Linux安全管理-iptables防火墙

最新推荐文章于 2024-07-17 09:39:30 发布
最新推荐文章于 2024-07-17 09:39:30 发布
阅读量2.4k 收藏 1
点赞数 1
分类专栏： linux专栏
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/jiaofan_yun/article/details/122160271
版权

linux 安全 网络

一、什么是防火墙

防火墙就是通过定义一些有顺序的规则，并管理进入到网络内的主机数据数据包的一种机制，通俗的说就是分析与过滤进出我们主机（或者是我们所管理的网络）的数据包。

二、防火墙分类

防火墙分为：

  1. 硬件防火墙
  2. 软件防火墙

软件防火墙主要有：

  1. iptables
  2. TCP Wrappers

注：我们经常用的是iptables，而TCP Wrappers是可以根据服务名称进行过滤的，因此与启动的端口无关。他有一个重大的缺点，就是必须是xinetd所能管理到的服务。这里就不多做介绍，我们重点介绍一下iptables。

三、iptables的网络划分

这里介绍三种常用类型的网络划分（依据鸟哥的介绍）

1.第一种
单一网络，仅有一个路由器的环境
2、第二中
内部网络包含更安全的子网
3、第三种
更安全的一种网络划分
这三种之所以说安全度递增，是因为第三种划分避免了防火墙的一种限制：防止从内部进行破坏安全度高的服务。

四、防火墙的使用限制

优点：

  1. 限制端口：拒绝让Internet的数据包进入主机的某些端口
  2. 限制源ip：拒绝让某些来源IP的数据包进入
  3. 限制特殊标签：拒绝让带有某些特殊标签（flag）的数据包进入，最常见的就是拒绝带有SYN的主动连接的标志。
  4. 限制MAC：分析硬件地址MAC来决定是否连接。

缺点

  1. 防火墙不能有效的阻挡病毒或木马程序
  2. 防火墙对于来自内部LAN的攻击无能为力

五、防火墙介绍

防火墙主要由四表五链组成，但是在鸟哥私房菜中只讲了三个表，而实际应用时只用到两个表。
四表
raw ------------追踪数据包， ----此表用处较少，可以忽略不计。
mangle ------------给数据包打标记,做标记。
nat ------------网络地址转换即来源与目的的IP地址和port的转换。
filter ------------做过滤的，防火墙里面用的最多的表。
五链
PREROUTING -----------------进路由之前数据包
INPUT -----------------就是过滤进来的数据包（输入）
FORWARD -----------------转发
OUTPUT -----------------发出去的数据包
POSTROUTING -----------------路由之后数据包
注：并不是每个表都有五条链，如下所示：

  1. Mangle：PREROUTING、FORWARD、POSTROUTING、INPUT、OUTPUT
  2. net：PREROUTING、POSTROUTING、OUTPUT
  3. filter：FORWARD、INPUT、OUTPUT

鸟哥在书中表示一个图特别清楚
在这里插入图片描述
常用的模型是去掉mangle之后的图形
在这里插入图片描述

六、介绍一下iptalbes常用的命令

1、查看规则

iptables   [ -t  tables ]   -nL   [ -v ]  --line-numbers
参数介绍：
-t：后面接table，例如net或者filter，若不指明，默认是filter。
-L：列出目前防火墙的规则
-v：列出更多的信息，包括通过改规则的数据包总位数、相关的网络接口等
-n：不进行IP与hostname的反查，显示信息的数据会更快。
--line-numbers：显示序号

在这里插入图片描述

  • target：代表操作，ACCEPT是放行，REJECT是拒绝，LOG是符合条件会打印日志到/var/log/messages中，LOG不常用。
  • prot：代表协议，比如TCP、UDP、icmp等。
  • opt：额外的说明
  • source：代表此规则针对的源IP
  • destination：代表此规则针对的目的IP
iptables-save  [ -t  table ]
参数说明：
-t：指定所要查看的表

2、清除规则

iptables  [ -t  tables ]   [ -FXZ ]
参数与选项
-F：清除所有的已制订的规则
-X：清除所有用户“自定义”的chain（应该说是tables）
-Z：将所有的chain的计数与流量统计都归零

注：清除已有规则，不会改变默认策略。防火墙会从第一条到最后一条然后到默认规则依次进行匹配。所以防火墙的顺序非常重要，比如：

  • 拒绝所有ip访问
  • 同意192.168.91.4访问

如上的结果就是192.168.91.4无法访问主机，因为防火墙匹配第一条时就匹配到了，所以不会往下进行匹配。所以我们的drop规则都是放到最后。

3、定义默认策略

iptables  [ -t  nat ]  -P  [ INPUT,OUTPUT,FORWARD ]   [ ACCEPT,DROP ]

在这里插入图片描述
4、插入数据

iptables  [ -AI   链名 ]   [ -io  网络接口 ]  [ -p  协议 ]  [ -s  来源ip/网络 ]  [ -d  目标ip/网络 ]  -j  [ ACCEPT | DROP | REJECT | LOG ]
 选项与参数：
 -AI  链名：针对某条链进行规则的“插入”或者“累加”
       -A ：在该链规则的最后面添加一条规则。
       -I ：这是大写的i，默认在该链的第一条添加规则，原来的第一条变成第二条。
-io   网络接口：设置数据包进出的接口规范
       -i ：数据包所进入的那个网络接口，例如 eth0 、lo 等接口，需要与INPUT链配合
       -o：数据包所传出的那个网络接口，需与 OUTPUT 链配合
-p  协议：设置此规则适用于那种数据包格式，如：tcp、udp、icmp及all
-s  来源ip/网络：可指定原ip或者网络
     ip：192.168.9.100
     网络：192.168.91.0/24、192.168.91.0/255.255.255.0 均可
     -s  !  192.168.91.0/24  表示不接受 192.168.91.0/24 发来的数据包
-d  目标地址：同 -s 只是这里是目标ip
-j ：后面接操作，主要操作有接受（ACCEPT）、丢弃（DROP）、拒绝（REJECT）以及记录（LOG）

范例1：设置 lo 成为受信任的设备，即进出 lo 的数据包都予以接受
iptables  -A  INPUT  -i  lo   -j   ACCEPT

范例1中并没有列出 -s、-d 等参数，这就表示：不论数据包来自何处或去到哪里，只要是来自 lo 这个接扣，就予以允许。

范例2：只要是来自内网（192.168.100.0/24）的数据包就全部接受
iptables  -A  INPUT  -i  eth1  -s  192.168.100.0/24  -j  ACCEPT

范例3：想记录一下 （192.168.100.5）这台主机来访问的记录
iptables  -A  INPUT  -s  192.168.100.5  -j  LOG

范例3中如果192.168.100.5 这台主机来访问时就会在/var/log/messages中打印出对应的日志，然后该数据包会继续进行后续规则的对比。

范例4：想要连接进入本机 port 21 的数据包都丢弃。
iptables  -A  INPUT  -i  eth0  -p  tcp  --dport  21  -j  DROP

范例4中，因为仅有TCP和UDP数据包具有端口，因此想要使用 -dport、sport 时，需要加上-p tcp 或 -p udp 的参数才会成功，如果只使用了–dport 而没有使用-p tcp，系统会报错。

范例5：只要来自 192.168.1.0/24 的 1024:65535 端口的数据包，且想要连接到本地的ssh port 就予以阻挡。
iptables  -A  INPUT  -i eth0  -p tcp  -s  192.168.1.0/24  --sport  1024:65535  --dport  ssh  -j  DROP

范例6：将来自任何地方的来源port 1:1023主动连接到本机的1:1023连接丢弃
iptables  -A  INPUT  -i  eth0  -p tcp --sport  1:1023  --dport  1:1023   --syn   -j DROP

范例6中，Client端启动的port都大于1024，而server端启动的端口都小于1023，所以我们可以丢弃来自远程的小于1023的端口数据的主动连接，但不使用于FTP的主动连接中。

范例7：对多个连续的ip进行22端口的放行
iptables  -A   INPUT  -m  iprange  --src-range  10.185.5.223-10.185.5.225 -p tcp  --dport 22 -j  ACCEPT 

范例8：对多个ip进行设置
iptables -I INPUT  -s 172.24.129.113  -p tcp  -m multiport --dports  8030:8033,8088,8040    -j ACCEPT

5、state 和 mac 模块

iptables  -A  INPUT  [ -m  state ]   [ --state  状态 ]
选项与参数：
 -m ：一些 iptables 的外挂模块，主要常见的有：
         state：状态模块
         mac ：网卡硬件地址（hardware  address）
-state ：一些数据包的状态，主要有：
         INVALID：无效的数据包，例如数据破损的数据包状态
         ESTABLISHED：已经连接成功的连接状态
         NEW：想要新建立的数据包状态
         RELATED：这个最常用、表示这个数据包是与主机发送出去的数据包有关

iptables可以通过一个状态模块来分析这个想要进入的数据包是否为刚刚发出去的响应，如果是刚刚发出去的响应，那么就可以予以接收放行。

范例9：只要已建立连接或与已发出请求相关的数据包就予以通过，不合法数据包就丢弃
iptables  -A INPUT  -m  state  --state  RELATED,ESTABLISHED  -j  ACCEPT
iptables  -A  input  -m  state  --state  INVALID  -j  DROP

范例10：针对局域网内的  aa:bb:cc:dd:ee:ff 主机开放其连接
iptables  -A  INPUT  -m  mac  --mac-source  aa:bb:cc:dd:ee:ff   -j   ACCEPT

范例11：查看自己mac地址
ip link show
ip address show
ifconfig -a

范例12：查看对方mac地址
需要对方和自己建立通信，比如ping一下
arp  -a
cat  /proc/net/arp

范例12中的两条命令都能看到对方mac地址，你不要问，为什么ping百度以后，看不到百度的mac。

ICMP数据包规则的对比：针对是否相应ping来设计
iptables  -A  INPUT  [ -p icmp ]  [ --icmp-type  类型 ]  -j  ACCEPT
选项与参数：
--icmp-type：后面必须接ICMP的数据包类型，也可以使用代号，

范例13：让0、3、4、11、12、14、16、18 的 ICMP type 可以进入本机：
vi   somefile
#!/bin/bash
icmp_type="0 3 11 12 14 16 18"
for  typeicmp  in  $icmp_type
do
       iptables  -A  INPUT  -p  icmp  --icmp-type  $typeicmp  -j  ACCEPT
done

sh   somefile

6、保存设置

范例14：保存规则的两条命令
service iptables save
iptables-save > /etc/sysconfig/iptalbes

范例15：清空规则，如何恢复之前备份好的规则
备份规则：
iptables-save > a.txt
恢复规则：
iptables-restore  < a.txt

范例16：记录规则的文件
/etc/sysconfig/iptalbes-config
/etc/sysconfig/iptables

七、iptables的网络地址转换（net）功能

net表有三条链：PREROUTING、POSTROUTING、OUTPUT。重点在于PREROUTING、POSTROUTING这两条，PREROUTING这一条是进路由之前，POSTROUTING这一条是路由之后

链名中文名作用
PREROUTING路由之前修改目标地址
PREROUTING路由之后修改原地址

1、出包示意图
在这里插入图片描述
如图：192.168.1.100这台主机发的包，经过iptables变成了公网地址。这样就可以实现iptables的ip分享功能，分享就是同一个公网ip
2、收包示意图
在这里插入图片描述
如图：从公网传过来的命名是公网的ip，怎么到我电脑上就变成了私网IP呢，这就是iptables的net功能
3、传包示意图
在这里插入图片描述
1、收到包以后转到192.168.100.10

iptables  -t  nat  -A PREROUTING  -i  eth0  -p tcp  --dport  80 -j  DNAT  --to-destination  192.168.100.10

2、80端口转到8080

iptables  -t nat  -A  PREROUTING  -i eth0 -p tcp  --dport  80 -j  DANT --to-ports  8080

3、对外的 IP 固定为 192.168.1.100

iptables  -t  nat  -A  POSTROUTING  -o  eth0  -j  SNAT  --to-source  192.168.1.100

4、对外的 IP 固定为 192.168.1.210~192.168.1.220,轮流使用

iptables  -t nat -A POSTROUTING  -o eth0 -j  SNAT --to-source  192.168.1.210-192.168.1.220

8、在最后我稍微介绍一个IPv4的内核管理功能

除了iptables可以阻挡网络攻击外，linux内核也有默认的阻挡机制。
1、/proc/net/ipv4/tcp_syncookies
这个文件是问了阻挡一种阻断式服务（DoS）攻击的，这种攻击是利用TCP数据包的SYN三次握手原理实现的，这种方式成为SYN Flooding。这个方法可以降低SYN等待端口，避免SYN Flooding的DoS攻击。那么如何开启这个模块？可以这样做：

[root@slave1 ~]# echo "1" > /proc/sys/net/ipv4/tcp_syncookies

2、/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
从名字中可以看出来这是忽略icmp也就是ping包用的，当有人用多台主机去ping你的服务器以后，你的带宽就是被占用，从而达到攻击的效果，这种攻击称为ping flooding。
内核取消ping回应的的设置有两个，分别是/proc/sys/net/ipv4内的icmp_echo_ignore_brocadcasts（仅有ping brocadcast地址时台取消ping的回应）以及icmp_echo_ignore_all（全部的ping都不回应），开启方法：

[root@slave1 ~]# echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

3、/proc/sys/net/ipv4/conf/网络接口/*
linux的内核还可以真对不同的网络接口进行不一样的参数设置。网络接口的相关设置放在/proc/sys/net/ipv4/conf/中，每个接口都以以借口代号作为其代表，例如：ech0接口的相关配置放在/proc/sys/net/ipv4/conf/ech0下。那么网络接口的设置数据有哪些需要注意的呢？

  • rp_filter：称为逆向路径过滤（Reverse Path Filtering），可以通过分析网络接口的路由信息，配合数据包的来源地址，来分析该数据包是否合理。举例说明：你有两张网卡，eth0为192.168.1.10/24，eth1为public IP。那么当有一个数据包自称来自eth1，但是其IP为192.168.1.200，那么这个数据包就不合理，应予以丢弃。这个功能建议开启。
  • log_martians：这个设置数据可以用来启动记录不合法的IP来源功能，举例说明：包括0.0.0.0、127.x.x.x、以及Class E的IP都是不合法的，因为这些IP就不应该出现在Internet当中。记录的数据默认放置的日志/var/log/messages。
  • accept_source_route：或许某些路由器会启动这个设置值，不过目前的设备很少使用到这种来源路由，可以取消这个设置值。
  • accept_redirects：当你在同一个实体网域内架设一部路由器， 但
    这个实体网域有两个 IP 网域，例如 192.168.0.0/24, 192.168.1.0/24。
    此时你的 192.168.0.100 想要向 192.168.1.100 传送讯息时，路由器可
    能会传送一个 ICMP redirect 封包告知 192.168.0.100 直接传送数据
    给 192.168.1.100 即可，而不需透过路由器。因为 192.168.0.100 与
    192.168.1.100 确实是在同一个实体线路上 (两者可以直接互通)，所以
    路由器会告知来源 IP 使用最短路径去传递数据。但那两部主机在不同的
    IP 段，却是无法实际传递讯息的！这个设定也可能会产生一些轻微的安
    全风险，所以建议关闭他。
  • send_redirects：与上一个类似，只是此值为发送一个 ICMP
    redirect 封包。 同样建议关闭。

虽然你可以使用『 echo “1” > /proc/sys/net/ipv4/conf/???/rp_filter 』之
类的方法来启动这个项目，不过， 建议修改系统设定值，那就是
/etc/sysctl.conf 这个档案！假设我们仅有 eth0 这个以太接口，而且上述的
功能要通通启动， 那你可以这样做：

[root@www ~]# vim /etc/sysctl.conf
 # Adding by VBird 2011/01/28
 net.ipv4.tcp_syncookies = 1
 net.ipv4.icmp_echo_ignore_broadcasts = 1
 net.ipv4.conf.all.rp_filter = 1
 net.ipv4.conf.default.rp_filter = 1
 net.ipv4.conf.eth0.rp_filter = 1
 net.ipv4.conf.lo.rp_filter = 1
 ....(以下省略)....
 
 [root@www ~]# sysctl -p
阿无@_@
关注
专栏目录
iptables加强系统安全性
Dean Chen的专栏
10-31 7338
我的目的是关闭所有对外服务的端口，只允许ssh服务的22端口接受外面的请求。首先在我的测试服务器上进入root权限，然后用下面的命令查看iptablesroot@host2:~# iptables -vnL --line-numbers Chain INPUT (policy ACCEPT 105 packets, 10480 bytes) num pkts bytes target
Linux--iptables 防火墙
CSDN著名博主
08-05 774
文章目录前言一、Linux 防火墙基础1.1、Linux 包过滤防火墙概述1.2、iptables 的表、链结构1.2.1、规则表1.2.2、规则链1.3、数据包过滤的匹配流程二、编写防火墙规则2.1、iptables 安装2.2、基本语法、数据包控制类型2.3、添加、查看、删除规则等基本操作2.3.1、添加新的规则2.3.2、查看规则列表2.3.3、删除、清空规则2.3.4、设置默认策略2.4、规则的匹配条件2.4.1、通用匹配2.4.2、隐含匹配2.4.3、显示匹配 前言 一、Linux 防火墙基础 1
Linux--iptables防火墙管理服务
一颗红小豆
05-31 231
Linux–iptables防火墙管理服务 iptables iptables是linux系统中管理防火墙的工具，iptables本身不是防火墙。通过iptables可以建立，删除，修改，保存，导入防火墙策略。 iptables的三表五链 预设的情况下，Linux的iptables至少就有三个表格， 三张表包括 ：filter，nat，mangle 五条链包括： INPUT链：处理输入数据包 OU...
iptables的状态检测机制
weixin_34080571的博客
06-12 175
1.什么是状态检测 　　每个网络连接包括以下信息：源地址、目的地址、源端口和目的端口，叫作套接字对(socket pairs)；协议类型、连接状态(TCP协议)和超时时间等。防火墙把这些信息叫作状态(stateful)，能够检测每个连接状态的防火墙叫作状态包过滤防火墙。它除了能够完成简单包过滤防火墙的包过滤工作外，还在自己的内存中维护一个跟踪连接状态的表，比简单包过滤防火墙...
Linux的安全管理机制Firewall和iptables
cainiuxianfei的博客
08-20 338
Firewall 防火墙也称防护墙，是一种位于内部网络与外部网络之间的网络安全系统，是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。 firewall与iptabels对比 redhat6之前包括6使用的是iptables，redhat7之后使用的是firewall firewall 能够允许哪些服务可用，那些端口可用…属于更高一层的防火墙。 作为内核的管理软件 firewa...
Iptables详解
lufei0920的博客
03-10 1156
iptables/netfilter: Packets Filter Firewall: 包过滤型防火墙： Firewall:隔离工具，工作于主机或网络的边缘处，对经由的报文根据预先定义的规则（识别标准）进行检测，对于能够被规则匹配到的报文实行某种预定义的处理机制的一组套件： 硬件防火墙：CPU级别就可以封包和解包，提供26个字母，硬件逻辑；在硬件级别实现部分功能的防火墙。 软件防火墙：应用软件逻辑在通用硬件基础上实现。 主机防火墙： 网络防火墙： ipfw --> ipchians
Linux安全应用-iptables防火墙.pptx
12-02
Linux安全应用-iptables防火墙.pptx
01_Linux安全应用-iptables防火墙(一)-v10.ppt
03-03
01_Linux安全应用-iptables防火墙(一)-v10.ppt
02_Linux安全应用-iptables防火墙(一)-v10.ppt
03-03
02_Linux安全应用-iptables防火墙(一)-v10.ppt
Linux-iptables防火墙的分布式策略应用研究.pdf
08-11
#资源达人分享计划#
iptables 状态机制
11-21
iptables 状态机制
Linux安全管理-Iptables原理及其应用
weixin_34217773的博客
03-29 148
一、前言： Iptables防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在一 网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层...
iptables - 学习笔记
纯牛奶x的博客
07-19 277
概念介绍 iptables 其实是一个命令行的工具，位于用户空间，真正实现功能的是 netfilter，位于内核空间，能够实现 3 种功能，网络地址转换、数据包内容的修改、数据包过滤的防火墙功能 链、表、动作 链 表 filter 负责过滤 nat 地址转换 mangle 拆解报文，做出修改，并重新封装 raw 关闭 nat 表上启动的连接追踪机制 表与链的关系 处理动作 ACCEPT DROP REJECT SNAT MASQUERADE SNAT 的一种特例，可以
iptables - MARK和CONNMARK的使用案例
to_be_better_wen的博客
01-15 1454
iptables MARK和CONNMARK使用案例
【Linux】网络连接失败/ 防火墙配置/ iptables配置
走在搬砖的路上！
09-25 1820
1.首先查看防火墙： （1）设置开机启用防火墙：systemctl enable firewalld.service （2）设置开机禁用防火墙：systemctl disable firewalld.service （3）启动防火墙：systemctl start firewalld （4）关闭防火墙：systemctl stop firewalld （5）检查防火墙状态：systemctl status firewalld 举例查看防火墙状态： 2.确定linux服务器是否可以访问外网.
Linux（openwrt）下iptables+tc工具实现网络流量限速控制（QoS）
最新发布
Ryan爱吃糖的博客
07-17 1597
linux中iptables配置文件及命令详解详解
weixin_30690833的博客
09-14 2059
iptables配置文件 直接改iptables配置就可以了：vim /etc/sysconfig/iptables。 1、关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放。 下面是命令实现：iptables -P INPUT DROPiptables -P FORWARD DROPiptables -P OUTPUT DROP再用命令 iptables -L -n 查...
Linux安全基线（三）配置6小项
bigwood99的博客
09-27 4741
通过将net.ipv4.conf.all.accept_redirects和设置net.ipv6.conf.all.accept_redirects为0，系统将不接受任何ICMP重定向消息，因此，不允许外部人员更新系统的路由表。它的流行和实用性使基于USB的恶意软件成为网络渗透的一种简单而通用的手段。在网络中，源路由允许发送者部分或完全指定通过网络的路由数据包。相反，非源路由数据包将通过网络中的路由器确定的路径。在/etc/modprobe.d/目录中编辑或创建以.conf结尾的文件文件。
linux中ip正在被请求,linux ip选项处理（二）
weixin_32254411的博客
05-05 340
ip选项处理(一)中讨论了syn包的发送过程对ip选项的处理，接下来分析接收syn并转发的过程(2)路由节点接收syn到转发syn我们知道ip层接收数据的函数调用过程是ip_rcv ---> ip_rcv_finish，在ip_rcv_finish中将会对ip选项进行处理static inline int ip_rcv_finish(struct sk_buff *skb){......if...
Linux iptables防火墙：构建安全网络策略
iptables防火墙是Linux系统中用于网络访问控制的一种内核级防火墙机制，它是基于netfilter网络架构实现的，主要用于在网络层对数据包进行筛选和管理，以确保网络安全。"包过滤"技术的核心是检查数据包的五元组，包括...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值