用REJECT，让系统明确知道流量被拒绝）
DROP（丢弃）：拒绝流量通过但不响应

基本的命令参数

iptables是一款基于命令行的防火墙策略管理工具，具有大量参数。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。

iptables中常用的参数以及作用

iptables -L                                                         #查看已有的防火墙规则链
iptables -F                                                         #清空已有的防火墙规则链
iptables -L                                                         #再次查看防火墙规则链，发现之前存在的规则链均已被删除
iptables -P INPUT DROP                                              #把INPUT规则链的默认策略设置为拒绝，规则链的默认拒绝动作只能是DROP，不能是REJECT
iptables -L                                                         #查看规则链，显示Chain INPUT (policy DROP)
iptables -I INPUT -p icmp -j ACCEPT                                 #向INPUT链头部中添加允许ICMP流量进入的策略规则
ping -c 4 192.168.10.10                                             #此时可以ping通，但是其余的ssh什么的是不行的
iptables -D INPUT 1                                                 #删除INPUT规则链的第1条规则（即刚刚允许ICMP那条）
iptables -P INPUT ACCEPT                                            #把INPUT规则链默认策略设置为允许
iptables -L                                                         #查看规则链，显示Chain INPUT (policy ACCEPT),ping,ssh什么的都允许
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT    #将INPUT规则链设置为只允许指定网段的主机访问本机的22端口（必须先指明协议才能指明端口号）
iptables -A INPUT -p tcp --dport 22 -j REJECT                       #向INPUT规则链尾部添加拒绝来自所有主机访问本机22端口的规则（结合上一条规则的效果就是只允许指定网段主机访问本机22端口，拒绝其他主机访问）
iptables -L                                                         #查看已有规则链，此时应有2条，一条允许一条拒绝
iptables -I INPUT -p tcp --dport 12345 -j REJECT                    #向INPUT规则链中添加拒绝所有人访问本机12345端口（tcp+udp）的策略规则
iptables -I INPUT -p udp --dport 12345 -j REJECT
iptables -L
iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT       #向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则
iptables -L
iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT                #向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则
iptables -A INPUT -p udp --dport 1000:1024 -j REJECT
iptables -L
service iptables save                                               #让配置的防火墙策略永久生效（防火墙规则默认会在系统下一次重启时失效）

问题描述：

[root@lizhiqiang Desktop]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
[root@lizhiqiang Desktop]# iptables -F
[root@lizhiqiang Desktop]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
[root@lizhiqiang Desktop]# iptables -P INPUT DROP
[root@lizhiqiang Desktop]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)

[root@lizhiqiang Desktop]# iptables -I INPUT -p icmp -j ACCEPT
[root@lizhiqiang Desktop]# iptables -D INPUT 1

[root@lizhiqiang Desktop]# iptables -P INPUT ACCEPT

root@lizhiqiang Desktop]# iptables -I INPUT -s 192.168.11.1/24 -p tcp --dport 22 -j ACCEPT
[root@lizhiqiang Desktop]# iptables -I INPUT -s 192.168.11.1/24 -p tcp --dport 22 -j ACCEPT

模拟虚拟机成功

service iptables save 保存到开机启动项

来源：oschina

链接：https://my.oschina.net/u/4386227/blog/4692488