Linux防火墙（以iptables为例）

Linux配置防火墙

写在前面，iptables官网：
https://www.frozentux.net/iptables-tutorial/iptables-tutorial.html

1. 引言

在互联网时代，网络安全问题成为了一个极为重要的议题。为了保护服务器和计算机免受网络攻击的威胁，配置防火墙是必不可少的。本节将介绍如何在Linux系统上配置防火墙。

2. 什么是防火墙

防火墙是一种网络安全设备，用于监视和控制网络数据流量。其主要功能是在不同网络之间建立一条阻隔，对进出的数据流量进行过滤和筛选，从而保护内部网络免受未经授权的访问和恶意攻击。
防火墙通过规则集合控制网络流量的通过与阻止，这些规则可以根据网络策略和需求进行配置。不正确的配置可能导致无法访问特定服务或应用程序。

3. Linux中的防火墙

Linux操作系统提供了内置的防火墙工具，包括iptables和firewalld。这些工具可以用来管理网络流量的过滤规则。

3.1 iptables

iptables是一个在Linux内核中操作防火墙规则的工具。它提供了一种灵活的方式来定义规则，控制网络流量的通过与阻止。
iptables使用表（table），链（chain）和规则（rule）来实现这一功能。
iptables的规则由多个表组成，每个表又包含多个链。每个链包含一系列的规则，规则决定了如何处理数据包。
常用的表包括filter、nat和mangle

• filter表用于过滤数据包
  • 三个链：INPUT、FORWARD、OUTPUT
• nat表用于网络地址转换
  • 三个链：PREROUTING、POSTROUTING、OUTPUT
• mangle表用于修改数据包头信息。
  • 五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD

链的解释：

• INPUT——进来的数据包应用此规则链中的策略
• OUTPUT——外出的数据包应用此规则链中的策略
• FORWARD——转发数据包时应用此规则链中的策略
• PREROUTING——对数据包作路由选择前应用此链中的规则
  （所有的数据包进来的时侯都先由这个链处理）
• POSTROUTING——对数据包作路由选择后应用此链中的规则
  （所有的数据包出来的时侯都先由这个链处理）

iptables规则可以根据源IP地址、目标IP地址、端口号、协议类型等来筛选和转发数据包。用户可以自定义规则，允许或阻止特定的网络连接。

iptables命令参数

参数	含义
-L	显示表中的所有规则
-n	不要把端口或IP反向解析为名字
-t	指定表，不指定默认是filter表
-A	append追加，加入准许类规则
-D	delete删除，例如 -D INPUT 1
-I	insert拒绝类规则放在所有规则的最上面
-p	协议protocal tcp/udp/icmp/all
–dport	目标端口dest destination指定端口加上协议 -p tcp
–sport	源端口，source源
-d	–destination 目标IP
-s	–source 来源IP或网段
-m	指定模块 multiport
-i	input输入的时候，从哪个网卡进来
-o	output输出的时候，从哪个网卡出去
-j	满足条件后的工作：DROP/ACCEPT/REJECT
DROP	把数据丢掉，不会返回信息给用户
REJECT	拒绝，返回拒绝信息
-F	flush 清除所有规则，不会处理默认的规则
-X	删除用户自定义的链
-Z	链的计数器清零（数据包计数器和数据包字节计数器）

常用方式：

3.1.1 安装iptables

几乎所有的Linux发行版都内置了iptables，不需要额外安装。但是，对于某些较新的发行版来说，可能启用了firewalld，所以需要先禁用firewalld才能使用iptables。

3.1.2 配置iptables规则

以下是一些常用的iptables命令：

•	iptables -L：列出当前的iptables规则。
•	iptables -A chain：添加一条规则到指定链。
•	iptables -D chain rule_number：删除指定链上的一条规则，规则从1编号
•	iptables -P chain target：设置指定链上到目标机器的默认处理动作。
•	iptables -I chain [rule_number]：在指定链上指定位置插入一条规则。

3.1.3 示例一：使用iptables配置防火墙规则

使用iptables来配置一个简单的防火墙，只允许通过SSH和HTTP访问服务器。

1. 首先检查iptables的状态，确保它已经启用：

$ sudo systemctl status iptables

2. 添加一个允许SSH连接（22端口）的规则：

$ sudo iptables -A INPUT  -p tcp  --dport 22  -j ACCEPT

3. 添加一个允许HTTP连接（80端口）的规则：

$ sudo iptables -A INPUT  -p tcp  --dport 80  -j ACCEPT

4. 允许已建立的连接和相关的数据包通过：

$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

conntrack是一种状态跟踪和记录的机制，本身并不能过滤数据包，只是提供包过滤的依据。有状态是一种过滤依据，无状态实际也是一种过滤依据。其他还有INVALID（无效连接）、CLOSE（关闭连接）、TIME_WAIT（等待超时）、NEW（新建连接）等状态。

5. 将默认的处理动作设置为拒绝：

$ sudo iptables -P INPUT DROP

6. 使用iptables禁用23端口

iptables -A INPUT -p tcp --dport 23 -j DROP

7. 使用iptables禁止别人ping通，直接丢弃 icmp 的请求包

iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

8. 为防止SSH服务被暴力枚举，设置iptables防火墙策略仅允许172.16.10.0/24网段内的主机通过SSH连接本机

iptables –A INPUT –p tcp –dport 22 –s 172.16.10.0/24 –j ACCEPT
iptables –A INPUT –p tcp –dport 22 -j DROP

9. 设置防火墙允许本机转发除ICMP协议以外的所有数据包

iptables -A FORWARD -p ! icmp -j ACCEPT

10. 在工作时间，即周一到周五的8:30-18:00，开放本机的ftp给192.168.1.0/24网络中的主机访问

iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -m time --weekdays 1,2,3,4,5 --timestart 08:30 --timestop 18:00 -j ACCEPT

11. 配置iptables防火墙过滤规则，以封堵目标网段（172.16.1.0/24），并在两小时后解除封锁

iptables -I INPUT -s 172.16.1.0/24 -j DROP
iptables -I FORWARD -s 172.16.1.0/24 -j DROP
at now +2 hours
at> iptables -D INPUT 1
at> iptables -D FORWARD 1

例：屏蔽某个ip

# iptables -I INPUT  -s 10.0.0.7   -j DROP
# iptables -I INPUT  -s 172.16.1.7   -j DROP   

12. 在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给 192.168.1.0网络中的主机访问要求从ftp服务的数据下载请求次数每分钟不得超过 5 个

iptables -A INPUT -s 172.16.0.0/16 -d 192.168.1.111 -p tcp --dport 21 -m time --timestart 8:30 --timestop 18:00 --weekdays 1,2,3,4,5 -m connlimit --connlimit-upto 5 -j ACCEPT

引用：iptables常用命令_iptables命令-CSDN博客

4. iptables执行过程

防火墙是层层过滤的，实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
　　如果匹配成功规则，即明确表示是拒绝(DROP)还是接收(ACCEPT)，数据包就不再向下匹配新的规则。
　　如果规则中没有明确表明是阻止还是通过的，也就是没有匹配规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。
　　防火墙的默认规则是所有规则都匹配完才会匹配的。

DROP 是直接将流量丢弃而且不响应；
REJECT 则会在拒绝流量后再回复一条“信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。