linux 防火墙

最新推荐文章于 2023-05-11 14:26:50 发布
最新推荐文章于 2023-05-11 14:26:50 发布
阅读量158 收藏 1
点赞数
分类专栏： 日常运维命令
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chen112826473/article/details/79663307
版权

linux防火墙

  1. selinux 
    在配制远程连接时是要关闭selinux的。 
    临时关闭selinux：

     setenforce 0

    永久关闭要编辑配置文件

     vim /etc/selinux/config

 SELINUX=disabled

    平时一般关闭selinux

2.iptables

iptables是linux的防火墙机制。在centos6时，是用的netfilter机制，centos7时用的是firewalld机制。 
由于我们装的是centos7，防火墙机制就是firewalld,想使用netfilter,就必须将firewald停掉，开启netfilter. 
关闭firewalld：

不让firewalld开机启动：

[root@shuai-01 network-scripts]# systemctl disable firewalld
Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.
Removed symlink /etc/systemd/system/basic.target.wants/firewalld.service.

停掉firewalld服务：

[root@shuai-01 network-scripts]# systemctl stop firewalld

安装netfilter：

[root@shuai-01 network-scripts]# yum install -y iptables-services

开启iptables服务：

[root@shuai-01 network-scripts]# systemctl enable iptables
Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.
[root@shuai-01 network-scripts]# systemctl start iptables

netfilter的五个表：（filter ，nat , mangle , raw , security） 
这里主要了解filter和nat 。 
filter表主要用于过滤包，包含三个链INPUT , OUTPUT , FORRWARD. 
nat表主要用于网络地址转换，包含三个链PREROUTING , OUTPUT , POSTROUTING 。

当数据包进来，是本机数据包：PREROUTING , INPUT ,localhost , OUTPUT , POSTROUTING 
不是本机数据包: PREROUTING , FORWARD , POSTROUTING 
一个讲IPtables的五个表的文章： 
http://blog.51cto.com/907832555/1944919

iptables相关的命令和用法：

  • 查看iptables相关规则：

    命令：iptables 
    选项： 
    -t 后接表名，表示选择那张表（默认是filter表） 
    -nvL 表示查看表的规则 
    -F 表示清空规则 
    -Z 表示把包的流量计数器置零

    [root@shuai-01 network-scripts]# iptables -nvL

    防火墙的规则保存在/etc/sysconfig/iptables中

    • 查看nat表的规则：

              [root@shuai-01 network-scripts]# iptables -t nat -nvL
        Chain PREROUTING (policy ACCEPT 2 packets, 152 bytes)
         pkts bytes target     prot opt in     out     source               destination         

- 清空filter表的规则：

[root@shuai-01 network-scripts]# iptables -F
[root@shuai-01 network-scripts]# iptables -nvL
Chain INPUT (policy ACCEPT 5 packets, 356 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes)
 pkts bytes target     prot opt in     out     source

    • 重启标的规则：

      [root@shuai-01 network-scripts]# service iptables restart
Redirecting to /bin/systemctl restart  iptables.service
[root@shuai-01 network-scripts]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   24  1688 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0

  • 增加/删除一条规则

    命令：iptables 
    选项： 
    -A/-D ：表示增加/删除一条规则（后接INPUT,OUTPUT） 
    -I : 表示插入一条规则（后接INPUT,OUTPUT） 
    -P :表示预设策略 
    -p :表示指定协议（tcp , udp , icmp） 
    –sport ：表示指定源端口，跟-p一起使用 
    –dport : 表示指定目标端口，跟-p一起使用 
    -s : 表示指定源IP 
    -d :表示指定目的IP 
    -j :后跟动作（ACCEPT表示允许包，DROP表示丢掉包，REJECT表示拒绝包） 
    -i :指定网卡

    • 增加一条规则 
      将来源10.12.11.13的22端口到目的12.11.13.14的80端口的tcp包丢掉

       [root@shuai-01 network-scripts]# iptables -A INPUT -s 10.12.11.13 -p tcp --sport 22 -d 12.11.13.14 --dport 80 -j DROP

    • 插入一条规则 将来源1.1.1.1的所有数据包丢掉

      [root@shuai-01 network-scripts]# iptables -I INPUT -s 1.1.1.1 -j DROP

    • 添加一条规则 将来源2.2.2.2的到本机80端口的tcp包丢掉

       [root@shuai-01 network-scripts]# iptables -A INPUT -s 2.2.2.2 -p tcp --dport 80 -j DROP

    • 删除一条规则（将来源1.1.1.1的所有数据包丢掉）

      [root@shuai-01 network-scripts]# iptables -D INPUT -s 1.1.1.1 -j DROP

    • 按行删除规则

            [root@shuai-01 network-scripts]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1      534 37016 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
2        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
3        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
4        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
5        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
6        0     0 DROP       tcp  --  *      *       10.12.11.13          12.11.13.14          tcp spt:22 dpt:80
7        0     0 DROP       tcp  --  *      *       2.2.2.2              0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 31 packets, 2932 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@shuai-01 network-scripts]# iptables -D INPUT 7
[root@shuai-01 network-scripts]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  605 41764 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
    0     0 DROP       tcp  --  *      *       10.12.11.13          12.11.13.14
运维哞哞牛
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux防火墙.pdf
04-12
从其他地方下载下来的。在这里与大家分享。 内容简介　　 《Linux防火墙》创造性地将防火墙技术和入侵检测技术相结合，充分展示开源软件的威力。书中全面阐述了iptables防火墙，并详细讨论了如何应用psad、fwsnort、fwknop 3个开源软件最大限度地发挥iptables检测和防御攻击的效力。大量真实例子以及源代码更有助于读者理解安全防御的原理、技术和实际作。 作者简介　　 Michael Rash，世界级的安全技术专家，以防火墙、入侵检测系统等方面的造诣享誉安全界。他是psad、fwsnort和fWknop等著名开源安全软件的开发者。也是屡获大奖的Dragon入侵防御系统的安全架构师。除本书外．他还与人合撰Snort 2.1 Intrusion Detection和Intrusion Prevention and Active Response。他同时还是Linux Joumal、SysAdmin和login等著名技术媒体的专栏作家。 目录 　　第1章 iptables使用简介 1 　　1.1 iptables 1 　　1.2 使用iptables进行包过滤 2 　　1.2.1 表 2 　　1.2.2 链 2 　　1.2.3 匹配 3 　　1.2.4 目标 3 　　1.3 安装iptables 4 　　1.4 内核配置 5 　　1.4.1 基本Netfilter编译选项 6 　　1.4.2 结束内核配置 7 　　1.4.3 可加载内核模块与内置编译和安全 7 　　1.5 安全性和最小化编译 9 　　1.6 内核编译和安装 9 　　1.7 安装iptables用户层二进制文件 10 　　1.8 默认iptables策略 11 　　1.8.1 策略需求 11 　　1.8.2 iptables.sh脚本的开头 12 　　1.8.3 INPUT链 13 　　1.8.4 OUTPUT链 15 　　1.8.5 FORWARD链 15 　　1.8.6 网络地址转换 16 　　1.8.7 激活策略 17 　　1.8.8 iptables-save与iptables-restore 18 　　1.8.9 测试策略：TCP 20 　　1.8.10 测试策略：UDP 21 　　1.8.11 测试策略：ICMP 22 　　1.9 本章总结 23 　　第2章 网络层的攻击与防御 24 　　2.1 使用iptables记录网络层首部信息 24 　　2.2 网络层攻击的定义 27 　　2.3 滥用网络层 28 　　2.3.1 Nmap ICMP Ping 28 　　2.3.2 IP欺骗 28 　　2.3.3 IP分片 30 　　2.3.4 低TTL值 30 　　2.3.5 Smurf攻击 31 　　2.3.6 DDoS攻击 32 　　2.3.7 Linux内核IGMP攻击 32 　　2.4 网络层回应 33 　　2.4.1 网络层过滤回应 33 　　2.4.2 网络层阈值回应 33 　　2.4.3 结合多层的回应 34 　　第3章 传输层的攻击与防御 35 　　3.1 使用iptables记录传输层首部 35 　　3.1.1 记录TCP首部 35 　　3.1.2 记录UDP首部 37 　　3.2 传输层攻击的定义 38 　　3.3 滥用传输层 38 　　3.3.1 端口扫描 38 　　3.3.2 端口扫射 46 　　3.3.3 TCP序号预测攻击 46 　　3.3.4 SYN洪泛 47 　　3.4 传输层回应 47 　　3.4.1 TCP回应 47 　　3.4.2 UDP回应 50 　　3.4.3 防火墙规则和路由器ACL 51 　　第4章 应用层的攻击与防御 53 　　4.1 使用iptables实现应用层字符串匹配 53 　　4.1.1 实际观察字符串匹配扩展 54 　　4.1.2 匹配不可打印的应用层数据 55 　　4.2 应用层攻击的定义 56 　　4.3 滥用应用层 56 　　4.3.1 Snort签名 57 　　4.3.2 缓冲区溢出攻击 57 　　4.3.3 SQL注入攻击 59 　　4.3.4 大脑灰质攻击 60 　　4.4 加密和应用层编码 62 　　4.5 应用层回应 63 　　第5章 端口扫描攻击检测程序psad简介 64 　　5.1 发展历史 64 　　5.2 为何要分析防火墙日志 64 　　5.3 psad特性 65 　　5.4 psad的安装 65 　　5.5 psad的 67 　　5.5.1 启动和停止psad 68 　　5.5.2 守护进程的唯一性
Linux - firewall-cmd 命令添加端口规则不生效排查
最新发布
小工匠
10-27 5262
命令中的区域名称和端口号是正确的。如果你有更多的详细信息或特定的错误消息，可以提供它们以便更好地帮助你解决问题。：有时候，防火墙规则之间可能存在冲突。：在添加或更改规则后，需要重新加载防火墙规则以使更改生效。如果你仍然遇到问题，可能需要检查系统日志以获取更多信息，以便进一步诊断问题。：确保你正在为正确的防火墙区域（zone）添加端口规则。最后，如果你使用的是特定的防火墙区域或有定制需求，确保你的。命令查看所有规则，检查是否存在任何与所需规则冲突的规则。区域，请将区域名称更改为适合你的情况。
linux中防火墙操作命令
喜羊羊love红太狼
08-28 1618
[root@VM-0-6-centos /]# firewall -cmd --list -all -bash: firewall: command not found 因为centos中没有安装firewall 安装firewall [root@VM-0-6-centos /]# yum install firewalld 启动命令 [root@VM-0-6-centos /]# systemctl start firewalld 停用命令 [root@VM-0-6..
记录一次Linux Firewalld防火墙故障排查的案例Error：Action org.fedoraproject.FirewallD1.config.info is not registered
热门推荐
watermelonbig的专栏
04-26 1万+
1、故障现象在一个生产服务器上，系统为CentOS7.3，防火墙使用的是系统默认的firewalld。偶然发现，在执行以下防火墙管理命令时，报错如下：# firewall-cmd --list-allError: Action org.fedoraproject.FirewallD1.config.info is not registered虽然查看防火墙配置规则列表的命令报错了，但其它的规则配置...
linux 防火墙不起作用,Linux系统安装docker后，firewall规则无效不起作用
weixin_28829903的博客
05-12 3519
## 失效原因默认情况下, docker启动后参数中如果加了端口映射, 就会自动将端口开放给所有网络设备访问,并且这种情况下即使在本机的系统防火墙中加规则也无效, 因为docker会自动添加一个优先级最高的针对这个映射端口全开放规则,这样就需要在docker启动时添加参数来禁止docker对本机防火墙的操作.## 服务器环境| 对象 | 版本 || --- | --- || Cent...
linux的firewalld無法關閉
m0_37759590的博客
03-02 156
linux的firewalld無法關閉
Linux执行防火墙命令报错或者失效
hgx455的博客
02-09 3074
在执行firewall-cmd相关命令时报错，例如执行firewall-cmd --state 查看状态时无法查看。此时应该重新安装dbus包，执行yum install dbus 或者yum update dbus。再次执行firewall-cmd --state发现配置命令已经可以正常使用。然重新启动dbus,执行systemctl restart dbus。在系统重启以及升级firewalld版本后发现问题依旧存在。根据报错，怀疑dbus包存在问题。
Linux防火墙firewalld不生效，无法拦截Docker映射端口
qq_30665009的博客
03-09 7322
今天出现了一个奇怪的现象，centos服务器上的防火墙(firewall)没有开放8103端口，但是依然可以访问服务器开放的端口如下：可以看出并没有开放8103端口开放的服务如下：也没有开放某三维系统，但可以正常访问重启过防火墙，重启过服务器，仍未解决此现象。真是脑阔疼啊！！！执行 systemctl status firewalld 时突然发现了这么一条警告WARNING: COMMAND_F...
linux防火墙无法开启问题
weixin_59539033的博客
11-10 1791
防火墙被锁定
Linux 防火墙启动失败问题
初心不改
05-11 1840
有看到别的老哥说：其实当输入 firewall-cmd 系列的命令的时候都会报错。
CentOS7系统的Firewalld防火墙基础详解
weixin_45409403的博客
11-11 742
Firewalld简介 支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具，支持IPv4、IPv6防火 墙设置以及以太网桥，支持服务或应用程序直接添加防火墙规则接口。 拥有两种配置模式 1.运行时配置 2.永久配置 Firewalld和iptables的关系 netfilter： 位于Linux内核中的包过滤功能体系称为Linux防火墙的“内核态” Firewalld/iptable...
Linux防火墙思维导图.xmind
05-23
linux防火墙知识：利用思维导图的形式（包括举例），一张图进行全部详解 1.何为防火墙？2.防火墙的分类 3.iptables原理 4.防火墙顺序 5.iptables语法规则
linux防火墙 中文版.pdf
06-03
linux防火墙 中文版.pdf
利用linux防火墙实现IP访问控制
09-28
自己总结的linuxe下通过linux防火墙软件实现对ip源目地址的访问控制，希望可以帮助到需要的朋友
linux防火墙设置
05-22
简单 好用 linux防火墙设置命令 linux防火墙设置命令 linux防火墙设置命令 linux防火墙设置命令 简单 好用
Linux防火墙-firewalld
01-09
1、基本使用 启动： systemctl start firewalld 查看状态： systemctl status firewalld 停止： systemctl disable firewalld 禁用： systemctl stop firewalld 2、Centos7操作 1、启动一个服务 ...
linux防火墙
04-29
关于linux的防火墙，下载此书，能让你更多的了解关于Linux的防火墙的知识！
Linux防火墙常用指令
07-14
Linux防火墙常用指令
Linux 防火墙
02-18
网络攻击看来正在日益得势。几乎每天都会听说发生了新的针对软件漏洞的攻击，要么就是出现了一个更有效的散布垃圾邮件的方法（我的收件箱可以证明这一点），或则就是某
重启Linux防火墙
08-27
要重启Linux防火墙，可以使用以下命令： ``` service iptables restart ``` 这个命令会重新启动防火墙并且应用之前的配置。 另外，在CentOS 7上，如果使用的是firewalld防火墙，可以使用以下命令来重新启动防火墙：...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值