Linux防火墙

最新推荐文章于 2024-03-12 01:35:59 发布
最新推荐文章于 2024-03-12 01:35:59 发布
阅读量270 收藏
点赞数
分类专栏： Linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/helloziyouma/article/details/80373537
版权

防火墙介绍

防火墙概念

防火墙通过制定一系列规则可以实现过滤数据报与限制特定服务的功能，但是防火墙并不能确保主机一定安全，防火墙并不能有效抵挡病毒或木马，而且对来自网络内部的攻击无法防护

防火墙的具体功能（包括但不限于）

  • 限制FTP服务只开放给子网，而不对外网提供服务
  • 限制服务器只接受客户端的WWW请求，不提供其他服务
  • 限制连接只能防火墙所在的由主机发起
  • 限制数据报进入主机的某些端口
  • 限制来自特定IP地址的主机的数据报
  • 限制特定状态的数据报，比如SYN报文
  • 限制来自特定MAC地址的报文

设定防火墙之前需要考虑

  • 信任的IP地址或网段以及不信任的IP地址或网段
  • 主机可以提供的服务以及受保护的服务
  • 主机可以接收与不可以接收的数据报状态（比如SYN报文、FIN报文）

防火墙类别

防火墙分为硬件防火墙和软件防火墙。硬件防火墙是将防火墙程序写入到硬件中，由硬件实现防火墙的功能；软件防火墙是通过操作系统中的软件实现的，包括Netfilter 与 TCP Wrappers。（后面讲的都是软件防火墙）。防火墙根据管理范围可以划分为网段型与单一主机型，根据功能划分为依据数据报过滤的Netfilter以及依据程序进行过滤的TCP Wrappers。Netfiler根据数据报中数据，比如MAC地址、IP地址、以及TCP、UDP、ICMP等数据报种类或状态进行过滤；TCP Wrappers依据程序名称对数据进行过滤，比如需要限制FTP服务，只要限制vsftpd这个程序即可

防火墙的网络布线

防火墙不仅可以保护防火墙所在的主机，也可以保护防火墙后边的主机，比如将防火墙架设在路由器上。
防火墙的布线方式主要有：
●将防火墙架设在本地网络（LAN）与外部网络之间的路由器上，从而保护本地网络中的主机，或者在本地网络与外部网络之间的防火墙上再架设代理服务器，使得客户端只能连接开放的WWW服务器
这里写图片描述
●在本地网路中架设防火墙，从而避免内部人员由于误操作破坏重要服务
这里写图片描述
●将防火墙架设在服务器与外部网络之间，比如多台服务器共享一个防火墙，使用同一个IP对外提供服务，安全性大大提高，而且由于服务器位于两个防火墙之间，内部网络出现问题，不会影响服务器
这里写图片描述

TCP Wrappers

TCP Wrappers首先查看客户端需要连接的服务名称**是否支持**TCP Wrappers，如果支持再查看/etc/hosts.allow是否含有客户端的IP地址，如果有，则允许数据进入主机，如果没有，则再查看/etc/hosts.deny文件中是否有客户端的IP地址，如果有，则拒绝数据进入主机，如果没有，则允许数据进入主机。

xinetd管理的服务即/etc/xinetd.d目录下的服务支持TCP Wrappers；含有libwrap.so模块的服务同样支持TCP Wrappers，可以使用lld以及grep命令查看服务是否含有libwrap.so模块，比如ldd $(which sshd)|grep libwrap

/etc/hosts.allow的配置方式

[root@loaclhost ~]# vim /etc/hosts.allow
ALL: 127.0.0.1  允许本机全部的服务
rsync:192.168.1.0/255.255.255.0 指明rsync服务允许的特定IP网段
rsync:10.0.0.100 指明rsync服务允许的特定IP地址
也可以将多个地址放在一行，最好分行来写，更清晰

/etc/hosts.deny配置方式

[root@loaclhost ~]# vim /etc/hosts.allow
rsync:192.168.1.0/255.255.255.0 指明rsync服务拒绝的特定IP网段，注意：只能使用子网掩码指定IP网段，不能使用CIDR的方式
rsync:10.0.0.100 指明rsync服务拒绝的特定IP地址

Netfilter

Netfilter是最常用的防火墙机制，可以通过iptables进行配置

数据报进入主机的流程

iptables会首先分析数据报的数据，然后根据预先设定好的规则逐一进行比对，如果数据报符合当前规则，则进入（ACCEPT）主机或被丢弃（DROP），具体是ACCEPT还是DROP取决于具体的规则，如果数据报不符合当前规则，则使用下一条规则，如果不符合所有规则，则执行预设策略（Policy）：接受或丢弃。注意：规则的顺序十分重要
整个流程如下
这里写图片描述

iptables的表格和链

iptables含有多个表格，表格中含有多条链，链中含有多条规则
具体组成关系如下
这里写图片描述
iptables中至少含有filter、nat、mangle三个表格。
filter：用于管理数据报进出本机，常常使用！包含的链有以下几种INPUT：控制进入主机的数据报
●OUTPUT：控制送出主机的数据报
●FORWARD：传递数据报到后端主机
nat：用于源IP地址以及端口与目的IP地址以及端口的转换，与后端主机有关，包含的链有以下几种
●PREROUTING：在进行路由判断之前所要进行的规则(DNAT/REDIRECT)
●POSTROUTING：在进行路由判断之后所要进行的规则(SNAT/MASQUERADE)
●OUTPUT：控制送出主机的数据报
mangle：与特定状态的数据报有关

表格间的链之间的关系

这里写图片描述

图中显示了iptables控制数据报的三种流向
●数据报的目的地为主机（路径A）：经路由判断后，数据报的目的地为主机，那么filter的INPUT链会对数据报的流向进行控制
●数据报的目的地是主机后的主机（路径B）：在路由对数据分析之前，发现数据报的目的地是主机后的主机，那么filter的FORWARD链和nat 的 POSTROUTING, PREROUTING链会对数据报的流向进行控制
●数据包经主机向外发送（路径C）：经路由判断后，数据报是向外发送，比如服务器响应客户端请求或服务器主动向外发送数据报，filter 的 OUTPUT 链以及 nat 的 POSTROUTING链会对数据报的流向进行控制
总结：如果防火墙只是保护主机本身，只需要设置filter的INPUT链以及OUTPUT链即可；如果防火墙需要保护局域网中的主机，那么还需要再设置filter 的 FORWARD 链以及 nat 的 PREROUTING, POSTROUTING 以及 OUTPUT 链

iptables语法

查看防火墙

iptables 选项
选项
-t ：指定表格，比如nat、filter ，默认为filter
-L ：显示表格的规则
-n ：加快信息显示速度
-v ：显示详细信息，包括数据报的总位数
eg

[root@localhost /]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:80 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:3306 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:8000 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:8001 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:8002 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:8003 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:6666 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:8888 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:9001 
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

字段说明
●policy：后边跟预设策略，比如ACCEPT
●target：执行的动作， ACCEPT 是放行， REJECT 是拒绝， DROP是丢弃
●prot：代表使用数据报类型，比如 tcp, udp 及 icmp
●opt：额外说明
●source：指明规则针对的数据报的源IP地址
●destination：指明规则针对的数据报的目的IP地址
input链的规则说明
●只要数据报的状态为RELATED或ESTABLISHED就接受
●只要是icmp数据报就接受
●所有数据报均接受，注意：此规则针对的是环回接口lo
●只要是传给端口22/80/3306/8000/8001/8002/8003/6666/8888/9001端口的tcp数据报均接受
●全部的数据报均拒绝
此外，还可以使用iptables-save查看防火墙规则

清除防火墙规则（不会清除预设策略！）

iptables 选项
选项
-t 指定表格，默认是filter
-F ：清除所有的已制定的规则
-X ：杀掉所有使用者自定义的 chain
-Z ：将所有的 chain 的计数与流量统计归零

指定预设策略（policy）

iptables 选项
选项
-t 指定表格，默认为filter
-P 指定策略（P为大写）
eg

iptables -P INPUT DROP 将filter的INPUT链的预设策略指定为DROP

设定防火墙规则

设定防火墙规则可以仅使用iptables命令即可或修改/etc/sysconfig/iptables文件然后重启防火墙（service iptables restart）

iptables 选项
选项
-A 为指定定链插入规则，新增规则插入到已有规则的最后边
-I 为指定链插入规则，新增规插入到已有规则的最前边
-i 数据报所进入的网卡，比如eth0、lo，需与 INPUT 链配合
-o 数据报所出的网卡，比如eth0、lo，需与 OUTPUT 链配合
-p 指定数据报的种类，比如tcp, udp, icmp 、all
-s 指定数据报的源IP地址或源IP网段，可以使用！表示非
-d 指定数据报的目的IP地址或源IP网段，可以使用！表示非
-j 指定动作，比如ACCEPT、DROP、REJECT、LOG。LOG是指符合规则的数据报的信息会被写入到/var/log/messages进行记录
–sport ：限制源端口号，端口号可以是连续的，比如1024:1334，必须使用-p指定数据报为tcp或udp
–dport ：限制目的端口号，必须使用-p指定数据报为tcp或udp
–syn ：syn报文
-m：指定模块，可以是mac模块或state模块，通过模块分析是否允许数据报通过，比如数据报的状态为ESTABLISHED，则允许通过
- -state：指定数据报的状态，比如INVALID代表无效的数据报、ESTABLISHED：代表已经建立连接的数据报、NEW代表新建立连接的数据报、RELATED代表数据报与已发送出的数据报有关，最常用！-m选项和- -state选项一起使用
- -mac-source :指定mac地址
–icmp-type：指定icmp报文的类型，使用数字表示报文类型，从而设置主机是否响应ping，如果主机为路由器，则不要过滤icmp报文，因为客户端需要使用icmp判断网络状况
注意：设定规则之前，需要先清除已有规则，然后逐条加入规则
eg

iptables -A INPUT -i eth1 -p udp -s ! 192.168.100.10/255.255.255.0 --dport 81:88 -j ACCEPT
只要不是来自192.168.100.10/255.255.255.0网段的数据报，就接受。注意：没有指定的字段，代表字段值为各种值都被主机接受

iptables -A INPUT -i eth0 -p tcp --sport 1:1023 --dport 1:1023 --syn -j DROP
源端口为1到1023时，统统丢弃，因为客户端的端口都是大于1023的，但是并不适用与FTP服务！

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
只要是已建立连接的数据报或相关的数据报均允许通过

iptables -A INPUT -m state --state INVALID -j DROP
只要是无效的数据报均丢弃

iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT
只要数据报的mac地址为aa:bb:cc:dd:ee:ff均通过

iptables -A INPUT -i eth0 -p icmp --icmp-type 8 -j DROP
丢弃回送请求icmp报文
北纬-30度
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux防火墙.pdf
04-12
从其他地方下载下来的。在这里与大家分享。 内容简介　　 《Linux防火墙》创造性地将防火墙技术和入侵检测技术相结合，充分展示开源软件的威力。书中全面阐述了iptables防火墙，并详细讨论了如何应用psad、fwsnort、fwknop 3个开源软件最大限度地发挥iptables检测和防御攻击的效力。大量真实例子以及源代码更有助于读者理解安全防御的原理、技术和实际作。 作者简介　　 Michael Rash，世界级的安全技术专家，以防火墙、入侵检测系统等方面的造诣享誉安全界。他是psad、fwsnort和fWknop等著名开源安全软件的开发者。也是屡获大奖的Dragon入侵防御系统的安全架构师。除本书外．他还与人合撰Snort 2.1 Intrusion Detection和Intrusion Prevention and Active Response。他同时还是Linux Joumal、SysAdmin和login等著名技术媒体的专栏作家。 目录 　　第1章 iptables使用简介 1 　　1.1 iptables 1 　　1.2 使用iptables进行包过滤 2 　　1.2.1 表 2 　　1.2.2 链 2 　　1.2.3 匹配 3 　　1.2.4 目标 3 　　1.3 安装iptables 4 　　1.4 内核配置 5 　　1.4.1 基本Netfilter编译选项 6 　　1.4.2 结束内核配置 7 　　1.4.3 可加载内核模块与内置编译和安全 7 　　1.5 安全性和最小化编译 9 　　1.6 内核编译和安装 9 　　1.7 安装iptables用户层二进制文件 10 　　1.8 默认iptables策略 11 　　1.8.1 策略需求 11 　　1.8.2 iptables.sh脚本的开头 12 　　1.8.3 INPUT链 13 　　1.8.4 OUTPUT链 15 　　1.8.5 FORWARD链 15 　　1.8.6 网络地址转换 16 　　1.8.7 激活策略 17 　　1.8.8 iptables-save与iptables-restore 18 　　1.8.9 测试策略：TCP 20 　　1.8.10 测试策略：UDP 21 　　1.8.11 测试策略：ICMP 22 　　1.9 本章总结 23 　　第2章 网络层的攻击与防御 24 　　2.1 使用iptables记录网络层首部信息 24 　　2.2 网络层攻击的定义 27 　　2.3 滥用网络层 28 　　2.3.1 Nmap ICMP Ping 28 　　2.3.2 IP欺骗 28 　　2.3.3 IP分片 30 　　2.3.4 低TTL值 30 　　2.3.5 Smurf攻击 31 　　2.3.6 DDoS攻击 32 　　2.3.7 Linux内核IGMP攻击 32 　　2.4 网络层回应 33 　　2.4.1 网络层过滤回应 33 　　2.4.2 网络层阈值回应 33 　　2.4.3 结合多层的回应 34 　　第3章 传输层的攻击与防御 35 　　3.1 使用iptables记录传输层首部 35 　　3.1.1 记录TCP首部 35 　　3.1.2 记录UDP首部 37 　　3.2 传输层攻击的定义 38 　　3.3 滥用传输层 38 　　3.3.1 端口扫描 38 　　3.3.2 端口扫射 46 　　3.3.3 TCP序号预测攻击 46 　　3.3.4 SYN洪泛 47 　　3.4 传输层回应 47 　　3.4.1 TCP回应 47 　　3.4.2 UDP回应 50 　　3.4.3 防火墙规则和路由器ACL 51 　　第4章 应用层的攻击与防御 53 　　4.1 使用iptables实现应用层字符串匹配 53 　　4.1.1 实际观察字符串匹配扩展 54 　　4.1.2 匹配不可打印的应用层数据 55 　　4.2 应用层攻击的定义 56 　　4.3 滥用应用层 56 　　4.3.1 Snort签名 57 　　4.3.2 缓冲区溢出攻击 57 　　4.3.3 SQL注入攻击 59 　　4.3.4 大脑灰质攻击 60 　　4.4 加密和应用层编码 62 　　4.5 应用层回应 63 　　第5章 端口扫描攻击检测程序psad简介 64 　　5.1 发展历史 64 　　5.2 为何要分析防火墙日志 64 　　5.3 psad特性 65 　　5.4 psad的安装 65 　　5.5 psad的 67 　　5.5.1 启动和停止psad 68 　　5.5.2 守护进程的唯一性
Linux 防火墙
指尖上的梦想
11-16 192
iptables # (1) 基本操作 # 查看防火墙状态 service iptables status # 停止防火墙 service iptables stop # 启动防火墙 service iptables start # 重启防火墙 service iptables restart # 永久关闭防火墙 chkconfig iptables off # 永久关闭后重启 chkconfig iptables on　 # (2) 开启80端口 vim /etc/
Linux之防火墙详解
最新发布
huaz_md的博客
03-12 1226
netfilter是一个工作在Linux内核的网络数据包处理框架，用于分析进入主机的网络数据包，将数据包的头部数据（硬件地址，软件地址，TCP，UDP，ICMP等）提取出来进行分析，来决定该连接为放行还是抵挡的机制，主要用于分析OSI七层协议的2，3，4层# 总结：# 放行服务：firewall-cmd --permanent --zone=public --add-service=服务名# 放行服务端口。
linux防火墙
m0_71518373的博客
08-14 2688
linux防火墙软件iptables的相关信息和使用方法
Linux上安装nginx
我的博客
10-28 234
1、下载安装依赖 yum -y install gcc zlib zlib-devel pcre-devel openssl openssl-devel 2、下载并解压nginx wget http://nginx.org/download/nginx-1.13.7.tar.gz tar -xvf nginx-1.13.7.tar.g 3、进入到目录编译安装 ./configure make make install 配置环境变量 export NGINX_HOME=/usr/local/nginx
Linux防火墙思维导图.xmind
05-23
linux防火墙知识：利用思维导图的形式（包括举例），一张图进行全部详解 1.何为防火墙？2.防火墙的分类 3.iptables原理 4.防火墙顺序 5.iptables语法规则
linux防火墙 中文版.pdf
06-03
linux防火墙 中文版.pdf
利用linux防火墙实现IP访问控制
09-28
自己总结的linuxe下通过linux防火墙软件实现对ip源目地址的访问控制，希望可以帮助到需要的朋友
linux防火墙设置
05-22
简单 好用 linux防火墙设置命令 linux防火墙设置命令 linux防火墙设置命令 linux防火墙设置命令 简单 好用
Linux防火墙-firewalld
01-09
1、基本使用 启动： systemctl start firewalld 查看状态： systemctl status firewalld 停止： systemctl disable firewalld 禁用： systemctl stop firewalld 2、Centos7操作 1、启动一个服务 ...
iptables防火墙
weixin_55609824的博客
05-25 418
目录一.iptables概述1.1 Linux系统的防火墙1.2 netfilter/iptables关系二.四表五链三.iptables 的使用四.iptables 规则五.规则的匹配 一.iptables概述 1.1 Linux系统的防火墙 IP信息包过滤系统，它实际上由两个组件netfilter和 iptables组成。 主要工作在网络层，针对IP数据包。 体现在对包内的IP地址、端口等信息的处理上。 1.2 netfilter/iptables关系 netfilter 属于"内核态”(Ke
重启Linux防火墙
08-27
要重启Linux防火墙，可以使用以下命令： ``` service iptables restart ``` 这个命令会重新启动防火墙并且应用之前的配置。 另外，在CentOS 7上，如果使用的是firewalld防火墙，可以使用以下命令来重新启动防火墙：...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值