（一）Linux 防火墙（重点(1)，Linux运维最新面试题

数据包过滤匹配流程（重点）

IPTABLES和路由

---

路由功能发生的时间点

 报文进入本机后

• 判断目标主机是否为本机

是：INPUT 流入

否：FORWARD 转发

 报文离开本机之前

• 判断由哪个接口送往下一跳

内核中数据包的传输过程

---

当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去

如果数据包就是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROUTING链输出

如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出

iptables规则

---

规则rule：根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义的处理动作作出处理

匹配条件：默认为与条件，同时满足

1. 基本匹配：IP，端口，TCP的Flags（SYN,ACK等）

2. 扩展匹配：通过复杂高级功能匹配

处理动作：称为target，跳转目标

内建处理动作：

ACCEPT接收,

DROP丢弃（无回应）

REJECT拒绝（有回应）

SNAT,源端口 转换

DNAT目标端口

MASQUERADE,伪装

MARK,打标签

LOG日志

…

自定义处理动作：自定义chain，利用分类管理复杂情形

规则要添加在链上，才生效；添加在自定义上不会自动生效

链chain：

内置链：每个内置链对应于一个钩子函数

自定义链：用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制；只有Hook钩子调用自定义链时，才生效

iptables添加要点

---

iptables规则添加时考量点

 要实现哪种功能：判断添加在哪张表上

 报文流经的路径：判断添加在哪个链上

 报文的流向：判断源和目的

 匹配规则：业务需要

实验环境准备：

Centos7：

systemctl stop firewalld.service

systemctl disable firewalld. service

Centos6：

service iptables stop

chkconfig iptables off

需要卸载虚拟网卡

---

还需要卸载虚拟网卡yum info libvirt-daemon

因为有虚拟网卡，可能导致iptables有些规则不能生效

yum remove libvirt-daemon

并且重新动

三. iptables命令

================================================================================

man 8 iptables

centos7

man iptables-extensions

iptables [-t table] {-A|-C|-D} chain rule-specification

iptables [-t table] -I chain [rulenum] rule-specification

iptables [-t table] -R chain rulenum rule-specification

iptables [-t table] -D chain rulenum

iptables [-t table] -S [chain [rulenum]]

iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options…]

iptables [-t table] -N chain

iptables [-t table] -X [chain]

iptables [-t table] -P chain target

iptables [-t table] -E old-chain-name new-chain-name

rule-specification = [matches…] [target]

match = -m matchname [per-match-options]

target = -j targetname [per-target-options]

例如：

-t 表名 raw, mangle, nat, [filter]默认

相当于iptables -nvL 就等于iptables -t filter -nvL只是省略了默认的filter表

-A 链添加

-I 插入

-R 替换

-s 条件（原地址）

-j 动作target

-D 删除

主要分为：表和链，规则

这里的input是大写

规则格式：

iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]] -j targetname [per-target-options]

可以利用`tcpdump抓包工具判断自己的iptables的具体过程参考

1. 链管理：自定义链

---

自定义链主要是为了方便管理（比如内访问外，外访问内）

-N：new, 自定义一条新的规则链

-X：delete，删除自定义的空的规则链（先取消关联，清空这个链）

-P：Policy，设置默认策略；对filter表中的链而言，其默认策略有：

ACCEPT：接受

DROP：丢弃

-E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除 iptables -E 原名 新名

定义一个内网访问外网的自定义链

iptables -N fromlantointernet

iptables E fromlantointernet TOINTERNET修改名字

将自定定义的规则关联到forward中

也就是在forward中塞入一个规则

iptables -I FORWORD 2 -j TOINTERNET

删除自定义链

iptables -D FORWARD 2

iptables -F TOINTERNET

iptables -X TOINTERNET

注意定义规则千万不能将自己连接主机 那个网段给拒绝了,（可以将允许自己的网关也就是ip.1可以访问的规则放到第一条，将拒绝本网段的规则放在后面）因为有先后顺序，前面的规则满足，后面的就不会会查看

也可以iptables -I INPUT -s ip -j ACCEPT将规则插入到最前面

还有给自己的ip访问权限，不然自己不能ping自己

也可以用计划任务，执行修改规则操作（自动还原，不能让自己连不上去）

注意还有OUTPUT链 等规则也类似

2. 查看：

-L：list, 列出指定鏈上的所有规则，本选项须置后

-n：numberic，以数字格式显示地址和端口号（只能加到L的前面）

-v：verbose，详细信息

-vv 更详细

-x：exactly，显示计数器结果的精确值,而非单位转换后的易读值

–line-numbers：显示规则的序号先后顺序

常用组合：

-vnL

-vvnxL --line-numbers

-S selected,以iptables-save 命令格式显示链上规则

3. 规则管理：

-A：append，追加 讲规则追加到后面

-I(大)：insert, 插入，要指明插入至的规则编号，默认为第一条

-D：delete，删除

(1) 指明规则序号 iptables -D INPUT 1 删除第一条规则

(2) 指明规则本身

-R：replace，替换指定链上的指定规则编号

-F：flush，清空指定的规则链

-Z：zero，置零，重新计数

iptables的每条规则都有两个计数器

(1) 匹配到的报文的个数

(2) 匹配到的所有报文的大小之和

chain：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

让INPUT表重新计数

四. 匹配条件

==========================================================================

基本：通用的，PARAMETERS

扩展：需加载模块，MATCH EXTENTIONS

1、基本匹配条件：parameters

---

无需加载模块，由iptables/netfilter自行提供

-s, --source address[/mask][,…]：

源IP地址或范围

-d, --destination address[/mask][,…]：

目标IP地址或范围

-p, --protocol protocol：指定协议，可使用数字如0（all）

protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or“all“

参看：/etc/protocols

-i, --in-interface name：报文流入的接口；只能应用于数据报文流入环节，（走的那个网卡）

只应用于INPUT、FORWARD、PREROUTING链

-o, --out-interface name：报文流出的接口；只能应用于数据报文流出的环节，

只应用于FORWARD、OUTPUT、POSTROUTING链

-P 可以修改默认 表规则（不建议）

比如将INPUT表的默认规则ACCEPT 改为DROP

iptables -P INPUT DROP

两种思路：

---

1.全拒绝，指定特殊的可以访问

iptables -A INPUT -j REJECT

2.全允许，指定特殊的拒绝

指定从回环网卡进来的数据报文可以访问

iptables -I INPUT 5 -i lo -j ACCEPT

定义：可以从这个网段流出到-d ip

iptables -I OUTPUT 1 -d 192.168.245.0/24 -j ACCEPT

2. 扩展匹配条件：

==============================================================================

需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效

查看帮助 man iptables-extensions

(1)隐式扩展：在使用-p选项指明了特定的协议时，无需再用-m选项指明扩展模块的扩展机制，不需要手动加载扩展模块

1. tcp协议的扩展选项

---

会影响httpd,curl,mysql等

–source-port, --sport port[:port]：匹配报文源端口,可为端口范围

–destination-port,–dport port[:port]：匹配报文目标端口,可为范围

–tcp-flags mask comp

mask 需检查的标志位列表，用,分隔

例如 SYN,ACK,FIN,RST

comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用,分隔

[!] 选项 表示取反 （除了）

示例：

–tcp-flags SYN,ACK,FIN,RST SYN 表示要检查的标志位为

SYN,ACK,FIN,RST四个，其中SYN必须为1，余下的必须为0（第一次握手）

–tcp-flags SYN,ACK,FIN,RST SYN,ACK 第二次握手SYN和ACK为1

–tcp-flags ALL ALL 全为1（不存在）

–tcp_flags ALL NONE 全为0（不存在）‘

--syn：用于匹配第一次握手

相当于：--tcp-flags SYN,ACK,FIN,RST SYN

例如：

先允许自己和windows可以访问

iptables -A INPUT -s 192.168.245.1,172.0.0.1 -j ACCEPT

然后拒绝所有

iptables -A INPUT -j REJECT

让这个只能访问我的httpd服务和mysql（但是ping不通自己）

iptables -I INPUT 3 -s 192.168.245.128 -p tcp --dport 80 -j ACCEPT

iptables -I INPUT 4 -s 192.168.245.128 -p tcp --dport 3306 -j ACCEPT

检查三次握手，第一次SYN=1

iptables -I INPUT 5 -s 192.168.245.128 -p tcp --syn -j REJECT

等价于

iptables -I INPUT 5 -s 192.168.245.128 -p tcp --tcp-falgs SYN,ACK,RSA,FIN SYN -j REJECT

2. udp

---

–source-port, --sport port[:port]：匹配报文的源端口或端口范围

–destination-port,–dport port[:port]：匹配报文的目标端口或端口范围

3. icmp

---

影响ping

–icmp-type {type[/code]|typename}

type/code

0/0 echo-reply icmp应答

8/0 echo-request icmp请求

例如：实现我能ping别人，别人不能ping我（逻辑：自己ping本身就可以发送出去，但如果自己决绝所有INPUT请求，那么只能利用icmp的，应答报文0，接收就可以）

iptables -I INPUT 5 -p icmp --icmp-type 0 -j ACCEPT

(2)显式扩展：必须使用-m选项指明要调用的扩展模块的扩展机制，要手动加载扩展模块

[-m matchname [per-match-options]]

处理动作：

-j targetname [per-target-options]

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Linux运维工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Linux运维全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Linux运维知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip1024b （备注Linux运维获取）

[-m matchname [per-match-options]]

处理动作：

-j targetname [per-target-options]

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Linux运维工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Linux运维全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
[外链图片转存中…(img-t6wNNgcx-1712659244708)]
[外链图片转存中…(img-LXBx30sT-1712659244709)]
[外链图片转存中…(img-JP7YIRd6-1712659244709)]
[外链图片转存中…(img-wUUXF7gK-1712659244709)]
[外链图片转存中…(img-gHkJ0Z22-1712659244710)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Linux运维知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip1024b （备注Linux运维获取）
[外链图片转存中…(img-GR0NsoFN-1712659244710)]