关闭特定端口

iptables -A INPUT -p tcp --dport 1521 -j ACCEPT
允许特定IP访问所有端口
 
iptables -I INPUT -s 10.108.11.178 -j ACCEPT
允许特定IP访问特定端口
 
iptables -I DOCKER-USER !  -s  10.108.11.178  -p tcp --dport 1521 -j DROP
iptables  -t filter -nL --line-number
iptables -D INPUT 1
清空所有规则
 
iptables -F
iptables -X
iptables -Z
永久保存规则
 
#第一种方案
yum install iptables  iptables-services -y 
systemctl start iptables.service && systemctl enable iptables.service
service iptables save
#第二种方案
iptables-save > /etc/iptables/iptables.rules
iptables–restore < /etc/iptables/iptables.rules
但是这样的话就将系统的所有能力都开放给了Docker容器 
有一个image为aaa的将启动为容器名为bbb的且在容器内需要使用iptables功能，可以使用–privileged=true来进行开启，如：
docker run --privileged=true -d -p 4489:4489/tcp --name bbb aaa
方法二：部分开放 
对于iptables需要的权限进行开放，其它的权限不予开放
--cap-add NET_ADMIN --cap-add N
通过以上命令创建新的镜像文件，run -p参数开放新端口出来；实际使用上不方便。
宿主机(host)上修改iptables 规则，开放容器的响应端口；参考网上的命令
iptables -t nat -A DOCKER -p tcp -dport 8080 -j DNAT --to-destination 172.17.0.2:8080
当我们创建nginx镜像时，并且启动nginx时，我们只能在容器内部区访问n
                                    1.编辑docker.service文件
忘记编辑方法的老铁，可参考： https://blog.csdn.net/leinminna/article/details/97103557
具体命令如下：
vim /usr/lib/systemd/system/docker.service
在ExecStart=/usr/bin/dockerd 后插入  -H tcp://0.0.0.0:2375 -...
CentOS 配置防火墙操作实例（启、停、开、闭端口）：
注：防火墙的基本操作命令：
查询防火墙状态 : [root@localhost ~]# serviceiptables status
停止防火墙 : [root@localhost ~]# serviceiptables stop
启动防火墙 : [root@localhost ~]# serviceiptables start
重启防火墙 ...
                                    参考了文章<win10 Docker 创建Centos7 并使用xshell成功连接>实现了xsheel连接docker，但是docker中的端口在外部不能直接访问。后来搜到简书上的文章<Mac下 Docker 动态添加端口>，但是在"进入screen"步骤失败，一直报错"screen is terminating"，后来参考菜鸟教程上的<Docker commit 命令>，先"docker commit :从容器创建一个新的镜像"，然后执行"docker run ：创建
                                    在Debian系统中，默认没有安装防火墙，可以通过清空防火墙策略，删除相关屏蔽规则。在CentOS 7、Red Hat和Alibaba Cloud Linux 2。3.把attached后台运行的容器转换为前台detached运行模式。说明：[$Iptables]为防火墙策略的备份文件地址。注意：清空策略前，请务必备份防火墙策略。依次执行以下命令，备份防火墙策略。执行以下命令，清空防火墙策略。1.停止运行所有的容器。2.删除正在运行的容器。
 Docker的应用防火墙
SecDocker是一个Go应用程序，充当Docker的防火墙。 它旨在接收去往Docker API /套接字的所有流量，并丢弃包含未授权参数的请求。 您可以提供规则和规范以及适用于每个请求的一般限制，并在到达Docker守护程序时修改流量。
 该应用程序旨在透明地运行。 为了正常工作，您必须将流量重定向到此工具，而无需对其进行修改。 最简单的方法（特别是在测试环境中）是使用iptables 。
 sudo iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 2376 -j REDIRECT --to-port 8999
 将外部流量重定向到SecDocker
回购中提供了一个示例配置文件config.yml
 配置文件具有以下字段：
要加载的插件列表