Linux防火墙介绍

最新推荐文章于 2024-02-17 09:51:54 发布
最新推荐文章于 2024-02-17 09:51:54 发布
阅读量1.2k 收藏 3
点赞数
分类专栏： linux 文章标签： 防火墙 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Eumenides_s/article/details/78297053
版权

个人博客地址：http://www.pojun.tech/ 欢迎访问

防火墙相关概念

   关于什么是防火墙，凡是接触过计算机的朋友应该都会了解。在现代计算机通信中，有很多的安全技术，防火墙就是其中最基本的一种。
   同时，防火墙具备一些有效的隔离功能，能够对经过防火墙的网络包按照一定的规则进行检查，从而控制网络包的进入进出，以达到限制网络访问的一些目睹，这其中最著名的莫过于我们的长城防火墙（GFW）。
   今天我们要讨论的就是，作为一种安全技术，防火墙是如何实现控制网络通信的。当然，我们是基于CentOS上的防火墙进行的讨论，并且仅限于命令上的使用，并不切入到内核代码的实现。

防火墙的分类

防火墙实际应用的场景有很多，根据不同的场景可以大致有如下几个分类：

  • 主机防火墙：服务范围为当前主机

  • 网络防火墙：服务范围为防火墙一侧的局域网

    根据防火墙的实现方式，可以划分为下面两种：

  • 硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现，Checkpoint,NetScreen

  • 软件防火墙：运行于通用硬件平台之上的防火墙的应用软件

    而根据防火墙工作的协议栈的层次，可以划分为下面几种;

  • 网络层防火墙：OSI下面第三层

  • 应用层防火墙/代理服务器：代理网关，OSI七层

关于每种类型防火墙的工作特点，以及不同种类防火墙之间的区别，不是此文介绍的重点，大家可以自行上网查阅。

CentOS 7 中防火墙介绍

   Linux操作系统，在内核级别就已经集成了防火墙功能，也就是Netfilter组件。而我们在日常生产中使用的iptables则是系统提供给我们的软件工具而已。

   CentOS 操作系统用来管理防火墙的软件工具是iptables，而在CentOS 7 中，系统又提供了更为强大的firewalld 工具。二者的使用方式相似，都是将写好的规则送往netfilter，告诉内核如何去处理信息包。但是在使用的过程中一定要注意，iptables 和 firewalld 二者用其一就好，避免冲突。

NetFilter规则的组成

   防火墙的的过滤规则由4个规则表（filter、nat、mangle、raw）和5个内置链（INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING）组成。

   四个规则表的功能，各有不同

  • filter表:过滤规则表，根据预定义的规则过滤符合条件的数据包
  • nat表:network address translation 地址转换规则表
  • mangle:修改数据标记位规则表
  • Raw:关闭NAT表上启用的连接跟踪机制，加快封包穿越防火墙速度

   优先级由高到低的顺序为:raw–>mangle–>nat–>filter

   四个规则表与五个内置链之间的包含关系则如下图所示。（图片转自网络）



   既然每张规则表都包含一定的数据链，那么数据是如何流转的呢，可以参考如下图片。（图片转自网络)



   上面的数据流转过程，可能并不能很好的表达整个数据流的流转的过程，那么可以参考一下下面的这张图，或许就能够有一个清晰的认识。



  下面是各个规则表，与内置链之间更复杂的关系图表(右击，在新标签页中打开，可查看大图)。



   图片转载自 维基百科—https://en.wikipedia.org/wiki/Netfilter

iptables命令

   前面已经说过，CentOS 7 中可以用来设置防火墙规则的工具有iptables和firewalld，二者用哪个都行，我们就简要iptables的相关操作。

   iptables 的命令格式 如下 


iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]] -j targetname [per-targetoptions]

   下面对命令中的选项以及相关指令加以说明。

-t table:

   指明要操作的是哪张表。 raw, mangle, nat, [filter]默认。

SUBCOMMAND：

  1. 链管理：
    -N：new, 自定义一条新的规则链
    -X：delete，删除自定义的空的规则链
    -P：Policy，设置默认策略；对filter表中的链而言，其默认策略有：ACCEPT和DROP
    -E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除

  2. 查看:
    -L：list, 列出指定鏈上的所有规则，本选项须置后
    -n：numberic，以数字格式显示地址和端口号
    -v：verbose，详细信息 -vv 更详细 -vvv 更更详细 … 以此类推
    -x：exactly，显示计数器结果的精确值,而非单位转换后的易读值
    –line-numbers：显示规则的序号

  3. 规则管理
    -A：append，追加
    -I：insert, 插入，要指明插入至的规则编号，默认为第一条
    -D：delete，删除，可以根据规则序号，也可以根据规则本身
    -R：replace，替换指定链上的指定规则编号
    -F：flush，清空指定的规则链
    -Z：zero，置零

chain：

  就是指的PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING 这五张表。

匹配条件 [-m matchname [per-match-options]]

  1. 基本匹配条件：[]表示里面的内容可以省略
    [!] -s, –source address[/mask][,…]：源IP地址或范围
    [!] -d, –destination address[/mask][,…]：目标IP地址或范围
    [!] -p, –protocol protocol：指定协议，可使用数字如0（all）protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp等
    [!] -i, –in-interface name：报文流入的接口；只能应用于数据报文流入环节，只应用于INPUT、FORWARD、PREROUTING链
    [!] -o, –out-interface name：报文流出的接口；只能应用于数据报文流出的环节，只应用于FORWARD、OUTPUT、POSTROUTING链。

  2. 扩展匹配条件
    扩展匹配条件需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效，可以使用man iptables-extensions的方式去查看扩展条件,部分参考选项如下所示。 

[!] --source-port, --sport port[:port]：匹配报文源端口,可为端口范围  
[!] --destination-port,--dport port[:port]：匹配报文目标端口,可为范围
[!] --tcp-flags mask comp
        mask 需检查的标志位列表，用,分隔例如 SYN,ACK,FIN,RST
        comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用,分隔  
[!] --syn：用于匹配第一次握手,相当于：--tcp-flags SYN,ACK,FIN,RST SYN


1、multiport扩展
    指定多个源端口
    [!] --source-ports,--sports port[,port|,port:port]...  
    指定多个目标端口
    [!] --destination-ports,--dports port[,port|,port:port]...
    多个源或目标端口
    [!] --ports port[,port|,port:port]...      

2、irange扩展
    指明连续的（但一般不是整个网络）ip地址范围
    [!] --src-range from[-to] 源IP地址范围
    [!] --dst-range from[-to] 目标IP地址范围   

3、mac扩展
    指明源MAC地址
    适用于：PREROUTING, FORWARD，INPUT chains
    [!] --mac-source XX:XX:XX:XX:XX:XX   

4、string扩展
    对报文中的应用层数据做字符串模式匹配检测
    --algo {bm|kmp}：字符串匹配检测算法
        bm：Boyer-Moore
        kmp：Knuth-Pratt-Morris
    --from offset 开始偏移
    --to offset 结束偏移
    [!] --string pattern：要检测的字符串模式
    [!] --hex-string pattern：要检测字符串模式，16进制格式  
5、time扩展
    根据将报文到达的时间与指定的时间范围进行匹配
    --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
    --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
    --timestart hh:mm[:ss] 时间
    --timestop hh:mm[:ss]
    [!] --monthdays day[,day...] 每个月的几号
    [!] --weekdays day[,day...] 星期几  

6、connlimit扩展
    根据每客户端IP做并发连接数数量匹配
    --connlimit-upto n：连接的数量小于等于n时匹配
    --connlimit-above n：连接的数量大于n时匹配
7、limit扩展
    基于收发报文的速率做匹配
    --limit rate[/second|/minute|/hour|/day]
    --limit-burst number

8、state扩展
    [!] --state state  
    NEW：新发出请求；连接追踪信息库中不存在此连接的相关信息条目，因此，将其识别为第一次发出的请求
    ESTABLISHED：NEW状态之后，连接追踪信息库中为其建立的条目失效之前期间内所进行的通信状态
    RELATED：新发起的但与已有连接相关联的连接，如：ftp协议中的数据连接与命令连接之间的关系
    INVALID：无效的连接，如flag标记不正确
    UNTRACKED：未进行追踪的连接，如raw表中关闭追踪

处理动作 -j targetname [per-target-options]

简单的动作如：ACCEPT(接受)、DROP(丢弃)
扩展的动作：
- REJECT：–reject-with:icmp-port-unreachable默认
- RETURN：返回调用链
- REDIRECT：端口重定向
- LOG：记录日志，dmesg
- MARK：做防火墙标记
- DNAT：目标地址转换
- SNAT：源地址转换
- MASQUERADE：地址伪装

防火墙规则的存储与恢复

   防火墙的规则在定义之后，会立即生效，但是主机重启之后，就会将防火墙的规则进行重置了。所以如果想要保存住自己制定的防火墙的规则的话，可以将防火墙规则保存在本地。重启之后，再将规则重置就好。
   CentOS 7 中保存和重置防火墙规则的命令如下：

# 保存防火墙规则
iptables -S > /PATH/TO/SOME_RULES_FILE
iptables-save > /PATH/TO/SOME_RULES_FILE
# 恢复防火墙规则
iptables-restore < /PATH/FROM/SOME_RULES_FILE

综上，我们就对防火墙的进行了一个基本的介绍，但是实际生产中，防火墙的使用则是纷繁复杂的，我们应该根据自己的实际情况制定相应的规则。

Eumenides_s
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
LINUX 防火墙介绍
07-05
LINUX 放火墙介绍，配置与安装 一个操作系统必须和作为它的基础的硬件系统紧密配合。操作系统需要使用一些只有硬件才能 提供的功能。为了完整的了解Linux，你需要了解底层硬件的基础知识。本章对于现代PC的硬件 进行...
CentOS 7 下关闭和开启防火墙
业精于勤-行成于思
01-07 1607
CentOS 7 下关闭和开启防火墙
linux防火墙配置
weixin_65845327的博客
05-17 1811
更改网卡所属区域#firewall-cmd --zone=public --change-interface=ens32。把网卡分配给区域#firewall-cmd --zone=public --add-interface=ens32。查看指定网卡所在区域#firewall-cmd --get-zone-of-interface=ens32。查看防火墙默认区域名#firewall-cmd --get-default-zone。关闭防火墙开机启动# systemctl disable firewalld。
linux系统---防火墙
最新发布
zk584715834的博客
02-17 1339
隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默 认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中。简单理解为是筛选和过滤流量，对需要的流量进行放行，对不需要或者有威胁的流量进行拒绝由软件包iptables提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送往netfilter，告诉内核如何去处理信息包。
linux防火墙的一些常用命令
1
08-24 1233
6、 查询指定端口是否有进程守护，用如下命令grep对应端口（以8080端口为例）1、查看防火墙的状态 (dead代表关闭 running代表已经开启)防火墙一般都是开着的，然后想要什么端口就开放指定端口，比如这样。4、开放指定端口号（比如开放8080端口）2、查看防火墙所有开放的端口。
linux防火墙策略配置、查看操作实例
qingliuun的博客
03-08 4845
1.查看已经开放的端口 firewall-cmd --list-ports 查看配置信息 firewall-cmd --list-all 2.开启/移除指定协议的端口 开放端口 firewall-cmd --zone=public --add-port=6666/udp --permanent firewall-cmd --zone=public --add-port=3306/tcp --permanent 移除端口 firewall-cmd --permanent --remove-p
Linux系统防火墙怎么看
weixin_42576410的博客
02-12 860
在 Linux 系统中，您可以使用 iptables 命令查看防火墙规则。可以使用以下命令查看当前的防火墙规则： sudo iptables -L 这将列出防火墙中的所有规则。您还可以使用以下命令查看具体的链： sudo iptables -LINPUT sudo iptables -L OUTPUT sudo iptables -L FORWARD 您可以根据需要选择以上命令中的一个，以查看...
Linux防火墙介绍.pdf
11-06
Linux防火墙介绍.pdf
linux查看服务器防火墙策略,linux防火墙的策略规则
weixin_29932857的博客
05-05 5459
介绍：防火墙默认有四表五链四表：(表的优先级：raw > mangle > nat > filter )1.Raw表——两个链：PREROUTING、OUTPUT作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw2.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD作用：修改数据包的服务类型、T...
Linux防火墙
weixin_48195231的博客
05-17 111
Linux防火墙介绍
Linux防火墙设置查看攻略
liuxiang66666的博客
12-29 1041
本文详细介绍了如何查看Linux系统中的防火墙设置，包括查看当前防火墙状态、查看特定端口是否开放、查看规则链策略、查看具体规则、查看iptables版本信息、查看防火墙日志、查看NAT表以及清空iptables规则。通过本文的介绍，您可以更好地了解和掌握Linux系统的防火墙设置，保障网络安全。在Linux系统中，iptables默认将所有拒绝的流量记录到/var/log/messages文件中。该命令会实时输出防火墙日志中包含“iptables”的内容。会列出当前iptables中所有的规则和链。
Linux之防火墙策略
热门推荐
weixin_44828950的博客
05-15 1万+
linux之防火墙策略 什么是防火墙 众所周知，相较于企业内网，外部的公网环境更加恶劣，罪恶丛生。在公网与企业内网之间充当保护屏障的防火墙虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样就可...
Linux安全防火墙（iptables）配置策略
qq_51545656的博客
11-11 2003
这条规则将禁止192.168.1.0/24网段的访问，丢弃源地址的流量。可以使用类似的命令来添加更多规则到自定义链中，根据需求进行配置。如果想要删除自定义链，确保满足以下条件：自定义链没有被任何默认链引用，即自定义链的引用计数为0。自定义链中没有任何规则，即自定义链为空。可以使用-x示例自定义链使用自定义链添加：iptables -N custom(链名) 创建链自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名。
【Linux】Iptables防火墙策略及配置文件
meidongyan的博客
01-12 696
Iptables的防火墙配置和相关的策略
工作中常用到的Linux系统firewall防火墙策略
征服Bug的博客
07-27 3110
firewall简介firewall的作用是为包过滤机制提供匹配机制（策略），通过各种不同的规则，告诉netfilter对来自指定源，前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便的组织和管理防火墙，firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具，它支持IPv4，IPv6防火墙设置以及以太网，并且拥有两种配置模式，运行时配置与永久配置。它还支持服务或应用程序直接添加防火墙规则接口。防火墙技术分为三类包过滤，应用代理，状态检测。...
Linux 防火墙（一）——基础介绍以及基本扩展模块
李凯的博客
12-22 1660
安全技术和防火墙 安全技术 入侵检测与管理系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定 位来自内外网络的威胁情况，主要以提供报告和事后监督为主，提供有针对性的指导措施和安全决 策依据。一般采用旁路部署方式。会检测但是会允许你做。 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出 攻...
浅谈linux系统firewalld防火墙常用策略（ipv6、ipv4）
Mr.Wang的博客
12-08 5302
本文以CentOS7系统为例来讲述firewalld防火墙常用命令以及基础策略，主要记录博主日常维护系统常用防火墙命令操作，网络安全需求日益增长，需要大家共同努力维护绿色安全。
Linux防火墙详解
路人甲的博客
09-20 3856
一、防火墙基础 Linux防火墙主要工作在网络层，属于典型的包过滤防火墙。 redhat 6 使用的是iptables redhat 7 使用的是firewalld iptables服务会把配置好的防火墙策略交由内核层面的 netfilter 网络过滤器来处理 firewalld服务则是把配置好的防火墙策略交由内核层面的 nftables 包过滤框架来处理 iptables和firewalld都是Linux配置内核防火墙的工具 二、iptables iptables 是一款基于命令行的防火墙策略管理工
重启Linux防火墙
08-27
要重启Linux防火墙，可以使用以下命令： ``` service iptables restart ``` 这个命令会重新启动防火墙并且应用之前的配置。 另外，在CentOS 7上，如果使用的是firewalld防火墙，可以使用以下命令来重新启动防火墙： ``` systemctl restart firewalld ``` 请根据你正在使用的Linux发行版和防火墙类型选择适合的命令来重启防火墙。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [Linux防火墙的开启、关闭、重启、查看&永久处理防火墙(需重启系统后才能生效)](https://blog.csdn.net/weixin_47055922/article/details/107972755)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *2* *3* [linux防火墙简单的使用](https://blog.csdn.net/weixin_30764771/article/details/97848023)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值