Linux防火墙介绍

目录

前言

一、netfilter与iptables 关系

(1)netfilter

(2)iptables

二、四表五链

(一)四表

(二)五链

(三)规则链之间的匹配顺序

(四)规则链内的匹配顺序

三、iptables的安装与用法

(一)iptables防火墙的配置方法

(二)iptables 命令行配置方法

(三)规则的匹配

ICMP类型匹配

状态匹配

 四、SNAT原理与应用

1、SNAT 应用环境

2、SNAT原理

3、SNAT转换前提条件

4、打开方式

(1)临时打开(重启失效)

(2)永久打开

5、SNAT转换

(1)SNAT转换------固定的公网IP地址

(2)SNAT转换------非固定的公网IP地址(共享动态IP地址)

五、DNAT原理与应用

1、DNAT 应用环境

2、DNAT原理

3、DNAT转换前提条件

4、DNAT的打开方式

5、DNAT的转换

(1)DNAT转换------发布内网的Web服务

(2)DNAT转换2------发布时修改目标端口


前言

Linux 系统的防火墙——netfilter/iptables :IP信息包过滤系统,它实际上由两个组件netfilter 和 iptables组成。
主要工作在网络层,针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。

一、netfilter与iptables 关系

(1)netfilter

netfilter:属于“内核态”(Kernel Space,又称为内核空间)的防火墙功能体系。是内核的一部分,由一些数据包过滤表组成,这些表包含内核用来控制数据包过滤处理的规则集。

(2)iptables

iptables:属于“用户态”(User Space,又称为用户空间)的防火墙管理体系。是一种用来管理Linux防火墙的命令程序,它使插入、修改和删除数据包过滤表中的规则变得容易,通常位于/sbin/iptables目录下。

netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙,其中内置了raw、mangle、nat和 filter 四个规则表。表中所有规则配置后,立即生效,不需要重启服务。


二、四表五链

规则表的作用:容纳各种规则链
规则链的作用:容纳各种防火墙规则
表里有链,链里有规则

(一)四表

raw表:确定是否对该数据包进行状态跟踪。包含两个规则链,OUTPUT、PREROUTING。

mangle表:修改数据包内容,用来做流量整形的,给数据包设置标记。
包含五个规则链,INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。

nat表:负责网络地址转换,用来修改数据包中的源、目标IP地址或端口。
包含三个规则链,OUTPUT、PREROUTING、POSTROUTING。

filter表:负责过滤数据包,确定是否放行该数据包(过滤)。包含三个规则链,
INPUT、FORWARD、OUTPUT。
#在 iptables 的四个规则表中,mangle 表和 raw 表的应用相对较少。

(二)五链

INPUT:处理入站数据包,匹配目标IP为本机的数据包。

OUTPUT:处理出站数据包,一般不在此链上做配置。

FORWARD:处理转发数据包,匹配流经本机的数据包。

PREROUTING链:在进行路由选择前处理数据包,用来修改目的地址,
用来做DNAT。相当于把内网中的80端口映射到路由器外网端口上。

POSTROUTING链:在进行路由选择后处理数据包,用来修改源地址,
用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

(三)规则链之间的匹配顺序

入站数据(来自外界的数据包,且目标地址是防火墙本机)
:PREROUTING --> INPUT --> 本机的应用程序
出站数据(从防火墙本机向外部地址发送的数据包)
:本机的应用程序 --> OUTPUT --> POSTROUTING
转发数据(需要经过防火墙转发的数据包)
:PREROUTING --> FORWARD --> POSTROUTING

(四)规则链内的匹配顺序

自上向下按顺序依次进行检查,找到相匹配的规则即停止(LOG策略例外,表示记录相关日志)

若在该链内找不到相匹配的规则,则按该链的默认策略处理(未修改的状况下,默认策略为允许)

三、iptables的安装与用法

安装命令
yum -y install iptables iptables-services
systemctl start iptables.service

(一)iptables防火墙的配置方法

1、使用iptables 命令行。
2、使用system-config-firewall  (桌面环境)

(二)iptables 命令行配置方法

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

注意事项:
不指定表名时,默认指filter表
不指定链名时,默认指表内的所有链
除非设置链的默认策略,否则必须指定匹配条件
选项、链名、控制类型使用大写字母,其余均为小写

常用的控制类型:
ACCEPT:允许数据包通过。
DROP:直接丢弃数据包,不给出任何回应信息。
REJECT:拒绝数据包通过,会给数据发送端一个响应信息。
SNAT:修改数据包的源地址。
DNAT:修改数据包的目的地址。
MASQUERADE:伪装成一个非固定公网IP地址。


常用的管理选项

-A在指定链的末尾追加(–append)一条新的规则
-l在指定链的开头插入(–insert)一条新的规则,未指定序号时默认作为第一条规则
-R修改、替换(–replace)指定链中的某一条规则,可指定规则序号或具体内容
-P设置指定链的默认策略(–policy)
-D删除(–delete)指定链中的某一条规则,可指定规则序号或具体内容
-F清空(–flush)指定链中的所有规则,若未指定链名,则清空表中的所有链
-L列出(–list)指定链中所有的规则,若未指定链名,则列出表中的所有链
-n使用数字形式(–numeric)显示输出结果,如显示 IP 地址而不是主机名
-v显示详细信息,包括每条规则的匹配包数量和匹配字节数
–line-number查看规则时,显示规则的序号
添加新的规则:
iptables -t filter -A INPUT -p icmp -j REJECT
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT
查看规则列表:
iptables [-t 表名] -n -L [链名] [–line-numbers]
或
iptables -[vn]L #注意:不可以合写为 -Ln
iptables -n -L --line-numbers
设置默认策略:
iptables [-t 表名] -P <链名> <控制类型>
iptables -P INPUT DROP
iptables -P FORWARD DROP
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP,并设置白名单
删除规则:
iptables -D INPUT 2
iptables -t filter -D INPUT -p icmp -j REJECT

(三)规则的匹配

可直接使用,不依赖于其他条件或扩展,包括网络协议、IP地址、网络接口等条件。

协议匹配:-p 协议名
地址匹配:-s 源地址、-d 目的地址	#可以是IP、网段、域名、空(任何地址)
接口匹配:-i 入站网卡、-o 出站网卡
例
iptables -A FORWARD ! -p icmp -j ACCEPT 
iptables -A INPUT -s 192.168.80.11 -j DROP
iptables -I INPUT -i ens33 -s 192.168.80.0/24 -j DROP

ICMP类型匹配

ICMP类型匹配:--icmp-type ICMP类型		
#可以是字符串、数字代码、、目标不可达
“Echo-Request”(代码为 8)表示 请求
“Echo-Reply”(代码为 0)表示 回显
“Destination-Unreachable”(代码为 3)表示 目标不可达
关于其它可用的 ICMP 协议类型,可以执行“iptables -p icmp -h”命令,查看帮助信息
iptables -A INPUT -p icmp --icmp-type 8 -j DROP		
#禁止其它主机ping 本机

iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT	
#允许本机ping 其它主机

iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT	
#当本机ping 不通其它主机时提示目标不可达

iptables -A INPUT -p icmp -j REJECT					
#此时其它主机需要配置关于icmp协议的控制类型为 REJECT

状态匹配

状态匹配:-m state --state 连接状态

常见的连接状态:
NEW :与任何连接无关的,还没开始连接

ESTABLISHED :响应请求或者已建立连接的,连接态

RELATED :与已有连接有相关性的(如FTP 主被动模式的数据连接),
衍生态,一般与ESTABLISHED 配合使用

INVALID :不能被识别属于哪个连接或没有任何状态

iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP
禁止转发与正常 TCP 连接无关的非--syn 请求数据包(如伪造的网络攻击数据包)

 四、SNAT原理与应用

1、SNAT 应用环境

局域网主机共享单个公网IP地址接入Internet(私有不能早Internet中正常路由)

2、SNAT原理

修改数据包的源地址。

3、SNAT转换前提条件

局域网各主机已正确设置IP地址、子网掩码、默认网关地址

Linux网关开启IP路由转发

4、打开方式

(1)临时打开(重启失效)

echo 1 > /proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip_forward=1

(2)永久打开

vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 		#将此行写入配置文件

5、SNAT转换

(1)SNAT转换------固定的公网IP地址

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to 12.0.0.1
或
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to-source 12.0.0.1-12.0.0.10
									内网IP	     出站 外网网卡                 外网IP或地址池	

(2)SNAT转换------非固定的公网IP地址(共享动态IP地址)

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j MASQUERADE

五、DNAT原理与应用

1、DNAT 应用环境

在Internet中发布位于局域网内的服务器

2、DNAT原理

修改数据包的目的地址

3、DNAT转换前提条件

局域网的服务器能够访问Internet
网关的外网地址有正确的DNS解析记录
Linux网关开启IP路由转发

4、DNAT的打开方式

vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 	

5、DNAT的转换

(1)DNAT转换------发布内网的Web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.10
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.10
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.10
                             入站 外网网卡  外网IP											   内网服务器IP
 iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.80.10-192.168.80.20

(2)DNAT转换2------发布时修改目标端口

#发布局域网内部的OpenSSH服务器,外网主机需使用250端口进行连接
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.10:22
#在外网环境中使用SSH测试
ssh -p 250 root@12.0.0.1

yum -y install net-tools #若没有 ifconfig 命令可提前使用 yum 进行安装
ifconfig ens33

注意:使用DNAT时,同时还有配合SNAT使用,才能实现响应数据包的正确返回

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值