目录
Linux配置防火墙
写在前面,iptables官网:
https://www.frozentux.net/iptables-tutorial/iptables-tutorial.html
1. 引言
在互联网时代,网络安全问题成为了一个极为重要的议题。为了保护服务器和计算机免受网络攻击的威胁,配置防火墙是必不可少的。本节将介绍如何在Linux系统上配置防火墙。
2. 什么是防火墙
防火墙是一种网络安全设备,用于监视和控制网络数据流量。其主要功能是在不同网络之间建立一条阻隔,对进出的数据流量进行过滤和筛选,从而保护内部网络免受未经授权的访问和恶意攻击。
防火墙通过规则集合控制网络流量的通过与阻止,这些规则可以根据网络策略和需求进行配置。不正确的配置可能导致无法访问特定服务或应用程序。
3. Linux中的防火墙
Linux操作系统提供了内置的防火墙工具,包括iptables
和firewalld
。这些工具可以用来管理网络流量的过滤规则。
3.1 iptables
iptables
是一个在Linux内核中操作防火墙规则的工具。它提供了一种灵活的方式来定义规则,控制网络流量的通过与阻止。
iptables使用表(table)
,链(chain)
和规则(rule)
来实现这一功能。
iptables的规则由多个表组成,每个表又包含多个链。每个链包含一系列的规则,规则决定了如何处理数据包。
常用的表包括filter
、nat
和mangle
- filter表用于过滤数据包
- 三个链:INPUT、FORWARD、OUTPUT
- nat表用于网络地址转换
- 三个链:PREROUTING、POSTROUTING、OUTPUT
- mangle表用于修改数据包头信息。
- 五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
链的解释:
- INPUT——进来的数据包应用此规则链中的策略
- OUTPUT——外出的数据包应用此规则链中的策略
- FORWARD——转发数据包时应用此规则链中的策略
- PREROUTING——对数据包作路由选择前应用此链中的规则
(所有的数据包进来的时侯都先由这个链处理) - POSTROUTING——对数据包作路由选择后应用此链中的规则
(所有的数据包出来的时侯都先由这个链处理)
iptables规则可以根据源IP地址
、目标IP地址
、端口号
、协议类型
等来筛选和转发数据包。用户可以自定义规则,允许或阻止特定的网络连接。
iptables命令参数
参数 | 含义 |
---|---|
-L | 显示表中的所有规则 |
-n | 不要把端口或IP反向解析为名字 |
-t | 指定表,不指定默认是filter表 |
-A | append追加,加入准许类规则 |
-D | delete删除,例如 -D INPUT 1 |
-I | insert拒绝类规则放在所有规则的最上面 |
-p | 协议protocal tcp/udp/icmp/all |
–dport | 目标端口dest destination指定端口加上协议 -p tcp |
–sport | 源端口,source源 |
-d | –destination 目标IP |
-s | –source 来源IP或网段 |
-m | 指定模块 multiport |
-i | input输入的时候,从哪个网卡进来 |
-o | output输出的时候,从哪个网卡出去 |
-j | 满足条件后的工作:DROP/ACCEPT/REJECT |
DROP | 把数据丢掉,不会返回信息给用户 |
REJECT | 拒绝,返回拒绝信息 |
-F | flush 清除所有规则,不会处理默认的规则 |
-X | 删除用户自定义的链 |
-Z | 链的计数器清零(数据包计数器和数据包字节计数器) |
常用方式:
3.1.1 安装iptables
几乎所有的Linux发行版都内置了iptables,不需要额外安装。但是,对于某些较新的发行版来说,可能启用了firewalld,所以需要先禁用firewalld才能使用iptables。
3.1.2 配置iptables规则
以下是一些常用的iptables命令:
• iptables -L:列出当前的iptables规则。
• iptables -A chain:添加一条规则到指定链。
• iptables -D chain rule_number:删除指定链上的一条规则,规则从1编号
• iptables -P chain target:设置指定链上到目标机器的默认处理动作。
• iptables -I chain [rule_number]:在指定链上指定位置插入一条规则。
3.1.3 示例一:使用iptables配置防火墙规则
使用iptables来配置一个简单的防火墙,只允许通过SSH和HTTP访问服务器。
- 首先检查iptables的状态,确保它已经启用:
$ sudo systemctl status iptables
- 添加一个允许SSH连接(22端口)的规则:
$ sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
- 添加一个允许HTTP连接(80端口)的规则:
$ sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
- 允许已建立的连接和相关的数据包通过:
$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
conntrack是一种状态跟踪和记录的机制,本身并不能过滤数据包,只是提供包过滤的依据。有状态是一种过滤依据,无状态实际也是一种过滤依据。其他还有INVALID(无效连接)、CLOSE(关闭连接)、TIME_WAIT(等待超时)、NEW(新建连接)等状态。
- 将默认的处理动作设置为拒绝:
$ sudo iptables -P INPUT DROP
- 使用iptables禁用23端口
iptables -A INPUT -p tcp --dport 23 -j DROP
- 使用iptables禁止别人ping通,直接丢弃 icmp 的请求包
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
- 为防止SSH服务被暴力枚举,设置iptables防火墙策略仅允许172.16.10.0/24网段内的主机通过SSH连接本机
iptables –A INPUT –p tcp –dport 22 –s 172.16.10.0/24 –j ACCEPT
iptables –A INPUT –p tcp –dport 22 -j DROP
- 设置防火墙允许本机转发除ICMP协议以外的所有数据包
iptables -A FORWARD -p ! icmp -j ACCEPT
- 在工作时间,即周一到周五的8:30-18:00,开放本机的ftp给192.168.1.0/24网络中的主机访问
iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -m time --weekdays 1,2,3,4,5 --timestart 08:30 --timestop 18:00 -j ACCEPT
- 配置iptables防火墙过滤规则,以封堵目标网段(172.16.1.0/24),并在两小时后解除封锁
iptables -I INPUT -s 172.16.1.0/24 -j DROP
iptables -I FORWARD -s 172.16.1.0/24 -j DROP
at now +2 hours
at> iptables -D INPUT 1
at> iptables -D FORWARD 1
例:屏蔽某个ip
# iptables -I INPUT -s 10.0.0.7 -j DROP
# iptables -I INPUT -s 172.16.1.7 -j DROP
- 在工作时间,即周一到周五的8:30-18:00,开放本机的ftp服务给 192.168.1.0网络中的主机访问要求从ftp服务的数据下载请求次数每分钟不得超过 5 个
iptables -A INPUT -s 172.16.0.0/16 -d 192.168.1.111 -p tcp --dport 21 -m time --timestart 8:30 --timestop 18:00 --weekdays 1,2,3,4,5 -m connlimit --connlimit-upto 5 -j ACCEPT
引用:iptables常用命令_iptables命令-CSDN博客
4. iptables执行过程
防火墙是层层过滤的,实际是按照配置规则的顺序从上到下,从前到后进行过滤的。
如果匹配成功规则,即明确表示是拒绝(DROP)
还是接收(ACCEPT)
,数据包就不再向下匹配新的规则。
如果规则中没有明确表明是阻止还是通过的,也就是没有匹配规则,向下进行匹配,直到匹配默认规则
得到明确的阻止还是通过。
防火墙的默认规则是所有规则都匹配完才会匹配的。
DROP 是直接将流量丢弃而且不响应;
REJECT 则会在拒绝流量后再回复一条“信息已经收到,但是被扔掉了”信息,从而让流量发送方清晰地看到数据被拒绝的响应信息。
防火墙策略规则是按照从上到下的顺序匹配的,因此一定要把允许动作放到拒绝动作前面,否则所有的流量就将被拒绝掉,从而导致任何主机都无法访问我们的服务。