Linux进阶-防火墙服务(iptables)

最新推荐文章于 2024-09-07 22:31:22 发布
最新推荐文章于 2024-09-07 22:31:22 发布
阅读量581 收藏
点赞数
分类专栏： Linux进阶 文章标签： linux 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kangjie_oo/article/details/108884111
版权

Iptables

1)iptables

概念:

开源的基于数据包过滤的防火墙工具,实现数据的流入和流出控制,主要工作在OSI七层的二(链路层),三(网络层),四(传输层),如果重新编译内核,也可以支持七层控制(squid代理+iptables)开源的基于数据包过滤的防火墙工具，实现数据的流入与流出控制
Iptables主要工作在OSI七层的二（链路层-很少关注）、三（网络层）、四（传输层）层，如果重新编译内核，Iptables也可以支持7层控制(squid代理+iptables)。

2)主机之间的通讯过程

主机与主机之间通讯过程，数据包传递方式
主机A        --->
数据信息
传输层头部信息	（TCP UDP  源端口 ：目标端口）+ 数据信息
网络层头部		（IP 源IP:目标IP）				传输层头部+数据信息              
链路层头部		（源mac：目标mac） 				网络层头部+传输层头部+数据信息
物理层           将所有数据信息转换为二进制信息 01010101011101
网卡（网线）     将0信号变为低电压传递 1信号高电压

主机B        <---
网卡（网线）     将电信号转为二进制信息
物理层           将二进制信息转换成数据包
链路层           源mac：目标mac 是不是自己本地主机上的mac地址
网络层           源IP:目标IP    是不是自己本地主机上的IP地址
传输层           源端口:目标端口
查看到数据信息 处理响应
 
IP地址标识身份信息           ==>护照
mac地址信息                 ==>中华人民共和国身份证

3) iptables使用原则

1）用户并发访问量不大时 使用软件防火墙即可
2）用户并发访问量较高时 使用硬件防火墙

4) iptables容器

容器概念：装东西器皿  
iptables程序容器：表概念-- 防护墙中的表拥有不同的功能策略  
表容器：          链概念-- 控制数据包处理方式	           
链容器：          策略概念 -- 不同配置信息

5) iptables的表和链

表和链概念：四表五链
Filter：这是默认表, 实现数据过滤处理
        INPUT： 流量进入时，进行处理方式
        OUTPUT: 流量出去时，进行处理方式
		FORWARD：留经网卡流量
NAT：当遇到新创建的数据包连接时将参考这个表, 会将数据进行映射转换
     源IP地址：10.0.0.1       局域网识别有效  --- 互联网 172.16.0.1 
     目标IP地址：172.16.0.1   局域网识别有效  --- 局域网 10.0.0.1 
	 端口映射转换： 9000 --> 80
	 地址转换原因：IP地址是有限的 0.0.0.0 ~ 255.255.255.255  40+亿 
	               IP地址重复使用 只有少部分可以重复使用 私网地址/公网地址
	 OUTPUT:  自身产生的流量在出去时，做映射转换
     PREROUTING: 经过数据流量，在进入时做映射转换
	 POSTROUTING: 经过数据流量，在出去时做映射转换			   
Managle：可以将数据包信息进行修改调整
raw：    将数据包某些标记信息进行拆解

6)防火墙工作原理说明

1.	防火墙是层层过滤的，实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
2.	如果匹配上规则，即明确表示是阻止还是通过，数据包就不再向下匹配新的规则。
3.	如果规则中没有明确表明是阻止还是通过的，也就是没有匹配规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。
4.	防火墙的默认规则是所有规则执行完才执行的。

7)防火墙服务部署过程

yum install iptables-services
systemctl start iptables.service

[root@test-201 ~]# yum install iptables-services
[root@test-201 ~]# systemctl start iptables.service 
[root@test-201 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state REL
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-wi

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-wi

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

iptables命令基本用法：
查看信息用法：
iptables -n -L               --- L列表显示相应表策略信息 n 尽量信息以数值方式显示
iptables -n -L -t 表名       --- 具体查看每个表配置信息
iptables -nL -v              --- 显示详细配置规则信息
iptables -nL --line-number   --- 查看规则序号信息

初始化清除操作：
默认配置信息，旧的配置信息
[root@A ~]# iptables -F         # 清空规则，但不会删除默认规则
-F 		#<==清除一个链或所有链上的规则
[root@A ~]# iptables -Z         # 清空防火墙计数器  可以用于排错
-Z 		#<==链的记数器清零
[root@A ~]# iptables -X         # 清空自定义规则    
-X 		#<==删除用户自定义的链

演示:

[root@test-201 ~]# iptables -nL -v
Chain INPUT (policy ACCEPT 27 packets, 1956 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 18 packets, 2472 bytes)
 pkts bytes target     prot opt in     out     source               destination         
[root@test-201 ~]# iptables -t filter -A INPUT -p tcp --dport 22 -j DROP
[root@test-201 ~]# 
Connection closed by foreign host.

Disconnected from remote host(架构10.0.0.201) at 15:13:47.

Type `help' to learn how to use Xshell prompt.
[c:\~]$

本地连接:

[c:\~]$ telnet 10.0.0.201 22


Connecting to 10.0.0.201:22...
Connection established.
To escape to local shell, press 'Ctrl+Alt+]'.
SSH-2.0-OpenSSH_7.4

Protocol mismatch.

Connection closed by foreign host.

Disconnected from remote host(10.0.0.201:22) at 15:12:15.

Type `help' to learn how to use Xshell prompt.
[c:\~]$ 
[c:\~]$ telnet 10.0.0.201 22


Connecting to 10.0.0.201:22...
Could not connect to '10.0.0.201' (port 22): Connection failed.

Type `help' to learn how to use Xshell prompt.
[c:\~]$

*需要在虚拟机里取消规则,然后重连
在这里插入图片描述
*单一规则可以直接删除(规则少的情况):

[root@test-201 ~]# iptables -F

如果是某一具体规则删除,怎么创怎么删(规则多的情况):

[root@test-201 ~]# iptables -t filter -A INPUT -p tcp --dport 22 -j DROP     #创建规则
[root@test-201 ~]# iptables -t filter -D INPUT -p tcp --dport 22 -j DROP     #删除规则

方法一：利用防火墙实现数据包过滤
eg01：禁止外网用户访问服务22端口  基于四层进行过滤处理
iptables -t filter -A INPUT -p tcp --dport 22 -j DROP   添加规则 
iptables -t filter -D INPUT 序号   删除规则 
iptables -t filter -A OUTPUT -p tcp --sport 22 -j DROP   添加规则 

eg02：只禁止10.0.0.1访问22端口    基于三层和四层进行过滤
iptables -t filter -A INPUT -s 10.0.0.1 -p tcp --dport -j DROP 
iptables -t filter -A OUTPUT -d 10.0.0.1 -p tcp --sport -j DROP
iptables -t filter -A INPUT -s 10.0.0.0/24 -d 172.16.0.0/24  DROP 

eg03：实现禁止ping(本机10.0.0.1,虚拟机10.0.0.201)
双方向禁ping
iptables -t filter -A INPUT -p icmp -j DROP   彻底实现了禁止ping过程

[root@test-201 ~]# iptables -t filter -A INPUT -p icmp -j DROP
[root@test-201 ~]# ping 10.0.0.1
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
^C
--- 10.0.0.1 ping statistics ---
16 packets transmitted, 0 received, 100% packet loss, time 15009ms
[root@test-201 ~]#

本机:
在这里插入图片描述

单反向禁ping
iptables -A INPUT -p icmp --icmp-type 8 -j DROP  禁止windows ping linux 

[root@test-201 ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP 
[root@test-201 ~]#

在这里插入图片描述

iptables -A OUTPUT -p icmp --icmp-type 8 -j DROP 禁止linux ping windows
icmp协议说明：
8类型是请求icmp包
0类型是响应icmp包
禁止windows --- linux    linux上配置禁止icmp8类型包进来

[root@test-201 ~]# iptables -A OUTPUT -p icmp --icmp-type 8 -j DROP
[root@test-201 ~]# ping 10.0.0.1
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted
^C
--- 10.0.0.1 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 1999ms

[root@test-201 ~]# 

eg04：禁止多个端口不能访问
多端口进行规则配置：
方式一：连续多端口进行阻止
iptables -A INPUT -p tcp --dport 23:80 -j DROP	

方式二：间隔多端口进行配置
iptables -A INPUT -p tcp --dport 23,25,80 -j DROP
iptables -A INPUT -m multiport -p tcp --dport 23,25,80 -j DROP
eg05：如何调整规则顺序
iptables -I INPUT -p tcp --dport 22 -j DROP  --- 将指定插入到某个规则之上 或直接插入到第一条规则

-t -A -D -I -s -d -p --dport --sport -j -m 

eg05：默认规则修改
默认规则修改为： ACCEPT  链规则采用黑名单
默认规则修改为： DROP    链规则采用白名单  最安全
iptables -P INPUT DROP

方法二：利用防火墙实现数据包映射
1）将拥有内网IP地址主机 实现访问互联网
第一个历程：配置内网地址网卡信息
网卡地址：172.16.1.10/24 
网关地址：172.16.1.201
DNS地址： 223.5.5.5

在这里插入图片描述

第二个历程：开启防火墙服务器转发功能
vi /etc/sysctl.conf
net.ipv4.ip_forward = 1
sysctl -p  --- 加载系统内核配置

在这里插入图片描述

在这里插入图片描述

第三个历程：配置防火墙NAT功能实现内网访问外网
iptables -t nat -A POSTROUTING -s 172.16.1.10 -o eth0 -j SNAT --to-source 10.0.0.201

[root@test-201 ~]# iptables -t nat -A POSTROUTING -s 172.16.1.10 -o eth0 -j SNAT --to-source 10.0.0.201

[root@test-201 ~]# ping 223.5.5.5
PING 223.5.5.5 (223.5.5.5) 56(84) bytes of data.
64 bytes from 223.5.5.5: icmp_seq=1 ttl=128 time=5.88 ms
64 bytes from 223.5.5.5: icmp_seq=2 ttl=128 time=4.95 ms
^C
--- 223.5.5.5 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1001ms
rtt min/avg/max/mdev = 4.953/5.417/5.882/0.470 ms
[root@test-201 ~]#  iptables -t nat -nL -v
Chain PREROUTING (policy ACCEPT 1 packets, 60 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    6   348 SNAT       all  --  *      eth0    172.16.1.10          0.0.0.0/0            to:10.0.0.201

在这里插入图片描述

2）实现外网主机可以访问内网服务
iptables -t nat -A PREROUTING  -d 10.0.0.201 -p tcp --dport 9000 -j DNAT --to-destination 172.16.1.10:3389
10.0.0.200 9000 === 172.16.1.10 3389

先开启远程端口(可用netstat命令查看端口)
本来不通 在这里插入图片描述

在这里插入图片描述

[root@test-201 ~]# iptables -t nat -A PREROUTING  -d 10.0.0.201 -p tcp --dport 9000 -j DNAT --to-destination 172.16.1.10:3389
[root@test-201 ~]#  iptables -t nat -nL 
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            10.0.0.201           tcp dpt:9000 to:172.16.1.10:3389

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  172.16.1.10          0.0.0.0/0            to:10.0.0.201
[root@test-201 ~]#  iptables -t nat -nL -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DNAT       tcp  --  *      *       0.0.0.0/0            10.0.0.201           tcp dpt:9000 to:172.16.1.10:3389

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  120  6799 SNAT       all  --  *      eth0    172.16.1.10          0.0.0.0/0            to:10.0.0.201

配置完成后:
在这里插入图片描述
在这里插入图片描述

Linux端远程登录也可以：
在这里插入图片描述
总结：将iptables命令参数进行熟悉

PS：防火墙配置完毕后，一定要保存配置
iptables-save >/etc/sysconfig/iptables

在这里插入图片描述

Kangjie_oo
关注
专栏目录
Linux防火墙（Iptables）
m0_55637617的博客
06-02 356
Linux防火墙（Iptables） 在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的firewalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。 策略与规则链 四表五链概念 filter表——过滤数据包 Nat表——用于网络地址转换（IP、端口） Mangle表——修改数据包的服务类型、TTL、并且可以配置路由实现QOS Raw表——决定数据包是否被状态跟踪机制处理 INPUT链——进来的数据包
Linux中的防火墙服务firewall
weixin_45426401的博客
08-16 235
1、firewalld的基本使用 启动： systemctl start firewalld 关闭： systemctl stop firewalld 查看状态： systemctl status firewalld 开机禁用 ： systemctl disable firewalld 开机启用 ： systemctl enable firewalld ...
Linux防火墙服务
qq_32634545的博客
08-20 147
1 查看防火墙状态 [root@lvxinghao ~]#systemctl status firewalld 2 查看开机是否启动防火墙服务 [root@lvxinghao ~]#systemctl is-enabled firewalld 3 关闭防火墙 [root@lvxinghao ~]#systemctl stop firewalld [root@lvxinghao ~]#sys...
linux防火墙（firewalld和iptables）_firewalld 和
最新发布
2401_86358891的博客
09-07 1171
由软件包iptables提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送往netfilter，告诉内核如何去处理信息包firewalld是CentOS 7.0新推出的管理netfilter的用户空间软件工具,也被ubuntu18.04版以上所支持(apt install firewalld安装即可)firewalld是配置和监控防火墙规则的系统守护进程。可以实iptables,ip6tables,ebtables的功能firewalld服务由firewalld包提供。
linux 防火墙服务,Linux防火墙及系统服务管理
weixin_26704885的博客
05-03 172
1 iptables规则备份和恢复2firewalld的9个zone3firewalld关于zone的操作4firewalld关于service的操作5linux任务计划cron6chkconfig工具7systemd管理服务8unit介绍9target介绍扩展提供一个iptables系列文章的博客https://www.zsythink.net/archives/tag/ipta...
Linux中的防火墙服务iptables
weixin_45426401的博客
08-16 234
IPTABLES IPTABLES 是与 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。 防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在...
linux-运维进阶-13 iptables与firewalld防火墙
weixin_42560249的博客
03-26 1507
linux-运维进阶-13 iptables与firewalld防火墙 iptables iptables是centos6以及之前版本的默认防火墙工具，在centos7中默认防火墙工具已经替换为firewalld。 区别： iptables防火墙的底层是netfiter firewalld防火墙的底层是iptables 注意：iptables和firewalld是冲突的，同时只能使用一个防火墙 在...
【Linux 从基础到进阶】防火墙策略配置（iptables、firewalld、ufw）
weixin_39372311的博客
08-11 562
iptables是一个命令行工具，用于配置 Linux 内核防火墙。它提供了强大的数据包过滤功能，可以基于各种条件定义复杂的规则。firewalld是一个动态的防火墙管理工具，支持定义复杂的防火墙规则，并支持网络区域的概念，可以更灵活地管理网络接口和服务。ufw(Uncomplicated Firewall) 是 Ubuntu 提供的一个简单易用的防火墙配置工具，专为简化iptables配置而设计。防火墙策略配置是确保系统安全的重要步骤。本文详细介绍了如何使用iptablesfirewalld和ufw。
Linux防火墙之iptables详解
qq_50685659的博客
05-15 6723
防火墙分类 从逻辑上分类 主机防火墙：针对单个主机防护 网络防火墙：出于网络入口或边缘，针对网络入口防护，服务于防火墙背后的本地局域网 从物理上分类 软件防火墙 硬件防火墙 iptables包过滤防火墙 （在用户空间） netfilter（真正意义上防火墙）在内核空间的 内核空间：也叫内核态，操作系统占据的内核区域 用户空间：也叫用户态，用户进程所在的内存区域 iptables四表五链 防火墙是按照规则办事的，我们就来说说规则 （rules） ，规则其实就是网络管理员预定义的条件，规则一般的定义为"如果数据
架构-防火墙iptables
Struggle_Hard_Z的博客
12-25 1932
架构图详解 架构: 把一个整体（完成人类生存的所有工作）切分成不同的部分（分工），由不同角色来完成这些分工，并通过建立不同部分相互沟通的机制，使得这些部分能够有机的结合为一个整体，并完成这个整体所需要的所有活动，这就是架构 1.用户需求 用户带着域名提交访问请求 2.DNS 通过DNS解析域名找到该域名对应IP返回 3.防火墙(iptables) 也叫:包过滤防火墙 iptables内置4个表，即filter表、nat表、mangle表和raw表 每个表都会有相应的链 filter表
深入理解Linux防火墙-iptables规则链解析
## 1.1 什么是Linux防火墙-iptables 在Linux系统中，iptables是一个功能强大的防火墙工具，用于管理和控制网络数据流。它操作Linux内核中的Netfilter模块，负责对进出系统的数据包进行过滤、转发和修改。 iptables...
Linux系统中配置防火墙
cheagoun的博客
05-12 1836
开启Firewall防火墙后，默认情况下，只有本机可以访问本机的容器和应用。
linux防火墙简单介绍（iptables、iptables.service、firewalld）
紫薯的博客
10-02 900
对于第一次学习linux防火墙的同学来说，各种名词可能会把自己脑袋搞晕，不清楚各个名词之前的关系，我就是如此。网上的资料有很多但是很杂很乱，新出来的ChatGPT比百度好用多了，我在这里进行归纳整理，帮助初学者更好的理解，以下演示环境为centos7。 防火墙主要分为硬件防火墙和软件防火墙，硬件防护墙是专门设计的一台主机，其中的操作系统主要以提供数据包数据的过滤机制为主，将其他不必要的功能拿掉，因此数据包过滤的效率最佳。本文讲解软件防火墙，硬件防护墙这里不讨论。
linux基础服务和防火墙解析
weixin_69897928的博客
05-07 230
在学习中每学习一个命令和知识点就尽可能的直接打出来运行，达到学精不能等到最后用上了，忘记了。 重点以及中心正解：除了shell以为的所有包含 一：linux中一切皆文件 二：要想配置一个文件就是修改配置文件内容 三：想让服务生效就重启本服务。加入到启动项中。 语法格式：systemctl [参数] [服务] 常用参数： -start 启动服务 -stop 停止服务 -restart 重启服务 -enable 使某服务开机自启 -disable 关闭
Linux防火墙详解及案例
weixin_64879549的博客
01-17 1812
Linux防火墙详解及案例
iptables 命令和 iptables.service 服务 有什么关系 ?
山河已无恙
12-06 1403
傍晚时分，你坐在屋檐下，看着天慢慢地黑下去，心里寂寞而凄凉，感到自己的生命被剥夺了。当时我是个年轻人，但我害怕这样生活下去，衰老下去。在我看来，这是比死亡更可怕的事。--------王小波我对 命令 和 的一些疑惑,在 提了相关问题，有小伙伴为我做了解答，下面为问题和答案我一直以为因为有 服务才可以使用 命令，实际上并不是这样的， 是基于内核的，和 没有关系，不用安装任何工具包就可以使用 命令添加的防火墙规则，只是添加的规则是临时的，基于内存的，会在系统重启前消失，所以需要 , 来对添加的规
在Linux上使用iptables命令开启对外访问的网络端口
weixin_34391445的博客
09-27 140
如果linux下没有开启对某端口访问权限，你可以通过下面的命令可以开启允许对外访问的网络端口，示例如下： [root@asg76 sysconfig]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT[root@asg76 sysconfig]# iptables -I INPUT -p tcp --dport 8080 -j ACCEPT[root@...
linux防火墙工作在osl中的,Linux_OSI简介和TCP/IP协议（封装与解封装）
weixin_35101659的博客
05-12 219
2020.3.3#千锋逆战班，云计算201#在千锋“逆战”学习第3天，我在千锋逆战班学习“网络管理”今天学到了网络管理。知道了在Linux系统中如何进行OSL,TCP/IP协议族和进制转换。拼搏到无能为力，坚持到感动自己。OSI简介Open System Interconnection 开放系统互联模型OSI:7层次结构/功能应用层： 应用程序/原始数据/ QQ/YY/爱奇艺/吃鸡表示层：格式/压...
iptables防火墙详解
虎哥LoveDroid
02-16 1952
netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，iptables免费开源，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。iptables 是用来设置、维护和检查 Linux 内核的防火墙 IP 报文过滤规则和网络地址转换规则的。Linux 防火墙通常包含两部分,分别为 iptables 和 netfilter。iptables 是 Linux 管理防火墙规则的命令行工具,处于用户空间。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值