防火墙

最新推荐文章于 2024-03-14 16:23:25 发布
最新推荐文章于 2024-03-14 16:23:25 发布
阅读量305 收藏
点赞数

什么是防火墙?
一道保护性的安全屏障
对内网保护,隔离外网
软件防火墙firewalld
底层是包过滤防火墙iptables
iptables的表,链结构:四张表 五条链
表名(表是服务的功能分类)

raw状态跟踪
mangle 打标记
nat地址转换
filter过滤表

链名(匹配数据包传输的方向)

INPUT进入防火墙的数据包
OUTPUT从防火墙主机出去的数据包
FORWARD经过防火墙主机的数据包
POSTROUTING路由后处理
PREROUTING路由前处理

命令格式:
]#:iptables -t 表名 选项(增删改查) 链名 匹配条件 -j 处理动作
选项包括
-L:列出所有的管理条目
-n:以数字形式显示地址,端口等信息
-I:在链的开头(或指定序号)插入一条规则
-A:在链的末尾追加一条规则
-P:为指定的链设置默认规则
-D;删除链内指定序号(或内容)的一条规则
-F:清空所有的规则
–line-numbers:查看规则时,显示规则的序号
匹配条件(规则)的表示方式（可以取反加！）

选项用法
协议匹配-p　协议名
地址匹配-ｓ　源地址，-ｄ 目标地址
接口匹配-i 收数据的网卡，-o　发数据的网卡
端口匹配–sport 源端口,–dport　目标端口
ICMP类型匹配–icmp-type ICMP类型

规则的执行顺序
顺序匹配,匹配即停止(LOG除外)
若无任何匹配,则按该链的默认策略处理

处理动作包括
DROP:丢弃
REJECT:拒绝
ACCEPT:放行
LOG:记录日志
SNAT:源地址转换
DNAT:目标地址转换

网络型防护墙(控制数据包是否允许经过自己)
使用的是:filter表的FORWARD链子

[root@c ~]# iptables -t  filter -nL --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
1    REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

filter表的链名和所对应的规则
链名(规则)

[root@c ~]# iptables -t raw -F
[root@c ~]# iptables -t mangle  -F
[root@c ~]# iptables -t filter  -F
[root@c ~]# iptables -t nat -F
[root@c ~]# iptables-save > /etc/sysconfig/iptables
[root@c ~]# systemctl restart iptables.service 
[root@c ~]# iptables -t  filter -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@c ~]# iptables -t raw -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@c ~]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
[root@c ~]# iptables -t mangle -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

清空默认规则,并永久生效,链的默认规则只能是ACCEPT或DROP

主机型防火墙(自己保护自己)
使用的是:filter表 INPUT链
不指定表的情况下默认是filer表
封锁IP地址／网段
主机防护，针对入站访问的源地址
网络防护，针对转发访问的源地址

只放行ssh,并查看设置永久生效
[root@c ~]# iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination    
[root@c ~]#iptables -t filter -A INPUT -p tcp --dport 22(目标端口) -j ACCEPT
[root@c ~]#iptables -t filter -P INPUT DROP
[root@c ~]#iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
[root@c ~]#iptables-save > /etc/sysconfig/iptables
上面是0.0.0.0全网段,所以所有网段都可以进行ssh
下面的是只让192.168.2.0网段可以通过
[root@c ~]# iptables -t filter -I INPUT 1 -s 192.168.2.0/24 -p tcp --dport 22 -j ACCEPT
[root@c ~]# iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.2.0/24       0.0.0.0/0            tcp dpt:22
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
[root@c ~]# iptables -D INPUT 2
删除之前的全网段ssh连接,造成的结果的非192.168.2.0网段的ssh连接掉线
[root@c ~]# iptables-save > /etc/sysconfig/iptables

禁Ping相关策略处理(发送出去echo-request;进入包echo reply)
允许本机ping其他主机，不允许别人ping自己

[root@c ~]# iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 0
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
[root@c ~]# iptables -t filter -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT

清理所有的规则

[root@c ~]# iptables -t filter -P INPUT ACCEPT
[root@c ~]# iptables -t filter -F INPUT
[root@c ~]# iptables-save > /etc/sysconfig/iptables
[root@c ~]# iptables -t filter -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

网络型防火墙(控制数据包是否允许经过自己)filter表　FORWARD链
加网关：route add default gw 网关
查看网关：route -n

[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
[root@c ~]# iptables -t filter -A  FORWARD -p tcp --dport 22 -j ACCEPT 
[root@c ~]# iptables -t filter -A  FORWARD -p tcp --sport 22 -j ACCEPT 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
可以从外网连接到内网的服务器

常见的扩展条件类型

选项用法
MAC地址匹配-m mac --mac-source MAC地址
多端口匹配-m multiport --sports 源端口列表　--dports 目标端口列表
IP范围匹配-m iprange --src-range IP1-IP2, -m iprange --dst-range IP1-IP2

为特定的网段设置条件

[root@c ~]# iptables -t filter -A FORWARD -p icmp -j ACCEPT 
[root@c ~]# iptables -t filter -I FORWARD 5 -p icmp -m iprange --src-range 192.168.4.50-192.168.4.60 -j DROP 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
5    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            source IP range 192.168.4.50-192.168.4.60
6    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0

禁掉不让通过的主机MAC地址

[root@c ~]# iptables -t filter -I FORWARD 5 -p icmp -m mac --mac-so[root@c ~]# iptables -t filter -I FORWARD 5 -p icmp -m mac --mac-source 52:54:00:44:bc:5e -j DROP 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
5    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
6    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0

多端口一块进行限制或开放

[root@c ~]# iptables -t filter -A FORWARD -p tcp -m multiport --dports 22,80,3306 -j ACCEPT 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
5    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
6    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
7    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 22,80,3306
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 22,80,3306
[root@c ~]# iptables -t filter -A FORWARD -p tcp -m multiport --sports 22,80,3306 -j ACCEPT 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 22,80,3306
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport sports 22,80,3306

删除网关命令：route del default gw 192.168.2.45
李立衡
关注
Firewall
PrIn3e的博客
12-02 2026
Firewall  防火墙 firewall-ifconfig  防火墙web管理工具 通过在web界面可以对防火墙进行设置 firewall-ifconfig 配置分为两种runtime和permanent  runtime表示当前运行生效，当前设置的参数，当系统重启之后就会失效  permanent表示永久生效，设置的参数永久生效，但是在完成设置之后，必须重新载入防火墙， z
firewall
vhkgcf的博客
08-18 787
firewall-cmd --state    ##状态 firewall-cmd --get-active-zones    ##正在活动的域 firewall-cmd --get-default-zone    ##默认的域 firewall-cmd --get-zones    ##所有的域 firewall-cmd --zone=public --list-all    ##列出p...
linux防火墙管理——firewalld
qq_41961805的博客
02-25 286
在linux中，firewalld并不具备防火墙功能，它的作用是管理和维护规则。 firewalld的基础设定 systemctl start firewalld ##开启 systemctl enabled firewalld ##设置开机自启 systemctl stop firewalld ##关闭 systemctl disable firewalld ##设置开机不自启 ...
firewalld ipset 封禁ip
lx_1314的博客
07-19 929
firewalld ipset 封禁ip
firewalld系列一：自定义zone与ipset
刘元林的博客
02-25 4066
自定义zone # 添加/删除zone firewall-cmd --new-zone=mysshzone --permanent firewall-cmd --delete-zone=mysshzone --permanent # 查询所有zone列表 firewall-cmd --get-zones block dmz drop external home internal mysshzone public trusted work # 显示生效的zone firewall-cmd --get-a
华为ensp防火墙镜像包
03-11
华为ensp防火墙镜像包
天融信防火墙NGFW4000快速配置手册
03-16
天融信防火墙NGFW4000快速配置手册 本手册介绍了天融信防火墙NGFW4000的快速配置方法，涵盖了防火墙的五种管理方式：串口管理、TELNET管理、SSH管理、WEB管理和GUI管理。每种管理方式都提供了详细的步骤和配置参数...
红帽防火墙配置文件：打开防火墙，并开放某些端口
04-21
红帽系统可以直接将此配置文件放到【/etc/sysconfig】路径下，命名为iptables注意不要删除最后一行。 以下内容为打开某个端口 -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
zabbix6.0深信服防火墙模板
01-15
zabbix6.0深信服防火墙模板 Sangfor AD by SNMP模板 zabbix 模板
防火墙性能测试浅析
03-23
防火墙性能测试浅析性能测试用例防火墙是目前网络安全领域广泛使用的设备。其主要目的就是保证对合法流量的保护和对非法流量的抵御。众所周知,在世界范围内网络带宽(包括核心网络及企业边缘网络)总的趋势是不断的...
firewalld常用命令
qq_44293888的博客
12-21 742
​ firewall-cmd --permanent --zone=work --change-interface=网卡名称。​ – ipsetipset配置文件。​ – 判断一个ip在集合中是否存在。​ – 往ipset中增加元素。​ – 删除rich-rule。​ – 从ipset删除元素。​ – 切换网卡到指定区域。​ – 查看所有ipset。​ – 查看指定ipset。​ – 删除指定ipset。​ – 查看集合中所有元素。​ – 查看端口相关。​ – 删除ipset。​ – 使用ipset。
firewall-cmd经典使用案例
最新发布
u013454416的博客
03-14 526
总的来说，firewall-cmd是一个强大且灵活的防火墙管理工具，可以帮助用户有效地管理Linux系统的防火墙规则。放置在云上的服务器，无防火墙情况下建议一定要开启系统自身这个firewall-cmd,如需更多关于firewall-cmd的信息，建议查阅相关手册或在线文档。
firewall-cmd rich-rule
m00ndown
09-11 6825
firewall-cmd --list-rich-rule firewall-cmd --query-rich-rule='rule' firewall-cmd --add-rich-rule='rule' firewall-cmd --remove-rich-rule='rule' rich rule语法： rule [family="rule family"]     [ source [...
Linux 防火墙firewall-cmd配置命令大全
weixin_45626288的博客
09-17 6945
Linux 防火墙firewall-cmd配置命令大全 启动CentOS/RHEL 7后，防火墙规则设置由firewalld服务进程默认管理。 一个叫做firewall-cmd的命令行客户端支持和这个守护进程通信以永久修改防火墙规则。 查看状态 firewall-cmd --state 查看防火墙所有信息 firewall-cmd --list-all 查看已经开放的端口： firewall-cmd --list-ports 如要查询是否开启80端口 firewall-cmd --query-port
【firewalld】CentOS7下firewall的ipset配置使用详解
Imba
08-24 9771
一、ipset概述 ipset与iptable iptables是在Linux内核中配置防火墙规则的用户空间工具。在内核版本更新到2.4以来，iptable一直作为系统中主要的防火墙解决方案。CentOS7将原来的iptable替换为firewall，而firewall提供了对ipset的支持。 ipset相当于iptable的扩展，它和iptable 处理方式，iptable通过链表...
# Linux命令之firewall-cmd
超级无敌棒棒糖
07-27 3945
CENTOS 7 FIREWALLD详解及添加删除策略 文章目录CENTOS 7 FIREWALLD详解及添加删除策略一、CENTOS7中FIREWALL防火墙二、防火墙配置文件三、CENTOS7的FIREWALLD开启端口/IP、屏蔽IP四、FIREWALLD防火墙 禁止/限制 特定用户的IP访问，DROP和REJECT区别 原文链接：https://www.cnblogs.com/faithH/p/11811286.html 一、CENTOS7中FIREWALL防火墙 修改防火墙配置文件之前，需要对
iptables，firewalld防火墙知识再回顾
qq_27546717的博客
07-07 316
iptables 首先来看看传统的iptables如何使用。默认的iptables规则表有：fileter表（过滤规则表）、nat表（地址转换规则表）、mangle（修改数据标记位规则表）、raw（跟踪数据表规则表）。每个规则表中包含多个数据链：INPUT（入站数据过滤）、OUTPUT（出站数据过滤）、FORWARD（转发数据过滤）、PREROUTING（路由前过滤）和POSTROUTING（路由后过滤），防火墙规则需要写入到这些具体的数据链中。Linux防火墙的过滤框架，从图中可以看出，如果是外部主机发送
fedora 的 firewall 命令
kuaile_sky的专栏
01-22 2397
原文地址:http://fedoraproject.org/wiki/FirewallD/zh-cn 1 使用 FirewallD 构建动态防火墙 1.1 “守护进程”1.2 静态防火墙(system-config-firewall/lokkit)1.3 什么是区域？ 1.3.1 预定义的服务1.3.2 端口和协议1.3.3 ICMP 阻塞1.3.4 伪装1.3.
Centos7 firewall的基本配置命令
weixin_41951170的博客
04-29 1149
Centos7 firewall的基本配置命令Centos7 firewall的基本配置命令功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值