防火墙

最新推荐文章于 2024-03-14 16:23:25 发布
最新推荐文章于 2024-03-14 16:23:25 发布
阅读量305 收藏
点赞数

什么是防火墙?
一道保护性的安全屏障
对内网保护,隔离外网
软件防火墙firewalld
底层是包过滤防火墙iptables
iptables的表,链结构:四张表 五条链
表名(表是服务的功能分类)

raw状态跟踪
mangle 打标记
nat地址转换
filter过滤表

链名(匹配数据包传输的方向)

INPUT进入防火墙的数据包
OUTPUT从防火墙主机出去的数据包
FORWARD经过防火墙主机的数据包
POSTROUTING路由后处理
PREROUTING路由前处理

命令格式:
]#:iptables -t 表名 选项(增删改查) 链名 匹配条件 -j 处理动作
选项包括
-L:列出所有的管理条目
-n:以数字形式显示地址,端口等信息
-I:在链的开头(或指定序号)插入一条规则
-A:在链的末尾追加一条规则
-P:为指定的链设置默认规则
-D;删除链内指定序号(或内容)的一条规则
-F:清空所有的规则
–line-numbers:查看规则时,显示规则的序号
匹配条件(规则)的表示方式（可以取反加！）

选项用法
协议匹配-p　协议名
地址匹配-ｓ　源地址，-ｄ 目标地址
接口匹配-i 收数据的网卡，-o　发数据的网卡
端口匹配–sport 源端口,–dport　目标端口
ICMP类型匹配–icmp-type ICMP类型

规则的执行顺序
顺序匹配,匹配即停止(LOG除外)
若无任何匹配,则按该链的默认策略处理

处理动作包括
DROP:丢弃
REJECT:拒绝
ACCEPT:放行
LOG:记录日志
SNAT:源地址转换
DNAT:目标地址转换

网络型防护墙(控制数据包是否允许经过自己)
使用的是:filter表的FORWARD链子

[root@c ~]# iptables -t  filter -nL --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
1    REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

filter表的链名和所对应的规则
链名(规则)

[root@c ~]# iptables -t raw -F
[root@c ~]# iptables -t mangle  -F
[root@c ~]# iptables -t filter  -F
[root@c ~]# iptables -t nat -F
[root@c ~]# iptables-save > /etc/sysconfig/iptables
[root@c ~]# systemctl restart iptables.service 
[root@c ~]# iptables -t  filter -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@c ~]# iptables -t raw -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@c ~]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
[root@c ~]# iptables -t mangle -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

清空默认规则,并永久生效,链的默认规则只能是ACCEPT或DROP

主机型防火墙(自己保护自己)
使用的是:filter表 INPUT链
不指定表的情况下默认是filer表
封锁IP地址／网段
主机防护，针对入站访问的源地址
网络防护，针对转发访问的源地址

只放行ssh,并查看设置永久生效
[root@c ~]# iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination    
[root@c ~]#iptables -t filter -A INPUT -p tcp --dport 22(目标端口) -j ACCEPT
[root@c ~]#iptables -t filter -P INPUT DROP
[root@c ~]#iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
[root@c ~]#iptables-save > /etc/sysconfig/iptables
上面是0.0.0.0全网段,所以所有网段都可以进行ssh
下面的是只让192.168.2.0网段可以通过
[root@c ~]# iptables -t filter -I INPUT 1 -s 192.168.2.0/24 -p tcp --dport 22 -j ACCEPT
[root@c ~]# iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.2.0/24       0.0.0.0/0            tcp dpt:22
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
[root@c ~]# iptables -D INPUT 2
删除之前的全网段ssh连接,造成的结果的非192.168.2.0网段的ssh连接掉线
[root@c ~]# iptables-save > /etc/sysconfig/iptables

禁Ping相关策略处理(发送出去echo-request;进入包echo reply)
允许本机ping其他主机，不允许别人ping自己

[root@c ~]# iptables -t filter -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 0
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
[root@c ~]# iptables -t filter -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT

清理所有的规则

[root@c ~]# iptables -t filter -P INPUT ACCEPT
[root@c ~]# iptables -t filter -F INPUT
[root@c ~]# iptables-save > /etc/sysconfig/iptables
[root@c ~]# iptables -t filter -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

网络型防火墙(控制数据包是否允许经过自己)filter表　FORWARD链
加网关：route add default gw 网关
查看网关：route -n

[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
[root@c ~]# iptables -t filter -A  FORWARD -p tcp --dport 22 -j ACCEPT 
[root@c ~]# iptables -t filter -A  FORWARD -p tcp --sport 22 -j ACCEPT 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
可以从外网连接到内网的服务器

常见的扩展条件类型

选项用法
MAC地址匹配-m mac --mac-source MAC地址
多端口匹配-m multiport --sports 源端口列表　--dports 目标端口列表
IP范围匹配-m iprange --src-range IP1-IP2, -m iprange --dst-range IP1-IP2

为特定的网段设置条件

[root@c ~]# iptables -t filter -A FORWARD -p icmp -j ACCEPT 
[root@c ~]# iptables -t filter -I FORWARD 5 -p icmp -m iprange --src-range 192.168.4.50-192.168.4.60 -j DROP 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
5    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            source IP range 192.168.4.50-192.168.4.60
6    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0

禁掉不让通过的主机MAC地址

[root@c ~]# iptables -t filter -I FORWARD 5 -p icmp -m mac --mac-so[root@c ~]# iptables -t filter -I FORWARD 5 -p icmp -m mac --mac-source 52:54:00:44:bc:5e -j DROP 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
5    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
6    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0

多端口一块进行限制或开放

[root@c ~]# iptables -t filter -A FORWARD -p tcp -m multiport --dports 22,80,3306 -j ACCEPT 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:22
5    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
6    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
7    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 22,80,3306
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -D FORWARD 1
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 22,80,3306
[root@c ~]# iptables -t filter -A FORWARD -p tcp -m multiport --sports 22,80,3306 -j ACCEPT 
[root@c ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy DROP)
num  target     prot opt source               destination         
1    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:44:BC:5E
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 22,80,3306
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport sports 22,80,3306

删除网关命令：route del default gw 192.168.2.45
李立衡
关注
Firewall
PrIn3e的博客
12-02 2027
Firewall  防火墙 firewall-ifconfig  防火墙web管理工具 通过在web界面可以对防火墙进行设置 firewall-ifconfig 配置分为两种runtime和permanent  runtime表示当前运行生效，当前设置的参数，当系统重启之后就会失效  permanent表示永久生效，设置的参数永久生效，但是在完成设置之后，必须重新载入防火墙， z
firewall
vhkgcf的博客
08-18 787
firewall-cmd --state    ##状态 firewall-cmd --get-active-zones    ##正在活动的域 firewall-cmd --get-default-zone    ##默认的域 firewall-cmd --get-zones    ##所有的域 firewall-cmd --zone=public --list-all    ##列出p...
linux防火墙管理——firewalld
qq_41961805的博客
02-25 286
在linux中，firewalld并不具备防火墙功能，它的作用是管理和维护规则。 firewalld的基础设定 systemctl start firewalld ##开启 systemctl enabled firewalld ##设置开机自启 systemctl stop firewalld ##关闭 systemctl disable firewalld ##设置开机不自启 ...
firewalld ipset 封禁ip
lx_1314的博客
07-19 929
firewalld ipset 封禁ip
firewalld系列一：自定义zone与ipset
刘元林的博客
02-25 4067
自定义zone # 添加/删除zone firewall-cmd --new-zone=mysshzone --permanent firewall-cmd --delete-zone=mysshzone --permanent # 查询所有zone列表 firewall-cmd --get-zones block dmz drop external home internal mysshzone public trusted work # 显示生效的zone firewall-cmd --get-a
华为ensp防火墙镜像包
03-11
华为ensp防火墙镜像包
红帽防火墙配置文件：打开防火墙，并开放某些端口
04-21
红帽系统可以直接将此配置文件放到【/etc/sysconfig】路径下，命名为iptables注意不要删除最后一行。 以下内容为打开某个端口 -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
天融信防火墙NGFW4000快速配置手册
03-16
天融信防火墙NGFW4000快速配置手册 本手册介绍了天融信防火墙NGFW4000的快速配置方法，涵盖了防火墙的五种管理方式：串口管理、TELNET管理、SSH管理、WEB管理和GUI管理。每种管理方式都提供了详细的步骤和配置参数...
zabbix6.0深信服防火墙模板
01-15
zabbix6.0深信服防火墙模板 Sangfor AD by SNMP模板 zabbix 模板
防火墙性能测试浅析
03-23
防火墙性能测试浅析性能测试用例防火墙是目前网络安全领域广泛使用的设备。其主要目的就是保证对合法流量的保护和对非法流量的抵御。众所周知,在世界范围内网络带宽(包括核心网络及企业边缘网络)总的趋势是不断的...
firewalld常用命令
qq_44293888的博客
12-21 744
​ firewall-cmd --permanent --zone=work --change-interface=网卡名称。​ – ipsetipset配置文件。​ – 判断一个ip在集合中是否存在。​ – 往ipset中增加元素。​ – 删除rich-rule。​ – 从ipset删除元素。​ – 切换网卡到指定区域。​ – 查看所有ipset。​ – 查看指定ipset。​ – 删除指定ipset。​ – 查看集合中所有元素。​ – 查看端口相关。​ – 删除ipset。​ – 使用ipset。
firewall-cmd经典使用案例
u013454416的博客
03-14 526
总的来说，firewall-cmd是一个强大且灵活的防火墙管理工具，可以帮助用户有效地管理Linux系统的防火墙规则。放置在云上的服务器，无防火墙情况下建议一定要开启系统自身这个firewall-cmd,如需更多关于firewall-cmd的信息，建议查阅相关手册或在线文档。
firewall-cmd rich-rule
m00ndown
09-11 6825
firewall-cmd --list-rich-rule firewall-cmd --query-rich-rule='rule' firewall-cmd --add-rich-rule='rule' firewall-cmd --remove-rich-rule='rule' rich rule语法： rule [family="rule family"]     [ source [...
Linux 防火墙firewall-cmd配置命令大全
weixin_45626288的博客
09-17 6945
Linux 防火墙firewall-cmd配置命令大全 启动CentOS/RHEL 7后，防火墙规则设置由firewalld服务进程默认管理。 一个叫做firewall-cmd的命令行客户端支持和这个守护进程通信以永久修改防火墙规则。 查看状态 firewall-cmd --state 查看防火墙所有信息 firewall-cmd --list-all 查看已经开放的端口： firewall-cmd --list-ports 如要查询是否开启80端口 firewall-cmd --query-port
【firewalld】CentOS7下firewall的ipset配置使用详解
Imba
08-24 9772
一、ipset概述 ipset与iptable iptables是在Linux内核中配置防火墙规则的用户空间工具。在内核版本更新到2.4以来，iptable一直作为系统中主要的防火墙解决方案。CentOS7将原来的iptable替换为firewall，而firewall提供了对ipset的支持。 ipset相当于iptable的扩展，它和iptable 处理方式，iptable通过链表...
# Linux命令之firewall-cmd
超级无敌棒棒糖
07-27 3945
CENTOS 7 FIREWALLD详解及添加删除策略 文章目录CENTOS 7 FIREWALLD详解及添加删除策略一、CENTOS7中FIREWALL防火墙二、防火墙配置文件三、CENTOS7的FIREWALLD开启端口/IP、屏蔽IP四、FIREWALLD防火墙 禁止/限制 特定用户的IP访问，DROP和REJECT区别 原文链接：https://www.cnblogs.com/faithH/p/11811286.html 一、CENTOS7中FIREWALL防火墙 修改防火墙配置文件之前，需要对
【高创新】基于鲸鱼优化算法WOA-Transformer-LSTM实现故障识别Matlab实现.rar
最新发布
09-18
1.版本：matlab2014/2019a/2024a 2.附赠案例数据可直接运行matlab程序。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。 替换数据可以直接使用，注释清楚，适合新手
防火墙：构建互联网安全基石
防火墙与因特网安全是一本深入探讨网络安全防护的重要教材，特别关注于防火墙在保护互联网安全中的核心作用。该书分为两大部分：入门和构建你自己的防火墙。 在入门部分，首先介绍了安全问题的必要性，强调了研究...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值