RHEL 7中的防火墙(1) ---- iptables

RHEL7系统中存在两种类型的防火墙: iptables和firewalld，严格意义上讲，iptables和firewalld都不是真正的防火墙，它们只是用来定义防火墙策略的管理工具而已。

iptables会把配置好的防火墙策略交给内核层面的 netfilter 处理；firewalld把配置好的防火墙策略交给内核层面的nftables包过滤框架处理。

防火墙以从上向下的顺序来读取配置的策略规则，在找到匹配项后立即结束匹配工作并执行匹配项中定义的行为（放行或阻止）。若在读取所有策略规则后没有匹配项，就执行默认策略。

iptables服务把用于处理过滤流量的策略称之为规则，多条规则组成了一个规则链，规则链按照数据包处理位置的不同进行分类，可分为：

• 数据路由前处理数据包 — PREROUTING
• 数据流入时处理 — INPUT
• 数据流出时处理 — OUTPUT
• 输出转发时处理 — FORWARD
• 数据路由后处理 — POSTROUTING

通常从内网向外网发送的数据都是良性的，通常需要处理的是从外网流向内网的数据，也就是INPUT规则链。iptables对不同数据的处理动作有:

• ACCEPT — 允许流量通过
• REJECT — 拒绝流量通过，且回复流量发送方被拒绝
• LOG — 记录日志信息
• DROP — 直接将流量丢弃，不响应发送方

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功就会根据策略规则所预设的动作来处理这些流量，以下是常见的参数：

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	将规则加入规则链末尾
-I	将规则插入规则链头部
-s	匹配源地址，加"!"表示除这个ip外
-d	匹配目的地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议，如tcp、udp、icmp
-j	指定该条规则的行为，有ACCEPT、REJECT、LOG、REJECT
–dport	匹配目标端口号
–sport	匹配源端口号

查看已有防火墙规则 iptables -L

其中的policy ACCEPT表示默认动作是放行， target是对具体规则的动作，prot是协议，source是源地址，destination是目的地址

清空已有防火墙规则 iptables -F

设置指定规则链的默认策略 iptables -P 规则链名称 ACCEPT/REJECT/LOG/DROP

以上把INPUT规则链设置为drop后，xshell就无法连接到该目标linux主机了，此时ping该台主机也直接timed out

需要注意的是规则链的默认拒绝动作只能是DROP，而不能是REJECT。

在平常工作中，经常使用ping来检查目的主机是否在线，可以向防火墙的INPUT规则链中添加一条允许ICMP流量进入的规则，允许ping命令检测行为

向规则链中插入规则: iptables -I 规则链名 规则
（以下命令在linux主机上执行）

然后在ping该台主机就可以ping通了

删除规则链中指定的规则 iptables -D 规则链名 规则索引(从1开始)

把INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量：

注意第一条规则使用 -I 将其插入到规则链头部，第二条规则使用 -A 将其添加到规则链尾部，这是因为防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有流量都将被拒绝。

向INPUT规则链中添加拒绝所有人访问主机18006端口的规则：

向INPUT规则链中添加拒绝192.168.56.104主机访问本机80端口(通常为web服务)的规则:

向INPUT规则链中添加拒绝所有主机访问本机 1000~1024端口的规则：

需要注意的是，使用iptables命令配置的防火墙规则默认在系统重启后失效，若想要防火墙策略永久生效，需要执行命令 service iptables save