Linux —— iptables和firewalld

最新推荐文章于 2024-07-07 10:21:31 发布
最新推荐文章于 2024-07-07 10:21:31 发布
阅读量259 收藏
点赞数
分类专栏： RHCE
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_37868230/article/details/105047889
版权

目录

1. 火墙介绍

2. 火墙管理工具切换

2.1 将firewalld切换为iptables

2.2 将iptables切换为firewalld

3. iptables

3.1 iptables的使用

3.2 火墙默认策略

3.3 iptables的命令

3.4 数据包状态

3.5 nat表中的dnat和snat

4. firewalld

4.1 firewalld的开启

4.2 firewalld的域

4.3 firewalld的设定原理及数据存储

4.4  firewalld的管理命令

4.5 firewalld的高级规则

4.6 firewalld中的NAT

1. 火墙介绍

Netfilter/IPTables是Linux2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables从用户态的iptables连接到内核态的Netfilter的架构中，Netfilter与IP协议栈是无缝契合的，并允许使用者对数据报进行过滤、地址转换、处理等操作。

管理方式iptables|firewalld

2. 火墙管理工具切换

在rhel8中默认为firewalld

2.1 将firewalld切换为iptables

  • 将firewalld服务关闭并冻结
systemctl stop firewalld
systemctl disable firewalld
systemctl mask firewalld

  • 安装并启用iptables服务
dnf search iptables
dnf install iptables-services.x86_64 -y
systemctl enable --now iptables.service

2.2 将iptables切换为firewalld

  • 将iptables服务关闭，并开启firewalld服务
systemctl stop iptables
systemctl disable iptables
systemctl mask iptables
systemctl enable --now firewalld

3. iptables

3.1 iptables的使用

/etc/sysconfig/iptables ##iptables 策略记录文件
## 永久保存策略 
iptales-save > /etc/sysconfig/iptables 
service iptables save

3.2 火墙默认策略

  • 默认策略中的5条链
链作用
input输入
output输出
forward转发
postrouting路由之后
prerouting路由之前
  • 默认的3张表
表功能
filter经过本机内核的数据（input output forward）
nat不经过内核的数据（postrouting prerouting input output）
mangle当filter和nat表不够用时使用该表（input output forward postrouting prerouting）

3.3 iptables的命令

 参数命令作用参数命令作用
iptables-t 指定表名称 REJECT拒绝
iptables-n 不做解析 SNAT源地址转换
iptables-L 查看 DNAT目的地地址转换
iptables-A 添加策略-N 新建链
iptables-p 协议-E 更改链名称
iptables--dport 目的地端口-X 删除链
iptables-s 来源-D 删除规则
iptables-j 动作-I 插入规则
iptables ACCEPT允许-R 更改规则
iptablesDROP丢弃 -P 更改默认规则

测试：

iptables -t filter -L         ## 查看filter表，-t指定表，-L查看内容，显示主机名称
iptables -t filter -nL        ## 不做解析，显示的是ip
iptables -t nat    -nl
iptables -A                   ## 默认的表是filter，该命令指向filter表中添加策略
iptables -A INPUT -j REJECT   ## 添加该策略，指所有的主机到达当前主机都是被拒绝的
iptables -A INPUT -j DROP     ## 添加该策略，将数据丢弃，远程主机一直在尝试连接
iptables -I INPUT 1 -s 192.168.43.10 -j ACCEPT  ## 将该策略插入到第一个
iptables -I INPUT -s 192.168.43.10 -p tcp --dport 22 -j ACCEPT

REJECT： 

 

DROP：

 REJECT all & ACCEPT 192.168.43.10

此时，先REJECT所有， 后ACCEPT ip：192.168.43.10主机连接，发现192.168.43.10主机还是无法连接，这里我们先进行ACCEPT ip：192.168.43.10主机连接再REJECT所有：

 

上述实验说明：火墙策略是由上向下依次读取，只要读到匹配的策略就停止，不再继续向下读

 

3.4 数据包状态

RELATED ##建立过连接的 
ESTABLISHED ##正在连接的
NEW ##新的

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
iptables -A INPUT -m state --state NEW -i lo -j ACCEPT 
iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT 
iptables -A INPUT -m state --state NEW -p tcp --dport 443 -j ACCEPT 
iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT 
iptables -A INPUT -m state --state NEW ! -s 192.168.0.10 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -m state --state NEW -j REJECT 
service iptables  save

3.5 nat表中的dnat和snat

## snat 
iptable -t nat -A POSTROUTING -o ens160 -j SNAT --to-source 192.168.43.20 
## 在路由之后通过网卡ens160出去的所有数据做源地址转换，将源地址都转换为192.168.43.20
## dnat 
iptables -t nat -A PREROUTING -i ens160 -j DNAT --to-dest 172.25.254.30
## 目的地地址转换，我们访问192.168.43.20路由主机IP会转换成172.25.254.30
  • 首先先添加一个网卡，并给它设置ip为172.25.254.20

  • 查看路由主机中路由功能是否开启，此时可以看到已经开启

  • 在ip为172.25.254.30主机无法ping通192.168.43.10，我们在路由主机中设置策略

  • 添加iptable -t nat -A POSTROUTING -o ens160 -j SNAT --to-source 192.168.43.20源地址转换策略后，结果如下

上述策略可以使172.25.254.30主机访问192.168.43.10主机，那反着是不是也可以访问呢？ 

可以发现，无法ping通，这是因为我们没有给其设置策略，允许访问172.25.254.30主机

  • 设置策略，使得192.168.43.10主机同样可以访问172.25.254.30主机

4. firewalld

4.1 firewalld的开启

## 关闭iptables
systemctl stop iptables 
systemctl disable iptables 
systemctl mask iptables 
## 开启firewalld
systemctl unmask firewalld 
systemctl enable --now firewalld

4.2 firewalld的域

域作用域作用
trusted接受所有的网络连接dmz军级网络 ssh
home用于家庭网络，允许接受ssh mdns ipp-client samba-client dhcp-clientblock拒绝所有
work工作网络 ssh ipp-client dhcp-clientdrop丢弃，所有数据全部丢弃无任何回复
public公共网络 ssh dhcp-clientinternal内部网络 ssh mdns ipp-client samba-client dhcp-client
externalipv4网络地址伪装转发 sshd  

rhel8中默认域为public公共网络

4.3 firewalld的设定原理及数据存储

## 临时更改：
firewall-cmd --add-service=http 

## 永久更改（只更改/etc/firewalld/zones/public.xml文件内容）：
firewall-cmd --permanent --add-service=http  
firewall-cmd --reload

/etc/firewalld ##火墙配置目录 
/lib/firewalld ##火墙模块目录
  • 临时更改，更改后立即生效，但是重启firewalld后就会消失

  • 永久更改，更改之后/etc/firewalld/zones/public.xml文件内容也会改变

反过来，通过修改配置文件，直接在配置文件中添加service也可以永久修改。

那么上述添加的都是我们系统中已存在的服务，如果如果想自行添加一个自定义服务？

  • 在配置文件中添加一个dsd服务，并查看服务列表

 可以看到，此时我们再重载服务时会报错，这是因为上述例如http、https等服务，系统中已经有明确的定义，而我们自定义的服务还没有定义 

  • 切换到/usr/lib/firewalld/services目录下，我们可以看到这里是所有系统服务定义的xml文件

  •  在这里我们编辑dsd.xml文件，复制一份系统服务文件，这里我们复制http.xml文件并修改如下

  • 查看火墙允许列表，发现自定义的服务已经被火墙所允许 

4.4  firewalld的管理命令

  • firewall-cmd --state  ## 查看火墙状态

  • firewall-cmd --get-active-zones ##查看当前火墙中生效的域 

  • firewall-cmd --get-default-zone ##查看默认域 

  • firewall-cmd --list-all ##查看默认域中的火墙策略 

  • firewall-cmd --list-all --zone=work ##查看指定域的火墙策略

  • firewall-cmd --set-default-zone=trusted  ##设定默认域

  • firewall-cmd --get-services ##查看所有可以设定的服务 

  • firewall-cmd --permanent --remove-service=dsd  ##移除服务 

  • firewall-cmd --reload ## 更新防火墙规则
  • firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block ##指定数据来源访问指定域

  • firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block ##删除自定域中的数据来源

  • firewall-cmd --permanent --remove-interface=ens224 --zone=public ##删除指定域的网络接口
  • firewall-cmd --permanent --add-interface=ens224 --zone=block ##添加指定域的网络接口

  • firewall-cmd --permanent --change-interface=ens224 --zone=public ##更改网络接口到指定域

4.5 firewalld的高级规则

firewall-cmd --direct --get-all-rules ##查看高级规则 
firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -s 172.25.254.0/24 -p tcp -dport 22  -j ACCEPT

4.6 firewalld中的NAT

## SNAT
firewall-cmd --permanent --add-masquerade 
firewall-cmd --reload

## DNAT 
firewall-cmd --permanent --add-forward-port=port=22:proto=tcp:toaddr=172.25.254.30
firewall-cmd --reload

此时我们在主机：192.168.43.10中连接路由主机，发现访问的就是真实的路由主机，而非我们想要访问的172.25.254.30

  • 添加协议

  • 在192.168.43.10主机访问192.168.43.20路由主机，我们实际访问到的是172.25.254.30主机

dsd2333
关注
专栏目录
Linux学习总结（48）——Linux防火墙iptables与firewalld学习总结
科技D人生
06-26 5459
iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。语法iptables(选项)(参数)选项-t<表>：指定要操纵的表；-A：向规则链中添加条目；-D：从规则链中删除条目；-i：向规则链中插入条目；-R：替换规则链中的条目；-L：显示规则链中已有的条目；-F：清楚规则链中已有的条目；-Z：清空规则链中的数...
系统安全之万里长城——Iptables与Firewalld
Aogsk -- Hello Welcome
05-28 417
防火墙管理工具 防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。 防火墙虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样一来，就可以保证仅有合法的流量在内网和公网之间流动了。 防火墙 在Linux系统中，Iptables与Firewalld是非常常用的防火墙管理工具。两者之
详述Linux中Firewalld高级配置的使用
01-10
IP伪装与端口转发 Firewalld支持两种类型的网络地址转换 IP地址伪装(masquerade) 可以实现局域网多个地址共享单一公网地址上网 IP地址伪装仅支持IPv4,不支持IPv6 默认external区域启用地址伪装 端口转发(Forward-port) 也称为目的地址转换或端口映射 通过端口转发，指定IP地址及端口的流量将被转发到相同计算机上的不同端口，或者转发到不同计算机上的端口 地址伪装配置 为指定区域增加地址伪装功能 firewall-cmd [--permanent] [--zone= zone] --add-masquerade [--ti
linux--Firewalld、Iptables防火墙的设置
weixin_34413357的博客
11-12 133
一、Firewalld 1..启动服务 systemctl start firewalld firewall-config ##打开图形管理界面 图示：图形管理界面 Configuration 的设置有两种：permanent 永久设定 Runtime 临时设定，设定临时后需（reload），重新加载 示例：永久添加http服务到public [root...
从iptables到firewalld：Linux防火墙的进化之路
最新发布
zgt_certificate的博客
07-07 875
规则的更改不需要对整个防火墙规则列表进行重新加载，只需将变更部分保存并更新到运行中的iptables即可。不同区域之间的差异在于其对待数据包的默认行为不同。firewalld默认每个服务是拒绝的，需要手动设置才能放行。真正利用规则进行数据包过滤是由内核中的netfilter子系统负责。提供了一个daemon和service，还有命令行和图形界面配置工具，它仅仅是替代了。: 需要修改规则并进行所有规则的重新加载。3. Firewalld区域（Zone）4. Firewalld区域默认策略规则。
linux中 centos7 从iptables切回firewall
qq_37099009的博客
09-19 251
原文章 https://www.cnblogs.com/MisterZZL/p/9534288.html 从iptables切换回firewalld 1、先看firewalld的状态：inactive 2、安装firewalld 3、切换到firewalld，切换过程与切换iptables一样 ...
Linux安装iptables 替换firewall
兵临城下的博客
06-18 250
这里我们新开放了80/443/3306端口。2. 关闭防火墙，并查看防火墙状态。6. 重启防火墙并设置开机启动。或者直接卸载firewall。4. 安装iptables。3. 禁止防火墙开机启动。7. 关闭selinux。1. 查看当前防火墙状态。5. 编辑防火墙配置文件。
干货！Linux 防火墙配置 ( iptables 和 firewalld )
<sdffdsfsdfdfs>sfsfsfsdfsdffds</sdfsDS>Fsd
04-14 852
????????关注后回复“进群”，拉你进程序员交流群????????来自：入门小站防火墙基本概念防火墙就是根据系统管理员设定的规则来控制数据包的进出，主要是保护内网的安全,目前 Linux 系统的防火墙类型主要有两种：分别是 [iptables] 和 firewalldIptables-静态防火墙早期的 Linux 系统中默认使用的是 iptables 防火墙，配置文件在 / etc/sysconfig/iptab...
linux——Iptables与Firewalld防火墙
差一分先生的博客
03-15 384
8.1 防火墙管理工具 在RHEL 7系统中，firewalld防火墙取代了iptables防火墙。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。 8.2 Iptables 8.2.1 策略与规则链 防火墙会从上至下的顺序来读取配置的策略规则，在找到...
Linux防火墙之firewalld和iptables
day day up
07-15 2605
IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理。netfilter/iptables关系netfilter属于"内核态"又称内核空间(kernelspace)的防火墙功能体系。linux好多东西都是内核态用户态，那我们运维人员关注的是用户态，内核我们关注不是很多，内核基本是我们开发人员关心的事情,...
十二、Linux进阶——iptables和firewalld
qq_27172205的博客
06-28 413
目录1. 火墙介绍2. 火墙管理工具切换2.1 将firewalld切换为iptables2.2 将iptables切换为firewalld3. iptables3.1 iptables的使用3.2 火墙默认策略3.3 iptables的命令3.4 数据包状态3.5 nat表中的dnat和snat4. firewalld4.1 firewalld的开启4.2 firewalld的域4.3 firewalld的设定原理及数据存储4.4 firewalld的管理命令4.5 firewalld的高级规则4.6
Linux防火墙入门级教程——iptables、firewalld配置详解
weixin_43507410的博客
08-11 499
合理的防火墙是你的计算机防止网络入侵的第一道屏障。你在家里上网，通常互联网服务提供会在路由中搭建一层防火墙。当你离开家时，那么你计算机上的那层防火墙就是仅有的一层，所以配置和控制好你 Linux 电脑上的防火墙很重要。如果你维护一台 Linux 服务器，那么知道怎么去管理你的防火墙同样重要，只要掌握了这些知识你才能保护你的服务器免于本地或远程非法流量的入侵。 很多 Linux 发行版本已经自带了防火墙，通常是iptables，它很强大并可以自定义，但配置起来有点复杂,firewalld也是用于管理Linux
linux firewalld一
L*YUE的博客
03-21 261
目录防火墙介绍防火墙管理工具切换iptables的使用防火墙默认策略 防火墙介绍 netfilter是规则表的容器，iptables是防火墙的核心模块，负责维护防火墙的规则表，iptables和firewalld都是Linux上管理防火墙规则的工具。 防火墙管理工具切换 在rhel8中默认使用的是firewalld 1.firewalld ----->iptables yum instal...
浅谈linux防火墙之Firewalld服务
黑白一戒
12-23 446
浅谈linux防火墙之Firewalld服务1️⃣ Firewalld服务简介2️⃣ Firewalld服务配置▶1 Firewalld预定义服务配置▶2 Firewalld 三种配置方法▶3 Firewall-cmd 命令选项3️⃣ rich规则▶1 rich规则简介▶2 rich规则实施顺序：▶3 rich规则选项▶4 rich日志规则▶5 伪造和端口转发 1️⃣ Firewalld服务简介...
Firewalld更换iptables
礁之的博客
01-21 882
一、删除firewalld，安装iptables （1）删除firewalld 停止并屏蔽firewalld： [root@renzeyuan ~]# systemctl stop firewalld [root@renzeyuan ~]# systemctl mask firewalld （2）安装iptables [root@renzeyuan ~]# yum -y install iptables-services [root@renzeyuan ~]# systemctl enable ipt
Linux——Iptables 与 Firewalld防火墙
YT的博客
02-22 320
在红帽 RHEL7 系统中，firewalld 服务取代了 iptables 服务，但依然可以使用 iptables 命令来管理内核的 netfilter。其实 Iptables 服务 与 Firewalld 服务都不是真正的防火墙，它们都知识用来定义防火墙规则功能的 “防火墙工具”，将定义好的规则交由内核中的 netfilter 即网络过滤器来读取，从而真正实现防火墙功能。 Iptables 命...
Linux中的火墙iptables和firewalld
qq_46089299的博客
03-24 326
一、火墙介绍 定义：所谓“防火墙”是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，隔离技术。 功能：防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来...
Linux中的火墙优化-firewalld和iptables
weixin_47738793的博客
11-30 214
iptables 1.火墙介绍 1.netfilter 2.iptables 3.iptables|firewalld 2.火墙管理工具切换 在rhel8中默认使用的是firewalld firewalld----->iptables dnf install iptables-services -y systemctl stop firewalld systemctl disable firewalld systemctl mask firewalld systemctl enable --now i
探究 CentOS 7 下 iptables 和 firewalld 切换过程中，谁主沉浮
本博客纯属个人网络笔记，如对阁下有用，甚喜；否则，关掉即可，不喜勿喷。专心写代码，不做键盘侠！
01-20 2337
最近需要开发一个 iptables 的可视化管理平台，研究了一下 iptables 和 firewalld 这两个防火墙。CentOS 6 上 iptables 作为默认防火墙，这个比较好控制。对于 CentOS7 中，这两个防火墙之间切换时，到底谁起主要作用呢？又怎么控制规则呢？
linux中 iptables 与 firewalld 的关系
05-31
iptables和firewalld都是Linux系统中的防火墙工具，用于管理网络数据包的过滤和转发。iptables是Linux内核中的防火墙工具，其通过一系列规则过滤和转发网络数据包。firewalld是一个用户空间的动态防火墙管理工具，它...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值