Linux实验记录：使用iptables

前言：

本文是一篇关于Linux系统初学者的实验记录。

参考书籍：《Linux就该这么学》

实验环境：

VmwareWorkStation 17——虚拟机软件

RedHatEnterpriseLinux[RHEL]8——红帽操作系统

备注：

防火墙作为公网与内网的屏障，在保障数据安全性方面起着至关重要的作用。

防火墙有软件和硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。

iptables和firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的工具，是一种服务。

这种服务会把配置好的防火墙策略交由Linux系统的内核层面处理。

目录

前言：

备注：

策略与规则链：

基本的命令参数：

正文：

iptables：

实验1：

实验2：

实验3：

实验4：

实验5：

实验6：

实验7：

实验8：

实验9：

最后，如果想让配置的防火墙策略永久生效，执行保存命令：

---

策略与规则链：

  防火墙会按照从上到下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作去执行匹配项中定义的行为（放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据包处理位置的不同进行分类：

1.在进行路由选择前处理数据包（PREROUTING）

2.处理流入的数据包（INPUT）

3.处理流出的数据包（OUTPUT）

4.处理转发的数据包（FORWARD）

5.在进行路由选择后处理数据包（POSTROUTING）

 上面是所谓“四表五链”中的五条规则链。

一般来说，从内网向外网发送的流量一般都是可控且良性的，因此使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网入侵内网的难度。

ACCEPT（允许流量通过）

REJECT（拒绝流量通过）

LOG（记录日志信息）

DROP（拒绝流量通过，不回复）

基本的命令参数：

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链末尾加入新规则
-I num	在规则链头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址IP/MASK，加叹号“!”，表示这个IP除外
-d	匹配目标地址
-i网卡名称	匹配从这块网卡流入的数据
-o网卡名称	匹配从这块网卡流出的数据
-p	匹配协议，如TCP、UDP、ICMP
--dport num	匹配目标端口号
--sport num	匹配来源端口号

正文：

iptables：

实验1：

在iptables命令后面加-L参数查看已有的防火墙规则链

实验2：

在iptables命令后面加-F参数清空已有的防火墙规则链

实验3：

把INPUT规则链的默认策略设置为拒绝

把INPUT链设置为默认拒绝后，所有流入的数据包都会被默认拒绝。

需要往里面写入允许策略。

如图：使用ping命令ping自己

规则链的默认拒绝动作只能是DROP，而不能是REJECT。 

实验4：

向INPUT链中添加允许ICMP流量进入的策略规则

此时ping自己就可以ping通，用隔壁CentOS８虚拟机也能ping通。

实验5：

删除INPUT规则链中刚刚加入的那条策略：

 这时RHEL8和CentOS8都ping 不通192.168.0.128（RHEL8的IP地址）

 现在把默认策略设置为允许：

再次ping测试：连通

实验6：

将INPUT规则链设置为只允许指定网段的主机访问本机的２２端口，

拒绝来自其他所有主机的流量。

使用CentOS 8对RHEL进行ssh连接：

现在对防火墙进行设置：

connection refused 

实验7：

向INPUT规则链中添加拒绝所有人访问本机的12345端口的策略规则：

实验8：

向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口的策略规则。

实验9：

向INPUT规则链中添加拒绝所有主机访问本机100~1024端口的策略规则。

最后，如果想让配置的防火墙策略永久生效，执行保存命令：