[root@www ~]# yum install xinetdSetting up Install ProcessPackage 2:xinetd-2.3.14-29.el6.x86_64 already installed and latest  version  Nothing to do# 画面中显示，已经是最新的 xinetd ！所以，已经有安装啰！# 接下来找出 xinetd 所管理的服务群！
[root@www ~]# chkconfig xinetd on <==要先让 xinetd on 后才能看到底 下的[root@www ~]# chkconfig --list....(前面省略)....xinetd based services:chargen-dgram: offchargen-stream: off....(中间省略)....rsync: off　　　　    <==下一小节的范例就用这玩意儿来解释tcpmux-server: offtelnet: on上述结果最终输出的部分就是 xinetd 所管理的服务群啰！上述的服务之防火墙简易设定，都可以透过 TCP wrappers 来管理的

答：由于支持 tcp wrappers 的服务必定包含 libwrap 这一个动态函式库，因此可以使用 ldd 来观察该服务即可。简单的使用方式为：[root@www ~]# ldd $(which rsyslogd sshd xinetd httpd)# 这个方式可以将所有的动态函式库取出来查阅，不过需要眼睛搜寻。# 可以透过底下的方式来处理更快！[root@www ~]# for name in rsyslogd sshd xinetd httpd; do echo $name;> ldd $(which $name) | grep libwrap; donersyslogdsshdlibwrap.so.0 => /lib64/libwrap.so.0 (0x00007fb41d3c9000)xinetdlibwrap.so.0 => /lib64/libwrap.so.0 (0x00007f6314821000)httpd上述的结果中，在该档名档下有出现 libwrap 的，代表有找到该函式库，才有支持tcp wrappers。所以， sshd, xinetd 有支持，
但是 rsyslogd, httpd 这两支程序则不支持。也就是说， httpd 与 rsyslogd 不能够使用 /etc/hosts.{allow|deny}来进行防火墙

[root@www ~]# iptables -L -nChain INPUT (policy ACCEPT)        <==针对 INPUT 链，且预设政策为可接受target prot opt source destination <==说明栏ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED<==第 1 条规则ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0　　　　　　　　　　　　　　 <==第 2 条规则ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 　　　　　　　　　　　　　　 <==第 3 条规则ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22 　　 <==第 4 条规则REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with         　　  <==第 5 条规则icmp-host-prohibitedChain FORWARD (policy ACCEPT)      <==针对 FORWARD 链，且预设政策为可接受target prot opt source destination <==说明栏
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited 
Chain OUTPUT (policy ACCEPT)       <==针对 OUTPUT 链，且预设政策为可接受 
target prot opt source destination

[root@www ~]# iptables -t nat -L -nChain PREROUTING (policy ACCEPT)target prot opt source destinationChain POSTROUTING (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destination

[root@www ~]# iptables-save# Generated by iptables-save v1.4.7 on Fri Jul 22 15:51:52 2011*filter                       <==星号开头的指的是表格，这里为 filter:INPUT ACCEPT [0:0]           <==冒号开头的指的是链，三条内建的链:FORWARD ACCEPT [0:0]         <==三条内建链的政策都是 ACCEPT 啰！:OUTPUT ACCEPT [680:100461]-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT   <==针对 INPUT的规则-A INPUT -p icmp -j ACCEPT-A INPUT -i lo -j ACCEPT              　　　　　　　　　　　 <==这条很重要！针对本机内部接口开放！-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT-A INPUT -j REJECT --reject-with icmp-host-prohibited-A FORWARD -j REJECT --reject-with icmp-host-prohibited   <==针对FORWARD 的规则COMMIT# Completed on Fri Jul 22 15:51:52 2011

[root@www ~]# iptables -F[root@www ~]# iptables -X[root@www ~]# iptables -Z

[root@www ~]# iptables -A INPUT -i eth1 -s 192.168.100.0/24 -j ACCEPT# 由于是内网就接受，因此也可以称之为『信任网域』啰。

[root@www ~]# iptables -A INPUT -i eth1 -s 192.168.100.10 -j ACCEPT[root@www ~]# iptables -A INPUT -i eth1 -s 192.168.100.230 -j DROP# 针对单一 IP 来源，可视为信任主机或者是不信任的恶意来源喔

[root@www ~]# iptables-save# Generated by iptables-save v1.4.7 on Fri Jul 22 16:00:43 2011*filter:INPUT DROP [0:0]:FORWARD ACCEPT [0:0]:OUTPUT ACCEPT [17:1724]-A INPUT -i lo -j ACCEPT-A INPUT -s 192.168.100.0/24 -i eth1 -j ACCEPT-A INPUT -s 192.168.100.10/32 -i eth1 -j ACCEPT-A INPUT -s 192.168.100.230/32 -i eth1 -j DROPCOMMIT# Completed on Fri Jul 22 16:00:43 2011

[root@www ~]# iptables -A INPUT -s 192.168.2.200 -j LOG[root@www ~]# iptables -L -ntarget prot opt source destinationLOG all -- 192.168.2.200 0.0.0.0/0 LOG flags 0 level 4只要有封包来自 192.168.2.200 这个 IP时， 那么该封包的相关信息就会被写入到核心讯息，亦即是 /var/log/messages 这个档案当中

[root@www ~]# iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP

[root@www ~]# iptables -A INPUT -i eth0 -p udp --dport 137:138 -j ACCEPT[root@www ~]# iptables -A INPUT -i eth0 -p tcp --dport 139 -j ACCEPT[root@www ~]# iptables -A INPUT -i eth0 -p tcp --dport 445 -j ACCEPT

[root@www ~]# iptables -A INPUT -i eth0 -p tcp -s 192.168.1.0/24  --sport 1024:65534 --dport ssh -j DROP

[root@www ~]# iptables -A INPUT -i eth0 --dport 21 -j DROPiptables v1.4.7: unknown option `--dport‘Try `iptables -h‘ or ‘iptables --help‘ for more information

[root@www ~]# iptables -A INPUT -i eth0 -p tcp --sport 1:1023  --dport 1:1023 --syn -j DROP

[root@www ~]# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT[root@www ~]# iptables -A INPUT -m state --state INVALID -j DROP如此一来，我们的 iptables 就会主动分析出该封包是否为响应状态，若是的话，就直接予以接受
呵呵！ 这样一来你就不需要针对响应的封包来撰写个别的防火墙规则了！这真是太棒了

[root@www ~]# iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT选项与参数：--mac-source ：就是来源主机的 MAC 啦！

[root@www ~]# vi somefile#!/bin/bashicmp_type="0 3 4 11 12 14 16 18"for typeicmp in $icmp_typedoiptables -A INPUT -i eth0 -p icmp --icmp-type $typeicmp -j ACCEPTdone[root@www ~]# sh somefile