CSF（configserver firewall）是一种基于iptables的防火墙，为实现iptables规则提供了更简单的方法。有时我们需要添加一些特定的规则（例如，CSF未涵盖的IPtables规则）来添加CSF。如果我们直接从shell使用iptables命令添加这些规则，它们将在下次CSF重启时被删除。
在Linux上安装了CSF防火墙之后，本篇文章将介绍如何使用CSF添加自定义iptables规则。
CSF提供在CSF规则设置之前或之后执行的前脚本和后脚本。例如，如果想打开3306端口（默认mysql）到特定的IP，可以在脚本前或脚本后添加以下规则
csfpre.sh：在csf配置iptables之前运行外部命令
csfpost.sh：在csf配置iptables之后运行外部命令
在CSF规则之前
创建一个文件/etc/csf/csfpre.sh并添加iptables规则，希望在csf应用自己的规则之前执行这些规则。
iptables -I INPUT -s1.2.3.4-p tcp -m state --state NEW -m tcp --dport3306-j ACCEPT
在CSF规则之后
创建一个文件/etc/csf/csfpost.sh并添加iptables规则，希望在csf将自己的规则添加到防火墙之后应用这些规则。
iptables -I INPUT -s1.2.3.4-p tcp -m state --state NEW -m tcp --dport3306-j ACCEPT
重启CSF
要重新启动csf，只需输入下面的命令并查看结果。CSF产生大量的输出，因此可能无法在一个脚本中看到整个输出，因此还可以添加更多命令来查看页面结果。
# csf -r | more
见下面输出的一些部分
... ... Deleting chain `LOCALOUTPUT' Deleting chain `LOGDROPIN' Deleting chain `LOGDROPOUT'Running /etc/csf/csfpre.shDROP tcp opt -- in * out * 0.0.0.0/0 -> 0.0.0.0/0 tcp dpt:67 DROP udp opt -- in * out * 0.0.0.0/0 -> 0.0.0.0/0 udp dpt:67 ... ... ... ACCEPT tcp opt -- in * out !lo 0.0.0.0/0 -> 8.8.8.8 tcp dpt:53 LOCALOUTPUT all opt -- in * out !lo 0.0.0.0/0 -> 0.0.0.0/0 LOCALINPUT all opt -- in !lo out * 0.0.0.0/0 -> 0.0.0.0/0 LOCALOUTPUT all opt in * out !lo ::/0 -> ::/0 LOCALINPUT all opt in !lo out * ::/0 -> ::/0Running /etc/csf/csfpost.sh
本篇文章到这里就已经全部结束了，更多其他精彩内容可以关注PHP中文网的linux教程视频栏目！
