Linux中的火墙策略

1.火墙介绍

netfilter

iptables

iptables | firewalld 这个两个工具是用来管理火墙的

dnf install iptables-services -y 安装iptables火墙管理工具

2. 火墙管理工具

iptables的使用

iptables -L 查看火墙策略

iptables -F 清空火墙策略

service iptables -save 保存火墙策略

/etc/sysconfig/iptables 配置文件

3.火墙默认策略

input 输入

output 输出

forward 转发

postrouting 路由之后

prerouting 路由之前

默认的三张表

fileter 经过本机内核的数据

nat 不经过内核的数据

mangle 当fileter和nat表不够用时使用

4.iptables命令

iptables -t 指定表名称

-n 不做解析

-L 查看

-A 添加策略

-p 协议

--dport 目的地端口

-s 来源

-j 动作

ACCEPT 允许

DROP 丢弃

REJECT 拒绝

SNAT 源地址转换

DNAT 目的地地址转换

-N 新建链

-E 更改链名称

-X 删除链

-D 删除规则

-I 插入规则

-R 更改规则

-P 更改默认规则

数据包状态

RELATED 建立过连接的

ESTABLISHED 正在连接的

NEW 新的

开启内核路由功能

sysctl -a | grep ip_forward

编辑/etc/sysctl.conf

net.ipv4.ip_firewalld =1 开启内核路由功能

5. firewalld的管理

1.firewalld 域

trusted 接受所有网络连接

home 用于家庭网络允许接受ssh mdns ipp-client samba-client dhcp-client

work 工作网络工作网络 ssh ipp-client dhcp-client

public 公共网络 ssh dhcp-client

dmz 军级网络允许ssh

block 拒绝所有网络

drop 丢弃

internal 内部网络 ssh mdns ipp-client samba-client dhcp-client

external ipv4地址网路伪装转发 sshd

2. 关于firewalld的设定原理及数据存储

/etc/firewalld 配置目录

/lib/firewalld 火墙模块目录

3. firewalld的管理命令

faldwall-cmd --start 查看火墙状态

faldwall-cmd --get-active-zones 查看火墙中生效的域

faldwall-cmd --get-default-zone 查看默认域

faldwall-cmd --list-all 查看默认域中的火墙策略

faldwall-cmd --list-all -zone=work 查看指定域的火墙策略

faldwall-cmd --set-default-zone=trusted 设定默认域

faldwall-cmd --get-services 查看所有可以设定的服务

faldwall-cmd --permanent --remove-service=cockpit 移除服务

faldwall-cmd --reload 重启服务

faldwall-cmd --permanent --add-source=192.168.1.1/24 --zone=block 指定数据来源访问指定域

faldwall-cmd --permanent --remove-source=192.168.1.1/24 --zone=block 删除指定域中的数据来源

faldwall-cmd --permanent --remove-interface=ens192 --zone=public 删除指定域的网络接口

faldwall-cmd --permanent --add-interface=ens192 --zone=public 添加指定域的网络接口

faldwall-cmd --permanent --chage-interface=ens192 --zone=public 更改网络接口到指定域

6.firewalld的高级规则

firewall-cmd --direct --get-all-rules 查看高级规则

firewalld中两台机器要由a-c通信的话只需要b主机拥有各自网段的网刊ip 执行一下命令即可生效

firewall-cmd --add-masquerade 执行此命令即可