第一步：清空当前的所有规则和计数

iptables -F      #清空所有的防火墙规则

iptables -X      #删除用户自定义的空链

iptables -Z      #清空计数

第二步：配置允许ssh端口连接

iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT  #22为你的ssh端口， -s 192.168.1.0/24表示允许这个网段的机器来连接，

其它网段的ip地址是登陆不了你的机器的。 -j ACCEPT表示接受这样的请求

第三步：允许本地回环地址可以正常使用

iptables -A INPUT -i lo -j ACCEPT  #本地圆环地址就是那个127.0.0.1，是本机上使用的,它进与出都设置为允许

iptables -A OUTPUT -o lo -j ACCEPT

第四步：设置默认的规则

(由于在生产上，我们设置默认的入与转发都不允许，出的允许)

iptables -P INPUT DROP #配置默认的不让进

iptables -P FORWARD DROP #默认的不允许转发

iptables -P OUTPUT ACCEPT #默认的可以出去

第五步：配置白名单

iptables -A INPUT -p all -s 192.168.1.0/24 -j ACCEPT  #允许机房内网机器可以访问

iptables -A INPUT -p all -s 192.168.140.0/24 -j ACCEPT  #允许机房内网机器可以访问

iptables -A INPUT -p tcp -s 183.121.3.7 --dport 3380 -j ACCEPT #允许183.121.3.7访问本机的3380端口

第六步：开启相应的服务端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT #开启80端口，因为web对外都是这个端口

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT #允许被ping

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #已经建立的连接得让它进来

第七步：保存规则到配置文件中

因为刚刚的所有的规则都还是在内存中的，如果重启机器或者执行service iptables restart都会让其它失效，所以我们要把它保存在文件中，让它重启的时候能够被加载到。

[root@zejin238 ~]# cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak #任何改动之前先备份，请保持这一优秀的习惯

[root@zejin238 ~]# iptables-save > /etc/sysconfig/iptables

[root@zejin238 ~]# cat /etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Wed Sep 28 18:06:07 2016

*filter

:INPUT DROP [8:632]

:FORWARD DROP [0:0]

:OUTPUT ACCEPT [4:416]

-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 22 -j ACCEPT

-A INPUT -i lo -j ACCEPT

-A INPUT -s 192.168.1.0/24 -j ACCEPT

-A INPUT -s 192.168.140.0/24 -j ACCEPT

-A INPUT -s 183.121.3.7/32 -p tcp -m tcp --dport 3380 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-A OUTPUT -o lo -j ACCEPT

COMMIT

# Completed on Wed Sep 28 18:06:07 2016