Centos7防火墙与IPTABLES详解

防火墙定义

防火墙分类

无状态包过滤防火墙

基于单个IP报文进行操作，每个报文都是独立分析

默认规则
- 一切未被允许的都是禁止的
- 一切未被禁止的都是允许的
规则特征
- 协议类型，如TCP、UDP、ICMP、IGMP等
- 源和目的IP地址和端口
- TCP标记，如SYN、ACK、FIN、RST等
- 网络层协议选项，如ICMP ECHO、ICMP REPLY等
- 报文的传递方向，如进入接口还是从接口发出
- 报文流过的接口名，如eth0

有状态包过滤防火墙

自动归类属于同一个会话的所有报文，实现会话的跟踪功能

建立报文的会话状态表，利用状态表跟踪每个会话状态对于内部主机对外部主机的连接请求，防火墙可以认为这是一个会话的开始
访问控制策略
- 报文流动方向和所属服务
- 发起会话和接受会话的终端地址范围
- 会话各阶段的状态

会话状态表

代理防火墙分类

应用层代理

为特定的应用服务提供代理服务，对应用层协议进行解析，也称为应用层网关
优点是实现用户控制、可以对应用层数据进行细粒度的控制，缺点是效率较

低电路层代理

工作在传输层，相当于传输层的中继，能够在两个TCP/UDP套接字之间复制数据
可以同时为不同的应用层协议提供支持
无法提供应用层协议的解析和安全性检查

IPTABLES防火墙

IPTABLE的表、链结构

规则链

规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机

默认包括5种规则链

INPUT：处理入站数据包
OUTPUT：处理出站数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据包

规则表

表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似

默认包括4个规则表

raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）

规则表之间的顺序
raw -> mangle -> nat -> filter

规则链之间的顺序

入站：PREROUTING -> INPUT
出站：OUTPUT -> POSTROUTING
转发：PREROUTING -> FORWARD -> POSTROUTING

规则链内的匹配顺序

按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理

语法构成

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT

几个注意事项

不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写

数据包的常见控制类型

ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配

添加新的规则

-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则

[root@localhost ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT
[root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT
[root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT

查看规则列表

-L：列出所有的规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则的序号

[root@localhost ~]# iptables -n -L INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source          destination
ACCEPT     udp  --  0.0.0.0/0       0.0.0.0/0
ACCEPT     icmp --  0.0.0.0/0       0.0.0.0/0
REJECT     icmp --  0.0.0.0/0       0.0.0.0/0       reject-with icmp-port-unreachable ACCEPT
tcp  --  0.0.0.0/0       0.0.0.0/0

删除、清空规则

-D：删除链内指定序号（或内容）的一条规则
-F：清空所有的规则

[root@localhost ~]# iptables -D INPUT 3
[root@localhost ~]# iptables -n -L INPUT Chain
INPUT (policy ACCEPT) target     prot opt source               destination
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0

Centos7防火墙与IPTABLES详解相关推荐

防火墙之 iptables详解
一.防火墙介绍防火墙,其实说白了讲,就是用于实现Linux下访问控制的功能的,它分为硬件的或者软件的防火墙两种.无论是在哪个网络中,防火墙工作的地方一定是在网络的边缘.而我们的任务就是需要去定义到 ...
iptables详解之filter
iptables详解之filter iptables令很多小伙伴脑阔疼,下面我们来说说如何使用iptables. 一.iptables格式 1.1.iptables 帮助通过iptables --h ...
iptables详解【1】：概念
iptables详解(1):iptables概念文章目录一.防火墙相关概念二.iptables基础三.链的概念四.表的概念五.表链关系六.数据经过防火墙的流程七.规则的概念八.小结 ...
iptables详解及应用（史上最全）
1.1 iptables概念从逻辑上讲.防火墙可以大体分为主机防火墙和网络防火墙. 主机防火墙:针对于单个主机进行防护. 网络防火墙:往往处于网络入口或边缘,针对于网络入口进行防护,服务于防火墙背后 ...
iptables详解--转
出处:http://yijiu.blog.51cto.com/433846/1356254 iptables详解基本概念: 1.防火墙工作在主机边缘:对于进出本网络或者本主机的数据报文,根据事先设定 ...
iptables详解以及企业常用案例
iptables详解以及企业常用案例 iptables采用netfilter网络架构实现包过滤防火墙,可以实现硬件防火墙的常用功能,亦可以在应用方案中作为硬件防火墙的替代品.在本文档里我们将详细介绍i ...
iptables详解(转)
iptables详解前言防火墙,其实说白了讲,就是用于实现Linux下访问控制的功能的,它分为硬件的或者软件的防火墙两种.无论是在哪个网络中,防火墙工作的地方一定是在网络的边缘.而我们的任务就是需 ...
《iptables详解》RHEL6
iptables详解 Iptables原理现在防火墙主要分以下三种类型: 包过滤.应用代理.状态检测包过滤防火墙:现在静态包过滤防火墙市面上已经看不到了,取而代之的是动态包过滤技术的防火墙哈 ...
Iptables 详解与实战案例
目录一.iptables简介二.iptables的表tables与链chains 2.1 四种内建表 2.1.1 Filter表 2.1.2 NAT表 2.1.3 Mangle表 2.1.4 Ra ...