iptables

在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的fierwalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。

策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为(即放行或阻止)。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

一般而言，防火墙策略规则的设置有两种:

一种是“通”(即放行),

一种是 “堵”(即阻止)。

当防火墙的默认策略为拒绝时(堵)，就要设置允许规则 (通),否则谁都进不来;如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下:
➢在进行路由选择前处理数据包( PREROUTING);
➢处理流入的数据包( INPUT );
➢处理流出的数据包( OUTPUT );
➢处理转发的数据包( FORWARD );
➢在进行路由选择后处理数据包( POSTROUTING )。

一般来说，从内网向外网发送的流量一般都是可控且良性的，因此我们使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网人侵内网的难度。比如在您居住的社区内，物业管理公司有两条规定:禁止小商小贩进入社区;各种车辆在进人社区时都要登记。显而易见，这两条规定应该是用于社区的正门的(流量必须经过的地方)，而不是每家每户的防盗门上。根据前面提到的防火墙策略的匹配顺序，可能会存在多种情况。比如，来访人员是小商小贩，则直接会被物业公司的保安拒之门外，也就需再对车辆进行登记。如果来访人员乘坐辆汽车进人社区正门，则“禁止小商小贩进人社区”的第一条规则就没有被匹配到，因此按照顺序匹配第二条策略，即需要对车辆进行登记。如果是社区居民要进入正门，则这两条规定都不会匹配到，因此会执行默认的放行策略。

但是，仅有策略规则还不能保证社区的安全，保安还应该知道采用什么样的动作来处理这些匹配的流量，比如“允许”、“拒绝”、“登记”、“不理它”。

这些动作对应到iptables服务的术语中分别是ACCEPT(允许流量通过)、REJECT(拒绝流量通过)、LOG(记录日志信息)、DROP (拒绝流量通过)。

“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是REJECT和DROP的不同点。

就DROP来说，它是直接将流量丢弃而且不响应;

REJECT则会在拒绝流量后再回复条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

iptables是一款基于命令行的防火墙策略工具，具有大量参数，学习难度大。

不过大家无须深入了解众多的理论概念，只需要掌握常用的参数并做到灵活搭配就好。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功。iptables就会根据策略规则所预设的动作来处理这些流量。另外，防火墙策略规则的匹配顺序是从上至下的，因此要把控严格，优先级越高的策略规则放在前面，以免发生错误。

以下是iptables的参数，无须死记硬背，慢慢使用理解

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加入新规则
-I num	在规则链的头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址IP/MASK，加叹号“！”表示除这个IP外
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议
--dport num	匹配目标端口号
--sport num	匹配来源端口号

在iptables命令后加 -L 参数查看已有的防火墙规则链

在iptables命令后加 -F 参数清空已有的防火墙规则链

把INPUT规则链的默认策略设置为拒绝

把INPUT规则链改为默认策略设置

前面提到，防火墙策略规则的设置有两种：通和堵

当把INPUT链设置为默认拒绝后，就要在防火墙策略中写入允许策略了，否则所有到来的流量都会被拒接掉。另外。需要注意的是，规则链的默认拒绝动作只能是DROP，而不是REJECT

向INPUT链中添加ICMP流量进入的策略规则：

在日常运维工作中，经常会使用ping命令来检查对方主机是否在线，而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为：

删除INPUT规则链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许：

将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量

再次重申，防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

另外，这里提到的22号端口是ssh服务使用的（有关ssh服务，后续会介绍）

在设置完上述INPUT规则链之后，我们使用192.168.203.0/24网段内主机访问服务器的22端口，效果如下

然后，我们再使用ip地址在192.168.20.0/24，网段内的主机访问服务器的22端口，效果如下

向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则：

向INPUT规则链中添加拒绝192.168.203.100主机访问本机的80端口（Web服务）的策略：

向INPUT规则链中添加拒绝所有主机访问本机1000-1024端口的规则:

使用iptables命令配置的防火墙规则默认会在下次重启时失效，如果想让配置的防火墙策略永久生效，还需要执行保存命令：

firewalld

RHEL7系统中集成了多款防火墙管理工具，其中firewalld服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。

简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的加速切换。

例如，有台笔记本电脑，每天都要在办公室，咖啡厅和家里使用，按照常理来说，这三者的安全性由高到低的顺序排序，应该是家庭，公司办公室，咖啡厅。当前，我们希望为这台笔记本指定如下防火墙策略规则：

在家中允许访问所有服务；

在办公室仅允许访问文件共享服务；

在咖啡厅仅允许上网浏览。

在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标可以自动切换了，从而极大地提升了防火墙策略的应用效率。

firewalld中常见的区域名称（默认为public）以及相应的策略规则

如图

区域	默认策略规则
trusted	允许所有的数据包
home	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、dhcpv6-client、amba-client服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client、dhcpv6-client服务相关，则允许流量
public	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

终端管理工具

firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以长格式来提供的。（Tab自动补齐）

参数	作用
--get-default-zone	查询默认的区域名称
--get-default-zone=<区域名称>	设置默认的区域，使其永久生效
--get-zones	显示可用的区域
--get-services	显示预先定义的服务
--get-active-zones	显示当前正在使用的区域与网卡名称
--add-source=	将源自此IP或子网的流量导向指定的区域
--remove-source=	不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称>	将某个网卡与区域进行关联
--list-all	显示当前区域的网卡配置参数，资源，端口以及服务等信息
--list-all-zones	显示所有区域的网卡配置参数，资源、端口以及服务等信息
--add-service=<服务名>	设置默认区域允许该服务的流量
--add-port=<端口号/协议>	设置默认区域允许该端口的流量
--remove-service=<服务名>	设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量
--reload	让“永久生效”的配置立即生效，并覆盖当前的配置规则
--panic-on	开启应急状况模式
--panic-off	关闭应急状况模式

与Linux系统中其他的防火墙策略配置一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久模式了。方法就是在用firewall-cmd命令正常设置防火墙策略时添加 --permanent 参数，这样配置的防火墙策略就可永久生效了。但是。永久生效有一个特点，就是使用它设置的策略只有在系统重启之后才能生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。

查看firewalld服务当前所使用的区域

查看ens160网卡在firewalld服务中的区域

把firewalld服务中ens160网卡的默认区域修改为external，并在系统重启后生效。分别查看当前永久模式下的区域名称：

把firewalld服务的当前默认区域设置为public

启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接：

firewall-cmd --panic-on

firewall-cmd --panic-off

查询public区域是否允许请求SSH和HTTPS协议流量：

把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效：

把firewalld服务中请求HTTPS协议的流量设置为永久NO，并立即生效：

把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：

把原本访问本机888端口的流量转发到22端口，要且求当前和长期有效：

下一篇我们介绍图形管理工具

Linux基础（iptables与firewalld防火墙）相关推荐

9.Iptables与Firewalld防火墙
第9章 Iptables与Firewalld防火墙章节简述: 保障数据的安全性是继保障数据的可用性之后最为重要的一项工作.防火墙作为公网与内网之间的保护屏障,在保障数据的安全性方面起着至关重要的作用 ...
linux就该这么学第8章Iptables与Firewalld防火墙。
本章讲解了如下内容: ➢ 防火墙管理工具: ➢ iptables: ➢ firewalld: ➢ 服务的访问控制列表. 保障数据的安全性是继保障数据的可用性之后最为重要的一项工作.防火墙作为公网与内网 ...
Iptables与Firewalld防火墙
转载来自:http://www.linuxprobe.com/chapter-08.html tcp,udp都是网络传输协议,承载数据包传输的.tcp是可靠传输,有3次握手机制保证数据传输的可靠性.如 ...
RH254-第二十六节-iptables和firewalld防火墙
防火墙管理工具保证数据的安全性是继可用性之后最为重要的一项工作,防火墙技术作为公网与内网之间的保护屏障,起着至关重要的作用.面对同学们普遍不了解在红帽RHEL7系统中新旧两款防火墙的差异,认识在红帽 ...
第8章 Iptables与Firewalld防火墙
本章分别使用iptables.firewall-cmd.firewall-config和TCP Wrappers等防火墙策略配置服务 iptables服务把用于处理或过滤流量的策略条目称之为规则,多条 ...
Linux系统 iptables 和 firewalld 的那些事
Linux系统 firewalld防火墙一.firewalld概述二.firewalld 与 iptables 的区别三.firewalld 区域的概念 1.firewalld防火墙预定义了9个 ...
Iptables与Firewalld防火墙（最详细说明）
章节简述: 红帽RHEL7系统已经用firewalld服务替代了iptables服务,新的防火墙管理命令firewall-cmd与图形化工具firewall-config. 本章节基于数十个防火墙需求 ...
如何在 Linux 系统中配置 firewalld 防火墙策略
防火墙对于控制进出 Linux 服务器的网络流量至关重要.它能够定义一组防火墙规则来控制主机上的传入流量.本文介绍如何添加.删除.启用和禁用防火墙规则和区域. 什么是FirewallD "f ...
知了堂|iptables与firewalld 防火墙操作配置
一.iptables 防火墙配置 (1)为 filter 表的 INPUT 链添加一条规则,规则为拒绝所有使用 ICMP 协议的数据包.★★ iptables -A INPUT -p icmp -j ...

Linux基础（iptables与firewalld防火墙）

iptables

策略与规则链

firewalld

终端管理工具

Linux基础（iptables与firewalld防火墙）相关推荐

最新文章

热门文章