Linux云计算 |【第二阶段】SECURITY-DAY5

于 2024-08-22 23:33:43 发布
阅读量442 收藏 12
点赞数 11
分类专栏： Linux云计算培训 文章标签： linux 云计算 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/AnJern/article/details/141435163
版权

主要内容：

iptables防火墙（4表、5链）、filter表控制、扩展匹配、nat表典型应用

一、防火墙概述

1）防火墙技术：隔离内部网络和外部网络的隔离技术；

① 从逻辑上讲，防火墙可以大体分为主机防火墙和网络防火墙：

  • a) 主机防火墙：针对于单个主机进行防护
  • b) 网络防火墙：往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网；

网络防火墙和主机防火墙并不冲突，可以理解为，网络防火墙主外(集体)，主机防火墙主内(个人)

② 从物理上讲，防火墙可以分为硬件防火墙和软件防火墙：

  • a) 硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高；
  • b) 软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低；

2）Linux的防火墙体系主要针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙；

3）Linux防火墙相互调用关系：firewalld工具--->iptables工具--->netfilter安全框架；

  • a) RHEL7默认使用firewalld作为防火墙，但firewalld底层还是调用包过滤防火墙iptables；
  • b) iptables其实不是真正的防火墙，是一个命令行工具，位于用户空间，可把它理解成一个客户端代理，用户通过iptables这个代理，将用户的安全设定执行到对应的”netfilter安全框架”中，而这个”安全框架”才是真正的防火墙；
  • c) netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间；

netfilter是Linux操作系统核心层内部的一个数据包处理模块，具有如下功能：

  • ① 网络地址转换(Network Address Translate)
  • ② 数据包内容修改；
  • ③ 数据包过滤的防火墙功能；

netfilter和iptables都用来指Linux防火墙，区别如下：

1）netfilter：

  • - 位于Linux内核中的包过滤功能体系
  • - 称为Linux防火墙的“内核态”

2）iptables：

  • - 位于/sbin/iptables，用来管理防火墙规则的工具
  • - 称为Linux防火墙的“用户态”
  • - iptables防火墙默认的规则表，链结构

二、iptables防火墙基础

iptables是按照规则来办事的，规则就是网络管理员预定义的条件，一般的定义为”假设数据包符合定义的条件，就按条件处理该数据包”；规则存储在内核空间的信息包过滤表中，配置iptabls防火墙的主要工作就是添加、修改和删除这些规则；

1）iptables的表、链结构

iptables防火墙具有“四表五链”，防火墙规则要求写在特定表的特定链中；

① 表的概念（“四表”）

概念：将具有相同功能的规则的集合叫做”表”，不同功能的规则放置在不同的表中进行管理；

  • - filter数据过滤表：负责过滤功能，防火墙（内核模块：iptables_filter）
  • - nat地址转换表：负责网络地址转换功能（内核模块：iptable_nat）
  • - mangle包标记表：负责拆解报文，做出修改，并重新封装的功能（内核模块：iptable_mangle）
  • - raw状态跟踪表：关闭nat表上启用的连接追踪机制（内核模块：iptable_raw）

② 链的概念（“五链”）

概念：配置的规则不止一条，将这些规则串到一个链条上的时候，就形成了”链”，当防火墙对经过的数据报文匹配规则时，都要将”链”上的所有规则匹配一遍，如果有符合条件的规则，则执行规则对应的动作；

  • - INPUT链：处理入站数据包
  • - OUTPUT链：处理出站数据包
  • - FORWARD链：处理转发数据包
  • - POSTROUTING链：在进行路由选择后处理数据包
  • - PREROUTING链：在进行路由选择前处理数据包

2）数据包过滤的匹配流程：

规则表之间的顺序：raw > mangle > nat > filter

规则链之间的顺序：

  • 入站：PREROUTING > INPUT
  • 出站：OUTPUT > POSTROUTING
  • 转发：PREROUTING > FORWARD > POSTROUTING

规则链内的匹配顺序：

  • ① 按顺序依次检查，匹配规则即停止（LOG策略例外）
  • ② 若找不到相匹配的规则，则按规则链的默认策略处理

3）iptables基本语法

管理程序位置： /sbin/iptables

  • 格式：iptables  [-t 表名]  链选项  [链名]  [条件]  [-j 控制类型]

规则表的常用选项：

[-t]  指定规则表（filter、nat、mangle、raw）

规则链的常用选项：（增、删、查）

类别

选项

描述

添加规则

-A

在规则链的末尾加一条规则

-I

在规则链的开头（或指定序号）插入一条规则

查看规则

-L

列出所有的规则条目

-n

以数字形式显示地址、端口等信息

--line-numbers

查看规则时，显示规则的序号

删除规则

-D

删除规则链内指定序号（或内容）的一条规则

-F

清空当前表的所有规则

默认策略

-P

为指定的规则链设置默认规则（策略）

数据包的常见控制类型：

  • ACCEPT：允许数据包通过
  • DROP：直接丢弃数据包，不给任何回应信息（过了超时时间才会有回应）
  • REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息
  • LOG：记录日志信息，然后传给下一条规则继续匹配
  • SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题
  • DNAT：目标地址转换
  • MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上（伪装IP）
  • REDIRECT：在本机做端口映射；

可查看相关帮助：man ipatables、iptables-apply、iptables-save、iptables-restore、iptables-extensions

注意事项：

  • 1）不指定表名时，默认指filter表
  • 2）不指定链名时，默认指表内的所有链
  • 3）除非设置链的默认策略，否则必须指定匹配条件（按顺序匹配，匹配即停止，如果没有找到匹配条件，则执行防火墙默认策略）
  • 4）选项、链名、控制类型使用大写字母，其余均为小写
  • 5）iptables规则都是临时规则，仅仅保存在内存中，下次重启后又默认重新载/etc/sysconfig/iptables防火墙配置文件。若想把当前添加的规则在重启后仍能使用，可以先通过/sbin/service iptables save命令，将当前规则保存至配置文件中。

案例：iptables的基本使用方法

案例要求：练习iptables命令的使用，按照要求完成以下任务：

  • 1）关闭firewalld，开启iptables服务
  • 2）查看防火墙规则
  • 3）追加、插入防火墙规则
  • 4）删除、清空防火墙规则

实验网络拓扑：

实验准备：关闭firewalld服务

[root@proxy ~]# systemctl stop firewalld.service   //停止服务
[root@proxy ~]# systemctl disable firewalld.service   //关闭服务

例如1：查看并添加规则（使client无法Ping访问proxy）

[root@proxy ~]# iptables -t filter -L    //列出filter表所有规则
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
 
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination   

补充：不指定规则表默认为filter表、不指定规则链默认为该表的所有规则链；

[root@proxy ~]# iptables -t filter -I INPUT -p icmp -j REJECT    //添加规则
[root@proxy ~]# iptables -t filter -L   
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     icmp --  anywhere             anywhere             reject-with icmp-port-unreachable
 
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination       
  
[root@proxy ~]# iptables -t filter -nL   //以数字形式列出规则的地址、端口信息
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
 
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

 测试：

[root@client ~]# ping 192.168.4.5    //添加规则前（正常ping通）
PING 192.168.4.5 (192.168.4.5) 56(84) bytes of data.
64 bytes from 192.168.4.5: icmp_seq=1 ttl=255 time=0.492 ms
64 bytes from 192.168.4.5: icmp_seq=2 ttl=255 time=0.387 ms
...
[root@client ~]# ping 192.168.4.5    //添加规则后（目标网络不可达）
PING 192.168.4.5 (192.168.4.5) 56(84) bytes of data.
From 192.168.4.5 icmp_seq=1 Destination Port Unreachable
From 192.168.4.5 icmp_seq=2 Destination Port Unreachable
...

 更换数据包控制类型DROP

[root@proxy ~]# iptables -F    //清空filter表规则
[root@proxy ~]# iptables -t filter -I INPUT -p icmp -j DROP   //添加规则
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0           

测试：

[root@client ~]# ping 192.168.4.5     //添加规则后（访问目标地址无响应）
PING 192.168.4.5 (192.168.4.5) 56(84) bytes of data.
^C
--- 192.168.4.5 ping statistics ---
50 packets transmitted, 0 received, 100% pa  cket loss, time 48999ms

例如2：追加、插入规则（-A、-I）

[root@proxy ~]# iptables -F    //清空filter表规则
[root@proxy ~]# iptables -nL INPUT   //列出INPUT链的规则
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
[root@proxy ~]# iptables -A INPUT -p tcp -j ACCEPT
[root@proxy ~]# iptables -A INPUT -p udp -j ACCEPT
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0   
  • 解释1：追加规则至filter表中INPUT链的末尾，允许任何人使用TCP协议访问本机；
  • 解释2：追加规则至filter表中INPUT链的末尾，允许任何人使用UDP协议访问本机；
[root@proxy ~]# iptables -I INPUT -p icmp -j ACCEPT
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0        
  • 解释3：插入规则至filter表中INPUT链的开头，允许任何人使用ICMP协议访问本机；
[root@proxy ~]# iptables -I INPUT 2 -p icmp -j ACCEPT           
[root@proxy ~]# iptables -nL INPUT --line-numbers   //查看规则，显示规则的序号
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           
4    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0   
  • 解释4：插入规则至filter表中INPUT链的编号为2（第2行），允许任何人使用ICMP协议访问本机；

注意：添加规则中的条件，使用[-p]指定协议名或协议号（4层协议）

例如3：查看规则（-L、-nL）

[root@proxy ~]# iptables -L INPUT   //列出filter表的INPUT链所有规则
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            
ACCEPT     udp  --  anywhere             anywhere   
 
[root@proxy ~]# iptables -nL INPUT   //以数字形式列出规则的地址、端口信息
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0
 
[root@proxy ~]# iptables -nL INPUT --line-numbers   //查看规则，显示规则的序号
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           
4    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0      

例如4：删除规则（-D、-F）

[root@proxy ~]# iptables -D INPUT 2    //删除filter表中INPUT链的第2条规则
[root@proxy ~]# iptables -nL INPUT --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0  
 
[root@proxy ~]# iptables -F     //不指定表，默认为filter表
解释：清空filter表中所有链的防火墙规则
[root@proxy ~]# iptables -t nat -F
解释：清空nat表中所有链的防火墙规则
[root@proxy ~]# iptables -t mangle -F
解释：清空mangle表中所有链的防火墙规则
[root@proxy ~]# iptables -t raw -F
解释：清空raw表中所有链的防火墙规则

例如5：设置防火墙默认规则（-P）

如果没有找到可匹配的规则条件，则执行防火墙默认策略

注意：默认规则只能设置DROP和ACCEPT（不需要[-j]指定）

[root@proxy ~]# iptables -F
[root@proxy ~]# iptables -t filter -P INPUT DROP   //设置INPUT默认规则为DROP
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy DROP)
target     prot opt source      destination  

注意：此时修改默认规则为DROP，且规则下并未设置其它允许SSH数据包访问，则导致SSH访问中断，需要通过virt-manager打开虚拟机终端进行默认规则修改；

[root@proxy ~]# iptables -t filter -P INPUT ACCEPT   /设置INPUT默认规则为ACCEPT
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination  

补充：按照匹配顺序：先匹配规则，若没有找到可匹配的规则，再执行防火墙默认策略；

例如1：有可匹配的规则，则执行ACCEPT规则，默认规则(policy DROP)忽略

[root@proxy ~]# iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
[root@proxy ~]# iptables -t filter -P INPUT DROP
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22

例如2：按照匹配顺序，由于第一条规则未有操作类型，最终执行可匹配的规则ACCEPT；

[root@proxy ~]# iptables -F
[root@proxy ~]# iptables -A INPUT -p icmp    //不指定操作类型，按默认规则处理
[root@proxy ~]# iptables -A INPUT -p icmp -j ACCEPT
[root@proxy ~]# iptables -nL
Chain INPUT (policy DROP)
target     prot opt source               destination         
           icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           

例如3：按照匹配顺序，最终执行可匹配的规则ACCEPT；

[root@proxy ~]# iptables -F
[root@proxy ~]# iptables -A INPUT -p icmp -j ACCEPT
[root@proxy ~]# iptables -A INPUT -p icmp -j DROP
[root@proxy ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
DROP       icmp --  0.0.0.0/0            0.0.0.0/0  

二、filter过滤和转发控制

根据防火墙保护的对象不同，防火墙可以分为主机型防火墙与网络型防火墙，

  • 主机型防火墙：主要保护的是服务器本机（过滤威胁本机的数据包）
  • 网络型防火墙：主要保护的是防火墙后面的其他服务器（如web服务器、FTP服务器等）

1）基本的匹配条件

通用匹配：可直接使用，不依赖于其它条件或扩展；（包括网络协议、IP地址、网络接口等条件）

隐含匹配：要求以特定的协议匹配作为前提；（包括端口、TCP标记、ICMP类型等条件）

类别

选项

用法

通用匹配

协议匹配

-p 协议名

地址匹配

-s 源地址、-d目标地址

接口匹配

-i 接收数据的网卡、-o 发送数据的网卡

隐含匹配

端口匹配

--sport 源端口、--dport 目标端口

ICMP类型匹配

--icmp-type ICMP类型（reguest请求、reply回应）

需要取反条件时，用叹号【!】

补充：生产环境中，假设客户端浏览器访问目标WEB服务器，防火墙设置了浏览器服务的源端口限制，由于浏览器服务的源端口是随机的，设了限制也会失效，所以一般情况下不会限制--sport端口，除非源端口固定；

案例1：主机型防火墙案例

插入过滤规则，拒绝所有主机使用tcp协议访问本机的80端口

[root@proxy ~]# iptables -I INPUT -p tcp --dport 80 -j REJECT

插入过滤规则，拒绝192.168.2.100访问本机

[root@proxy ~]# iptables -I INPUT -s 192.168.2.100 -j REJECT

插入过滤规则，拒绝使用tcp协议访问本机192.168.2.5的80端口

[root@proxy ~]# iptables -I INPUT -d 192.168.2.5 -p tcp --dport 80 -j REJECT

插入过滤规则，拒绝eth0网卡接收数据是使用tcp协议访问本机的80端口

[root@proxy ~]# iptables -I INPUT -i eth0 -p tcp --dport 80 -j REJECT

追加过滤规则，丢弃192.168.2.0/24网络中所有主机发送给本机的所有数据包

[root@proxy ~]# iptables -A INPUT -s 192.168.2.0/24 -j DROP

追加过滤规则，拒绝114.212.33.12使用tcp协议远程连接本机ssh（22端口）

[root@proxy ~]# iptables -A INPUT -s 114.212.33.12 -p tcp --dport 22 -j REJECT

案例2：网络型防火墙案例

网络型防火墙的网络拓扑：

注意：由于跨不同网段，proxy主机的路由转发功能需要打开；

步骤1：网络环境准备

1）client主机配置IP、添加网关

[root@client ~]# nmcli connection modify eth0 ipv4.method manual \
ipv4.addresses 192.168.4.10/24 autoconnect yes
[root@client ~]# nmcli connection modify eth0 ipv4.gateway 192.168.4.5
[root@client ~]# nmcli connection up eth0
[root@client ~]# iptables -F

2）proxy主机配置两个不同网段的IP，并开启路由转发

[root@proxy ~]# nmcli connection modify eth0 ipv4.method manual \
ipv4.addresses 192.168.4.5/24 autoconnect yes
[root@proxy ~]# nmcli connection up eth0
[root@proxy ~]# nmcli connection modify eth1 ipv4.method manual \
ipv4.addresses 192.168.2.5/24 autoconnect yes
[root@proxy ~]# nmcli connection up eth1
[root@proxy ~]# iptables -F

Linux内核默认支持软路由功能，通过修改内核参数即可开启或关闭路由转发功能

[root@proxy ~]# echo 0 > /proc/sys/net/ipv4/ip_forward     //关闭路由转发
[root@proxy ~]# echo 1 > /proc/sys/net/ipv4/ip_forward     //开启路由转发

补充：以上操作仅当前有效，计算机重启后无效；

[root@proxy ~]# echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf

补充：修改/etc/sysctl.conf配置文件，可以实现永久有效规则；

3）web1主机配置IP、添加网关

[root@web1 ~]# nmcli connection modify eth0 ipv4.method manual \
ipv4.addresses 192.168.2.100/24 autoconnect yes
[root@web1 ~]# nmcli connection modify eth0 ipv4.gateway 192.168.2.5
[root@web1 ~]# nmcli connection up eth0

测试：使用client访问web1确定网络连通性（192.168.4.10 --> 192.168.2.100）

[root@client ~]# ping 192.168.2.100
PING 192.168.2.100 (192.168.2.100) 56(84) bytes of data.
64 bytes from 192.168.2.100: icmp_seq=1 ttl=254 time=0.775 ms
64 bytes from 192.168.2.100: icmp_seq=2 ttl=254 time=1.01 ms

4）web1主机上启动http服务

[root@web1 ~]# yum -y install httpd
[root@web1 ~]# echo "test page" > /var/www/html/index.html
[root@web1 ~]# cat /var/www/html/index.html
test page
[root@web1 ~]# systemctl restart httpd
[root@web1 ~]# ss -nlptu | grep :80
tcp    LISTEN     0      128      :::80                   :::*                   users:(("httpd",pid=649,fd=4),("httpd",pid=648,fd=4),("httpd",pid=647,fd=4),("httpd",pid=646,fd=4),("httpd",pid=645,fd=4),("httpd",pid=644,fd=4))

测试：没有防火墙规则的情况下client访问web服务

[root@client ~]# curl http://192.168.2.100    //正常访问
test page

步骤2：设置proxy主机的防火墙规则，保护防火墙后面的Web服务器

[root@proxy ~]# iptables -I FORWARD -s 192.168.4.10 -p tcp --dport 80 -j REJECT     //使用FORWARD链，处理转发数据包
[root@proxy ~]# iptables -nL FORWARD
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     tcp  --  192.168.4.10         0.0.0.0/0            tcp dpt:80 reject-with icmp-port-unreachable

测试：有防火墙规则的情况下client访问web服务

[root@client ~]# curl http://192.168.2.100    //拒绝访问
curl: (7) Failed connect to 192.168.2.100:80; 拒绝连接

 

案例3：禁ping的相关策略

ping的流程（A主机—ping—B主机）如图所示：

1）思考：直接禁ICMP所导致问题

[root@proxy ~]# iptables -I INPUT -p icmp -j DROP    //拒绝所有使用ICMP协议访问的主机
  • 问题1：设置规则后，其他主机确实无法ping本机，本机也无法ping其他主机；
  • 问题2：当本机ping其他主机，其他主机回应也是使用icmp，导致对方的回应被丢弃；

2）禁止其他主机ping本机，允许本机ping其他主机（--icmp-type ICMP类型）

[root@proxy ~]# iptables -F
[root@proxy ~]# iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 8

解释：仅禁止入站的ping请求（reguest请求），但 不拒绝入站的ping回应包（reply回应）

验证：使用client通过ping访问proxy

[root@client ~]# ping 192.168.4.5    //Ping失败
PING 192.168.4.5 (192.168.4.5) 56(84) bytes of data.
^C
--- 192.168.4.5 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 2999ms

验证：使用proxy通过ping访问client

[root@proxy ~]# ping 192.168.4.10   //Ping成功
PING 192.168.4.10 (192.168.4.10) 56(84) bytes of data.
64 bytes from 192.168.4.10: icmp_seq=1 ttl=255 time=0.413 ms
64 bytes from 192.168.4.10: icmp_seq=2 ttl=255 time=0.506 ms

 

 补充：关于ICMP的类型，可以参考help帮助

[root@proxy ~]# iptables -p icmp --help
echo-reply (pong)
echo-request (ping)
...

三、防火墙扩展规则

前提：有对应的防火墙模块支持

常见的扩展条件类型：

类别

选项

用法

扩展匹配

MAC地址匹配

-m mac --mac-source MAC地址

多端口匹配

-m multiport --sports 源端口列表

-m multiport --dports 目标端口列表

IP范围匹配

-m iprange --src-range IP1-IP2

-m iprange --drc-range IP1-IP2

案例要求：熟悉使用iptables的扩展规则，实现更丰富的过滤功能，完成以下任务：

  • 1）根据MAC地址封锁主机
  • 2）在一条规则中开放多个TCP服务
  • 3）根据IP范围设置封锁规则

iptables防火墙在基本过滤条件的基础上还扩展了很多其他条件，需使用[-m]参数来启动扩展功能；

  • 格式：iptables 选项 链名称 -m 扩展模块 --具体扩展条件 -j 操作类型
  • 查看帮助：man ipatables、iptables-extensions

案例1：根据MAC地址过滤（mac）

1）思考：根据IP过滤的规则，当对方修改IP后，防火墙会失效

[root@proxy ~]# iptables -I INPUT -s 192.168.4.10 -p tcp --dport 22 -j DROP

解释：禁止192.168.4.10使用ssh远程本机，但当client主机修改IP地址后，该规则就会失效；所以可根据MAC地址过滤，可以防止这种情况的发生；

2）根据MAC地址，设置规则过滤

方法1：使用nmap扫描对方主机的MAC地址（软件包：nmap-6.40-13.el7.x86_64）

[root@proxy ~]# nmap -n -sP 192.168.4.10
Starting Nmap 6.40 ( http://nmap.org ) at 2021-05-11 15:45 CST
Nmap scan report for 192.168.4.10
Host is up (0.00030s latency).
MAC Address: 52:54:00:75:08:5D (QEMU Virtual NIC)
Nmap done: 1 IP address (1 host up) scanned in 0.05 seconds

方法2：查看client的MAC地址信息

[root@client ~]# ip link show eth0
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT group default qlen 1000
link/ether 52:54:00:75:08:5d brd ff:ff:ff:ff:ff:ff

添加防火墙规则，过滤MAC地址，使用扩展模块mac，条件--mac-source

[root@proxy ~]# iptables -A INPUT -p tcp --dport 22 -m mac --mac-source 52:54:00:75:08:5D -j REJECT

解释：拒绝mac地址是52:54:00:75:08:5D的主机使用tcp协议远程本机ssh（22端口）

验证：使用client通过SSH访问proxy，查看效果

[root@client ~]# ssh 192.168.4.5
ssh: connect to host 192.168.4.5 port 22: Connection refused

案例2：基于多端口设置过滤规则（multiport）

1）添加防火墙规则，一次过滤多端口，使用扩展模块multiport，条件--dports

[root@proxy ~]# iptables -A INPUT -p tcp -m multiport --dports 20,25,80,110,143,16501:16800 -j DROP
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 20,25,80,110,143,16501:16800

解释：一次性拒绝TCP协议是20,25,80,110,143,16501到16800的所有端路口

注意：由于限制的是个多个目的端口，--dport需加s（即--dports，--sports同理）

提示：多端口还可限制多个源端口，但因为源端口不固定，一般不会使用，限制多个源端口的参数是--sports.

案例3：根据IP地址范围设置规则（iprange）

1）禁止从 192.168.4.0/24 网段其他的主机ssh远程登录本机

[root@proxy ~]# iptables -A INPUT -p tcp --dport 22 -s 192.168.4.0/24 -j DROP

2）允许从 192.168.4.10-192.168.4.20 主机ssh远程登录本机

[root@proxy ~]# iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 192.168.4.10-192.168.4.20 -j ACCEPT
[root@proxy ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22 source IP range 192.168.4.10-192.168.4.20

常见报错：设置IP范围顺序要从小到大

xt_iprange: range 192.168.4.255-10.7.5.20 is reversed and will never match

正常输入：

[root@proxy ~]# iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 10.7.5.20-192.168.4.255 -j ACCEPT

四、配置SNAT实现共享上网

案例要求：设置防火墙规则，允许位于局域网中的主机可以访问外网，主要包括下列服务：

  • 1）搭建内外网案例环境
  • 2）配置SNAT策略实现共享上网访问

实验拓扑图：

假设192.168.2.0/24网络为外部网络，192.168.4.0/24为内部网络；

在外部网络中有一台web1服务器192.168.2.100，因都设置了网关，client可以访问此web服务器。但如果查看web1的日志就会发现，日志里记录的是192.168.4.10在访问网页，并没有实现NAT的地址转换（生产环境中，外网web服务器收到的应该是proxy的地址，而不是proxy不做NAT转换，直接转发出来的web1私网地址）

[root@web1 ~]# cat /var/log/httpd/access_log
192.168.4.10 - - [11/May/2021:14:49:45 +0800] "GET / HTTP/1.1" 200 10 "-" "curl/7.29.0"
192.168.4.10 - - [11/May/2021:14:52:43 +0800] "GET / HTTP/1.1" 200 10 "-" "curl/7.29.0"

所以需要实现的效果是client访问web1服务器，要将192.168.4.10数据包源地址NAT通过proxy转换为地址192.168.2.5后再访问web服务器（模拟公司内部的电脑使用的是私有IP，访问外网就需要NAT转换为公司的外网IP后才可以访问公网的服务）

步骤1：设置防火墙规则，实现IP地址的伪装

1）确保proxy主机开启了路由转发功能

[root@proxy ~]# echo 1 > /proc/sys/net/ipv4/ip_forward      //开启路由转发
[root@proxy ~]# echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf

2）设置防火墙规则，实现SNAT地址转换

[root@proxy ~]# iptables -F
[root@proxy ~]# iptables -t nat -A POSTROUTING -s 192.168.4.0/24 -j SNAT --to-source 192.168.2.5
[root@proxy ~]# iptables -t nat -nL POSTROUTING
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       tcp  --  192.168.4.0/24       0.0.0.0/0            tcp dpt:80 to:192.168.2.5

解释：SNAT源地址转换，--to-source外网接口的源IP地址；

测试：Client访问web1网页，并登陆web1主机查看HTTPD访问日志

[root@client ~]# curl 192.168.2.100
test page
[root@web1 ~]# cat /var/log/httpd/access_log
192.168.4.10 - - [11/May/2021:14:49:45 +0800] "GET / HTTP/1.1" 200 10 "-" "curl/7.29.0"
192.168.2.5 - - [11/May/2021:17:17:19 +0800] "GET / HTTP/1.1" 200 10 "-" "curl/7.29.0"

通过日志会发现，客户端是先转化成192.168.2.5之后访问web服务器！

扩展知识：地址伪装策略

主要针对外网接口的IP不固定的情况，可以执行下面的地址伪装，动态伪装IP

[root@proxy ~]# iptables -t nat -A POSTROUTING -s 192.168.4.0/24 -j MASQUERADE

补充：iptables规则都是临时规则，如果需要永久保留规则需要执行如下命令:

安装iptables-services并启动服务，保存防火墙规则。

[root@proxy ~]# yum -y install iptables-services
[root@proxy ~]# systemctl start iptables.service
[root@proxy ~]# systemctl enable iptables.service
[root@proxy ~]# service iptables save    //保存防火墙规则
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

例如：

[root@proxy ~]# iptables -I FORWARD -s 192.168.4.10 -p tcp --dport 80 -j REJECT
[root@proxy ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
[root@proxy ~]# cat /etc/sysconfig/iptables     //查看
# Generated by iptables-save v1.4.21 on Tue May 11 17:33:28 2021
*nat
:PREROUTING ACCEPT [28:3252]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
# Completed on Tue May 11 17:33:28 2021
# Generated by iptables-save v1.4.21 on Tue May 11 17:33:28 2021
*filter
:INPUT ACCEPT [14:1024]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8:1216]
-A FORWARD -s 192.168.4.10/32 -p tcp -m tcp --dport 80 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Tue May 11 17:33:28 2021

思维导图：

小结：

本篇章节为【第二阶段】SECURITY-DAY5 的学习笔记，这篇笔记可以初步了解到 iptables防火墙（4表、5链）、filter表控制、扩展匹配、nat表典型应用。除此之外推荐参考相关学习网址：

Tip：毕竟两个人的智慧大于一个人的智慧，如果你不理解本章节的内容或需要相关笔记、视频，可私信小安，请不要害羞和回避，可以向他人请教，花点时间直到你真正的理解

小安运维日记
关注
  • 11
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Python库 | ec2-security-groups-dumper-1.3.tar.gz
03-04
python库。资源全名：ec2-security-groups-dumper-1.3.tar.gz
Python库 | Flask-Security-Too-4.1.1.tar.gz
04-08
资源分类：Python库 所属语言：Python 资源全名：Flask-Security-Too-4.1.1.tar.gz 资源来源：官方 安装方法：https://lanzao.blog.csdn.net/article/details/101784059
Linux云计算 |【第二阶段】SECURITY-DAY3
小安的运维专栏
08-22 660
Prometheus监控服务器、Prometheus被监控端、Grafana监控可视化
Linux云计算 |【第二阶段】SECURITY-DAY1
小安的运维专栏
08-21 957
监控基础（系统监控命令、监控软件）、Zabbix监控服务端部署、Zabbix监控客户端部署、创建监控主机、调用监控模板、自定义key、创建模板、应用集、监控项、绑定模板；
Linux云计算 |【第二阶段】SECURITY-DAY4
最新发布
小安的运维专栏
08-22 524
Kali系统、扫描与抓包、Nginx安全加固、Linux基本防护
Linux云计算 |【第二阶段】SECURITY-DAY2
小安的运维专栏
08-21 676
Zabbix报警机制，Zabbix进阶操作、监控案例
PyPI 官网下载 | django-security-logger-0.3.6.tar.gz
01-27
**PyPI 官网下载 | django-security-logger-0.3.6.tar.gz** 这个压缩包文件`django-security-logger-0.3.6.tar.gz`来源于Python的官方包仓库PyPI（Python Package Index），它是Python开发者们分享和下载Python库的...
PyPI 官网下载 | django-security-logger-1.3.30.tar.gz
01-31
2. **安全日志记录**：django-security-logger是专门为Django设计的，用于记录与安全相关的事件，如登录失败、异常处理、敏感操作等。这有助于开发者追踪潜在的安全问题，提高应用的安全性。 3. **版本管理**：版本...
PyPI 官网下载 | pyobjc-framework-Security-6.0.1.tar.gz
01-29
标题中的"PyPI 官网下载 | pyobjc-framework-Security-6.0.1.tar.gz"指的是Python Package Index（PyPI）上发布的pyobjc-framework-Security的6.0.1版本的源代码压缩包。PyPI是Python社区的官方仓库，提供各种Python...
在Linux上构建Windows应用程序：深入探索跨平台开发的实践与挑战
w651428055的博客
08-21 826
在Linux上构建Windows应用程序，不仅拓宽了开发者的技能范围，也为软件产品的多平台部署提供了灵活性和成本效益。虽然这一过程面临挑战，但通过合理选择工具、框架和策略，可以有效地克服这些障碍。随着技术的不断进步，跨平台开发将变得更加成熟和便捷，为软件开发带来更多的可能性和机遇。未来，随着更多高效工具和框架的出现，跨平台开发的效率和质量有望进一步提升，为软件工程领域注入新的活力。
Nginx安装配置（Linux)，反向代理，负载均衡
m0_46290969的博客
08-18 1105
nginx安装教程，做反向代理，负载均衡
Linux--C语言之动态内存分配
2201_75773226的博客
08-18 1139
void：是空类型，是数据类型的一种void*：是指针类型，是指针类型的一种，可以匹配任意类型的指针，类似于通配符。
Linux之RabbitMQ集群部署
m0_54563444的博客
08-21 1049
消息中间件也可以称消息队列，是利用高效可靠的消息传递机制进行异步的数据传输并基于数据通信来进行分布式系统的集成。当下主流的消息中间件有等。Kafka是LinkedIn开源的分布式发布-订阅消息系统，目前归属于Apache顶级项目。Kafka主要特点是追求高吞吐量(单机可达到10万级)时效性是毫秒级的，一开始的目的就是用于日志收集和传输。对消息的重复、丢失、错误没有严格要求，适合产生大量数据的互联网服务的数据收集业务。
Linux Xfce 桌面环境系统休眠的问题
Wynter
08-17 429
通过这些步骤，你应该能够解决 Xfce 桌面环境中的系统休眠问题。如果问题仍然存在，可能需要进一步检查硬件兼容性或寻求更专业的技术支持。确保你的硬件驱动程序正确支持电源管理功能。特别是对于笔记本电脑，显卡和电池驱动程序的兼容性非常重要。确保你的系统上运行着正确的电源管理守护进程。在大多数现代 Linux 发行版中，这通常是。查看系统日志可能会提供一些关于为什么系统进入休眠状态的线索。如果你暂时不需要系统休眠功能，可以禁用它。
linux 网卡配置
轻口味的专栏
08-21 505
linux网卡可以通过命令和配置文件配置,如果是桌面环境还可以通过图形化界面配置.
linux 安装GNOME Boxes
qq_58778333的博客
08-19 231
yum install dpkg # 对于基于RPM的系统。先在服务器上安装flatpak。，那么你就是root用户。
Linux Mqtt客户端编程
laocui1的博客
08-16 255
Mqtt客户端
Linux性能调优指南(1)：聚焦CPU性能与缓存优化策略
weixin_73298423的博客
08-20 1120
一， CPU性能调优 。 1.选择适合的CPU · 1.1 性能评估工具 ·1.2 CPU信息查看命令 · 1.3基准测试工具 2.CPU缓存优化 · 2.1.了解缓存结构 ·2.2. 缓存预热 ·2.3.数据布局和访问模式优化 ·2.4.使用性能分析工具· 2.4.1. perf的安装 ·2.4.2. perf的基本使用 ·2.4.3. perf的高级功能 ·2.4.4.perf的工作原理 ·2.5.调整内核参数 · 2.6. 编译器优化 ·2.7.代码优化 ·2.8.多线程与并发控制
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值