防火墙iptalbes和firewalld

已于 2024-10-25 21:01:38 修改
阅读量1k 收藏 30
点赞数 38
分类专栏： linux 进阶 文章标签： linux
于 2024-08-22 11:34:27 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_54563444/article/details/141386854
版权
linux 同时被 2 个专栏收录
47 篇文章 0 订阅
订阅专栏
进阶
15 篇文章 0 订阅
订阅专栏

一、IPtables介绍

Iptables 命令完整指南-阿里云开发者社区

Iptables是unix/linux自带的一款开源的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，可以对流入和流出服务器的数据包进行很精细的控制。

 iptables其实并不是真正的防火墙，我们可以把他理解为一个客户端的代理，用户是通过iptables这个
代理，将用户的安全设定执行到对应的“安全框架”中，这个“安全框架”才是真正的防火墙。
这个框架叫做“netfilter”。
​
netfilter：内核模块，-是真正实现防火墙的功能，但无法直接被操控
iptables：用户空间，在/sbin/iptables存在的防火墙，通过iptables提供管理，修改，删除或者插入规则。
用户和内核交互的一个工具就是iptables。
实际生产环境中

关闭Linux自身防火墙。（解决安全问题尽量不给服务器配置外网IP。需要访问的话，就使用代理转发。）因为高并发，iptables会加大延迟。除非并发小，服务器必须处于公网。考虑开启防火墙。

大并发的情况，不能开iptables，影响性能因为iptables是要消耗CPU的，利用硬件防火墙提升架构安全。

iptables工作原理分类

主机防火墙：主要是用来防范单台主机的进出报文；-----filter表
网络防火墙: 用于网络地址转换（IP、端口）----nat表
================================================================================
iptables缺点：
（1）防火墙虽然可以过滤互联网的数据包，但却无法过滤内部网络的数据包。因此若有人从内部网络攻击时，防火墙没有作用。
（2）电脑本身的操作系统亦可能因一些系统漏洞，使入侵者可以利用这些漏洞绕过防火墙过滤，从而入侵电脑。
（3）防火墙无法有效阻挡病毒攻击，尤其是隐藏在数据中的病毒。
PS:没有绝对安全的操作系统，虽然防火墙有这些缺点，但还是能阻挡大多数来自于外网的攻击！

二、iptables概念

1. 表（tables）

表是iptables规则集的容器，用于组织规则。每个表都有自己的一组预定义链，以及可以自定义的用户链。iptables提供了四个预定义表：

  1. filter表：用于过滤网络包，允许或拒绝特定的网络流量。
  2. nat表：用于实现网络地址转换（NAT），如端口转发、SNAT、DNAT等。
  3. mangle表：用于修改网络包的特定字段，如修改TTL（Time-to-live）值、设置QoS（Quality of Service）标记等。
  4. raw表：用于配置包过滤规则不受连接跟踪系统的影响。

2.链（chains）

 链是规则集中的一组规则的容器。当一个网络包到达iptables时，根据其属性和规则集中的链来决定如何处理该包。iptables提供了以下五个预定义链

  1. INPUT链：用于处理目标地址是本机的传入网络包。
  2. OUTPUT链：用于处理源地址是本机的传出网络包。
  3. FORWARD链：用于处理通过本机的转发网络包。
  4. PREROUTING链：用于处理网络包到达本机之前的处理，如DNAT。
  5. POSTROUTING链：用于处理网络包离开本机之前的处理，如SNAT。

3.规则（Policy）

规则是iptables中最基本的单位，用于定义具体的网络包处理策略。每条规则都包含一个或多个匹配条件和一个或多个动作。当一个网络包与规则的匹配条件相符时，将执行规则中定义的动作。

基本术语如下表格所示：

Netfilter/iptables表（tables）链（chains）规则（Policy）
一栋楼楼里的房子房子里的柜子柜子里衣服，摆放规则

三、iptables 表和链

iptables包含4张表和五个链,主要记住filter即可。

1、四张表

表名必须小写
raw   ------------追踪数据包 ----此表用处较少，可以忽略不计
mangle------------修改数据包的内容，如给数据包添加标记或修改TOS字段
nat   ---------网络地址转换，数据包的源或目的IP地址或端口的转换。
filter--------过滤数据包，决定数据包是否被接受或丢弃。防火墙最常用的表。
当数据包经过 iptables 处理时，表的应用顺序：
raw -> mangle -> nat -> filter

2、五个链

五链：（必须是大写）链里面写的是规则。
PREROUTING  --------------进路由之前处理数据包，用于目标地址转换（DNAT）
INPUT    -----------------过滤和控制过滤直接发送到本机的数据包
FORWARD  -----------------决定数据包是否应该被转发给其他主机，还是被丢弃。
OUTPUT   -----------------过滤和控制从本地系统发出的数据包
POSTROUTING --------------数据包被路由选择之后处理数据包，主要用于源地址转换 (SNAT)
#所有的访问都是按顺序:
入站:（访问自身的web服务流量）先PREROUTING（是否改地址），再INPUT（是否允许）到达程序。
转发:（经过linux的流量）首先PREROUTING（是否改地址），经过路由决策,转发给FORWARD（转发或者丢弃），最后经过POSTROUTING（看看改不改地址。）
出站:源自linux自身的流量.先OUTPUT，然后路由。再给POSTROUTING（是否改IP）。
规则顺序:逐条匹配，匹配即停止。

3、四表五链

（1）raw表有2个链。用于数据包跟踪。内核模块iptables_raw
PREROUTING
OUTPUT
（2）mangel表有5个链。用于路由标记。内核模块iptables_mangle
PREROUTING  
INPUT    
FORWARD 
OUTPUT 
POSTROUTING
（3）nat表有4个链，用于转换地址(改IP，改端口。内核模块叫iptable_nat)
PREROUTING
INPUT
OUTPUT
POSTROUTING
（4）filter表有3个链。实现主机型防火墙的主要表，根据规则来处理数据包，如转或丢。
内核模块 iptable_filter
INPUT    #负责过滤所有目标是本机地址的数据包通俗来说：就是过滤进入主机的数据包
FORWARD  #负责转发经过主机的数据包。起到转发的作用
OUTPUT   #处理所有源地址是本机地址的数据包通俗的讲：就是处理从主机发出的数据包
数据包流向
入站: PREROUTING (raw,mangel,nat) → INPUT (raw,nat,filter)
转发: PREROUTING (nat) → FORWARD (mangel,filter) → POSTROUTING (mangel,nat)
出站: OUTPUT (raw,mangel,nat,filter) → POSTROUTING (nat)
对于入站数据包:
数据包首先到达 PREROUTING 链，这里可以进行 DNAT 操作。
如果数据包的目标地址是本地主机，则继续到 INPUT 链。
如果数据包的目标地址不是本地主机，则继续到 FORWARD 链。
对于出站数据包:
数据包首先到达 OUTPUT 链。
经过 OUTPUT 链后，数据包可能会被修改（例如，通过 SNAT），然后到达 POSTROUTING 链。
对于转发数据包:
数据包首先到达 PREROUTING 链。
如果数据包的目标地址不是本地主机，则继续到 FORWARD 链。
经过 FORWARD 链后，数据包到达 POSTROUTING 链。

4. iptables工作流程

1、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。

2、如果匹配上了规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。

3、如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。

4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的（最后执行的规则）。

NAT表的PREROUTING链：数据包在到达主机之前，NAT表的PREROUTING链会对数据包的目标地址
进行IP或端口的改写、映射到不同的IP或端口上。
FILTER表的INPUT链：数据包进入主机后，FILTER表的INPUT链会对其进行过滤，确保只有合法的
数据包能够到达主机。
NAT表的OUTPUT链：如果数据包需要从主机发出，NAT表的OUTPUT链会对其进行目标地址转换。
FILTER表的OUTPUT链：数据包从主机发出时，FILTER表的OUTPUT链会对其进行过滤，确保只有合法
的数据包能够离开主机。
FILTER表的FORWARD链：如果主机充当路由器或网关，FILTER表的FORWARD链会处理经过主机的数据包。
NAT表的POSTROUTING链：数据包在离开主机之前，NAT表的POSTROUTING链会对其进行源地址转换。

四、 iptables操作

1、安装

centos(5/6)
启动防火墙：#/etc/init.d/iptables start
centos7
启动防火墙     -----192.168.246.200服务器实验。
# yum install -y iptables iptables-services
# systemctl stop firewalld
# systemctl  disable firewalld
# systemctl start iptables
查看版本:
[root@iptables-server ~]# iptables -V 
iptables v1.4.21
配置文件:
 /etc/sysconfig/iptables-config 
 /etc/sysconfig/iptables   #记录规则文件

2、iptables参数解释

-L:列出一个链或所有链中的规则信息
-n：以数字形式显示地址、端口等信息
--line-numbers：查看规则时，显示规则的序号（方便之处，通过需要删除规则-D INPUT 1
-F：清空所有的规则（-X是清理自定义的链，用的少）
-D：删除链内指定序号（或内容）的一条规则
-P：为指定的链设置默认规则
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
-t: 指定表名
.... 更多参数可通过--help查看

3、参数使用

1.如果不写-t 默认使用filter表
[root@iptables-server ~]# iptables -L -n
2.指定表名查看规则
[root@iptables-server ~]# iptables -t nat -L
默认查看规则:
# iptables  -L
以数字的形式显示ip和端口与协议
# iptables -nL 
显示规则行号
# iptables -nL --line
清空规则：
#iptables  -F 
清空单独的某一个链里面的规则(不指定-t表名则默认filter表)
#iptables  -F  链名
保存规则：
# service iptables save
# iptables-svae > /etc/sysconfig/iptables

4、iptables语法

语法：
#iptables [-t 表名] [动作 链名] [-p 匹配条件] [-j 控制类型]
参数解释：
动作：添规则还是删除规则
修改默认规则： -P （大p）
删除规则：-D
修改规则：-R
追加规则: -A  默认追加到链的末尾
插入规则：-I （大i），在链的开头（或指定序号）插入一条规则
================================================
-p：匹配条件：数据包特征ip，端口、协议等（tcp,udp,icmp,all）
==================================================
-j：控制类型， 通过前面匹配到之后是丢弃还是保留数据包的处理方式: 
ACCEPT允许，
REJECT拒绝，
DROP丢弃。 不会给用户返回任何的拒绝消息，不推荐使用。

5、查看添加删除规则

观察iptable规则添加的方法，删除和查询的方法。本案例并不是为了体验策略效果。

iptables -t filter -A INPUT -p tcp -j ACCEPT    #最后一行
iptables -I INPUT -p udp -j ACCEPT   #第一行
iptables -I INPUT 4 -p icmp -j ACCEPT   #（插入到第4行）#第4行
iptables -L  #看一看
iptables -D INPUT 3  #  删除第三行
iptables -F  #全清空
service iptables save #保存
systemctl restart iptables  #重启
​
注意:如果不保存重启之后规则就不在了。
 保存和删除规则
删除:
# iptables -D INPUT 3  #通过查看行号，指定行号删除
# iptables -D INPUT -p icmp -j REJECT   #方式二：重写规则删除
=======================================================================================
保存:
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables  #保存到文件里面，方式一
[root@iptables-server ~]# service iptables save   #第二种方式，推荐
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
最后写完规则后记得保存！
 修改规则 -R
将第二条规则修改为运行访问192.168.246.201的80端口
# iptables -R INPUT 2 -p tcp --dport 80 -s 192.168.246.201 -j ACCEPT
# curl -I http://192.168.246.200   # 在修改为允许访问的源ip机器上验证
HTTP/1.1 200 OK
# iptables -R INPUT 1 -s 192.168.246.201 -j DROP # 将第一条规则修改为丢弃192.168.246.201；
# iptables -R INPUT 2 -p icmp -j ACCEPT       # 将第二条prot的udp改为icmp并且开放

6、规则匹配条件

1、通用匹配（协议）

可以独立使用

协议：-p （小p）
tcp ---用的最多
icmp    ---ping的时候用的协议
#使用协议的时候可以不指定端口，使用端口的时候必须指定协议。
案例：
禁止自己被ping，在filter表的INPUT链插入一个丢弃icmp的规则。
 # iptables -F
 # iptables -A INPUT -p icmp -j REJECT    ----拒绝
  验证:
 [root@iptables-test ~]# ping 192.168.246.200
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
From 192.168.246.200 icmp_seq=1 Destination Port Unreachable
2、通过端口规则匹配
ip:
    -s: 源ip地址
    -d: 目标ip
端口：
    --sport    ---源端口
    --dport    --目标端口
案例1:拒绝192.168.246.201这台机器通过ssh连接到这台服务器
 # iptables -I INPUT -s 192.168.246.201 -p tcp --dport 22 -j REJECT
​
案例2:(端口的范围:)拒绝22端口到80端口的访问，包括22和80端口在内
# iptables -I INPUT -s 192.168.246.201 -p tcp --dport 22:80 -j REJECT
    22:80     表示22到80之间的所有端口
    :80       表示80及以下的所有端口
    22:       表示22及以上的所有端口
========================================================
验证:在246.201服务器
# curl -I http://192.168.246.200
curl: (7) Failed connect to 192.168.246.200:80; Connection refused
# ssh root@192.168.246.200
ssh: connect to host 192.168.246.200 port 22: Connection refused
3、通过ip地址
1.#禁止源246.201主机进来。（换个主机ping一下，就可以通信）
~]# iptables -I INPUT -s 192.168.246.201  -p icmp -j REJECT
-s: 源ip地址
~]# ping 192.168.246.200
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
From 192.168.246.200 icmp_seq=1 Destination Port Unreachable
===========================================================================
2.拒绝多个ip地址:后面跟ip地址可以更多个ip地址用逗号隔开,并指定端口范围
# iptables -t filter -I INPUT -s 192.168.246.201,192.168.246.133  -p icmp -j REJECT
# iptables -t filter -I INPUT -s 192.168.246.201,192.168.246.133  -p tcp --dport 22:80 -j REJECT
​
验证:在源ip地址通过curl访问。在246.133和246.201机器分别验证
# curl -I http://192.168.246.200
curl: (7) Failed connect to 192.168.246.200:80; Connection refused
# ssh root@192.168.246.200
ssh: connect to host 192.168.246.200 port 22: Connection refused
============================================================
3.举例：:#限制源10网段的数据包。
# iptables -I INPUT -s 192.168.10.0/24 -j REJECT
4、icmp类型匹配
禁止ping策略原则
iptables服务器是ping命令发起者或是接受者
-i --in-interface：INPUT链配置规则中，指定从哪一个网卡接口进入的流量（配置在INPUT链上）
-o --out-interface：OUTPUT链配置规则中，指定从哪一个网卡接口出去的流量（配置在OUTPUT链上）
icmp的类型:    --icmp-type
    0: Echo Reply——回显应答（Ping应答）ping的结果返回。
    8: Echo Request——回显请求（Ping请求），发出去的请求。
iptables服务器-----发起者：ping 别的机器
1.自己不能ping别人，但是别人可以ping自己:
~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j REJECT  #ping发出的请求禁止掉了
验证:
~]# ping 192.168.246.133  #将ping请求给禁止掉了。
PING 192.168.246.133 (192.168.246.133) 56(84) bytes of data.
ping: sendmsg: Operation not permitted
~]# ping 192.168.246.200   #可以ping通
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
64 bytes from 192.168.246.200: icmp_seq=1 ttl=64 time=0.280 ms
或者
[root@iptables-server ~]# iptables -I INPUT -i ens33 -p icmp --icmp-type 0 -j REJECT 
#禁止显示ping的回显
测试
[root@iptables-server ~]# ping www.baidu.com
PING www.baidu.com (39.156.66.18) 56(84) bytes of data.
===========================================================================================
本机可以ping其他机器。其他机器不能ping通本机:
[root@192.168.246.200 ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP  
# DROP将进来的ping请求给丢弃了，REJECT会返回失败信息
验证:
[root@192.168.246.200 ~]# ping 192.168.246.201   #ping其他机器通
PING 192.168.246.201 (192.168.246.201) 56(84) bytes of data.
64 bytes from 192.168.246.201: icmp_seq=1 ttl=64 time=0.491 ms
[root@192.168.246.201  ~]# ping 192.168.246.200    #其他机器ping不通
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
或者:
#将ping的禁止ICMP回显应答
[root@192.168.246.200 ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 0 -j REJECT 
测试：
[root@ra-2iptables-test ~]# ping 192.168.246.201 #可以看到
PING 192.168.246.201 (192.168.246.201) 56(84) bytes of data.
=========================================================================================
拒绝任何ping的协议:
[root@iptables-server ~]# iptables -A INPUT -p icmp -j DROP

7、扩展匹配

1. 显示匹配

如端口匹配，IP范围，MAC地址等特殊匹配

1.指定ip范围:
语法： -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.246.199-192.168.246.206 -j REJECT
​
2.指定多个端口：一次拒绝多个指定端口
语法：
-m multiport --sports   #源端口
-m multiport --dports   #目的端口
# iptables -A INPUT -p tcp -m  multiport --dports 22,80 -s 192.168.246.133 -j REJECT
# 拒绝22和80端口
验证:在246.133机器上
# ssh root@192.168.246.200  #不通
ssh: connect to host 192.168.246.200 port 22: Connection refused
​
3.MAC地址匹配
拒绝MAC地址的匹配：只能匹配源MAC地址
语法: -m mac --mac-source
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT  #将指定的MAC地址服务请求全部禁止了
2. 通过网卡接口
# iptables -I INPUT -i ens33 -j DROP  #谁也连不上了.
实战案例

1.在实际工作中我们的redis、mysql等服务一般都是放在内网的，但是为了保证其绝对安全性，我们会将防火墙打开，这时就需要我们配置一些规则来允许指定主机的访问，拒绝其他ip的访问，从而来实现保证服务的安全性。

redis服务器中操作:
首先需要先定义拒绝访问:
# iptables -I INPUT -p tcp --dport 6379 -j REJECT
在定义允许访问:
# iptables -I INPUT -s 192.168.116.163 -p tcp -d 192.168.116.162 --dport 6379 -j ACCEPT
​
测试

五、iptablesNAT模式-网络地址转换

案例图：

1.SNAT:把内网地址转换成公网地址（源地址转换）

一个数据包在经过路由之后（或者说在通过防火墙的过滤之后）才被知道他的源IP是谁，在路由之前只能看到目标IP，如果我看不到你的源IP，那怎么匹配想过滤的数据包并进行源地址转换？防火墙不能确定你是否是符合匹配条件的IP，所以只能使用POSTROUTING

2.DNAT:要把公网ip换到内网IP -----公网ip只有一个， 内网ip有多个。(目标地址转换)

如果不在路由之前就把数据表的目标地址转换完成，当数据包到达入口IP之后，目的已经达到，因为包目标IP就是防火墙的对外公网IP，数据包就不会往里面走了，所以需要使用PREROUTING

实战通过nat进行端口转发

目标地址的端口转换
iptables -t nat -A PREROUTING -p tcp -d 192.168.116.162 --dport 99 -j DNAT --to-destination 192.168.116.162:22
源地址转换
iptables -t nat -A POSTROUTING -s 192.168.1.2 -j SNAT --to-source 203.0.113.2

六、Firewalld

rhel 7默认包过滤防火墙，包含：

  • 命令行工具 (firewall-cmd)与守护进程通信并控制防火墙
  • 守护进程 (firewalld): 负责管理防火墙规则。

firewalld 是一个动态防火墙管理工具，它提供了比传统 iptables 更加灵活和易于管理的方式。firewalld 使用 iptables 和 ip6tables 作为后端，支持网络地址转换和连接跟踪。拥有两种配置模式：运行时配置与永久配置。

运行时配置

  • 实时生效，并持续至Firewalld重新启动或重新加载配置
  • 不中断现有连接
  • 不能修改服务配置

永久配置

  • 不立即生效,除非Firewalld重新启动或重新加载配置
  • 中断现有连接
  • 可以修改服务配置

Firewalld 的特点

  • 动态更新: firewalld 支持在运行时动态添加、删除或更改防火墙规则，而无需重启服务。
  • 丰富的服务定义: firewalld 包含了许多预定义的服务配置文件，这使得配置常见的服务变得更加简单。
  • 区域概念: firewalld 使用“区域”来定义一组规则，不同的区域对应不同的信任级别。例如，“public”区域对所有流量更加谨慎，而“trusted”区域则更加开放。
  • 接口绑定: firewalld 可以基于网络接口来应用防火墙规则。
  • IPv4 和 IPv6 支持: firewalld 同时支持 IPv4 和 IPv6。
  • 持久化配置: 即使系统重启，配置也会被保留下来。

1、区域

区域是一组预定义的安全策略，用于定义不同类型的网络环境。firewalld将网卡对应到不同的区域（zone），通过不同的zone定义了不同的安全等级。

（1）trusted（信任区域）允许所有流量通过。
（2）public（公共区域）默认区域，允许ssh,dhcpv6-client数据通过
（3）home/internal（家庭/外部区域）
仅允许ssh、ipp-client、mdns、samba-client或dhcpv6-client匹配的流量传入。
（4）external（外部区域）
仅允许ssh或dhcpv6-client数据通过，通过该区域的IPv4传出流量将会地址伪装（SNAT/DNAT）
（5）work（工作区域）
仅允许与ssh、ipp-client、dhcpv6-client预定义服务匹配的数据通过，
（6）block（限制区域）拒绝所有流量传入
（7）drop（丢弃区域）拒绝所有流量传入，并且不产生包含 ICMP的错误响应
（8）dmz（隔离区域也称为非军事区域）允许与 ssh 预定义服务匹配的传入流量，

2、命令详解

firewall-cmd [选项]
选项：
永久保存：
--permanent   设置成永久生效，需要重启服务或重新加载 后才生效
1、域zone相关的命令
--get-default-zone  查询默认的区域名称
--set-default-zone=<区域名称>   设置默认的区域
--get-active-zones  显示当前正在使用的区域与网卡名称
--get-zones         显示总共可用的区域
2、services管理的命令
--add-service=<服务名> [--zone=<区域>]       设置指定区域允许该服务的流量
--remove-service=<服务名> [--zone=<区域>]    设置指定区域不再允许该服务的流量
--list-services   显示指定区域内允许访问的所有服务
3、Port相关命令
--add-port=<端口号/协议> [--zone=<区域>]      设置指定区域允许该端口的流量
--remove-port=<端口号/协议> [--zone=<区域>]   设置指定区域不再允许该端口的流量
4、查看所有规则的命令
--list-all --zone=<区域>  显示指定区域的网卡配置参数、资源、端口以及服务等信息
--reload    让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
如：
firewall-cmd --add-service=http --add-service=https --permanent
firewall-cmd --reload	
firewall-cmd --list-all

3、firewalld配置使用

firewalld将配置储存在 /etc/firewalld/ (优先加载) 和 /usr/lib/firewalld/ (默认的配置文件) 中的各种XML文件里。

1. 查看默认区域

[root@iptables-server ~]# firewall-cmd --get-default-zone
public
验证:
在192.168.246.201机器上访问192.168.246.200
[root@iptables-test ~]# curl -I http://192.168.246.200   #不通
curl: (7) Failed connect to 192.168.246.200:80; No route to host
[root@iptables-test ~]# ssh root@192.168.246.200  #ssh 可以
root@192.168.246.200's password:

2. 更改默认区域

[root@iptables-server ~]# firewall-cmd --set-default-zone=trusted
success
[root@iptables-server ~]# firewall-cmd --reload
success
[root@iptables-server ~]# firewall-cmd --get-default-zone
trusted
验证:
在192.168.246.201机器上访问192.168.246.200
[root@iptables-test ~]# curl -I http://192.168.246.200  #访问成功
HTTP/1.1 200 OK
================================================
修改回默认区域:
[root@iptables-server ~]#  firewall-cmd --set-default-zone=public
success
[root@iptables-server ~]# firewall-cmd --reload
success

3.向public区域添加服务

[root@iptables-server ~]# firewall-cmd --permanent --add-service=http --zone=public
success
[root@iptables-server ~]# firewall-cmd --reload   #重新加载配置文件
success
验证:
在192.168.246.201机器上访问192.168.246.200
[root@iptables-test ~]# curl -I http://192.168.246.200
HTTP/1.1 200 OK

4.指定IP地址为192.168.246.201/24的客户端进入drop区域

firewall-cmd --permanent --add-source=192.168.246.201/24 --zone=drop
firewall-cmd --reload

验证:在192.168.246.201的机器上访问246.200
curl -I http://192.168.246.200  #访问不通

5.将192.168.246.201/24移除drop区域

firewall-cmd --permanent --remove-source=192.168.246.201/24 --zone=drop
firewall-cmd --reload

验证:在192.168.246.201的机器上面访问246.200
curl -I http://192.168.246.200  #访问成功
HTTP/1.1 200 OK

6.向pubic区域添加服务，以添加端口的方式

firewall-cmd --permanent --add-port=80/tcp --zone=public
firewall-cmd --reload

验证:
用192.168.246.201访问192.168.246.200机器
[root@iptables-test ~]# curl -I http://192.168.246.200
HTTP/1.1 200 OK

7.删除指定服务、端口

删除公共区域的http服务
firewall-cmd --permanent --remove-service=http --zone=public 
firewall-cmd --reload
验证:用192.168.246.201访问192.168.246.200机器
[root@iptables-test ~]# curl -I http://192.168.246.200   #访问通
HTTP/1.1 200 OK
删除80端口的tcp规则
firewall-cmd --permanent --remove-port=80/tcp --zone=public 
firewall-cmd --reload
success
验证:
在192.168.246.201访问192.168.246.200机器
[root@iptables-test ~]# curl -I http://192.168.246.200  #访问失败
curl: (7) Failed connect to 192.168.246.200:80; No route to host
無熵
关注
专栏目录
Iptables与Firewalld防火墙（最详细说明）
xuetengbo111的博客
11-22 691
章节简述： 红帽RHEL7系统已经用firewalld服务替代了iptables服务，新的防火墙管理命令firewall-cmd与图形化工具firewall-config。 本章节基于数十个防火墙需求，使用规则策略完整演示对数据包的过滤、SNAT/SDAT技术、端口转发以及负载均衡等实验。 不光光学习iptables命令与firewalld服务，还新增了Tcp_wrappers防火墙服务小节，简单配置即可保证系统与服务的安全。 一、了解防火墙管理工具 防火墙虽有软件或硬件之分但主要功能还是依据策略对外部请求
第七章 Iptables与Firewalld防火墙
龙狼刺的博客
05-08 839
TCP Wrappers是RHEL 6/7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作，当前8版本中已经被Firewalld正是替代。换句话说，Linux系统中其实有两个层面的防火墙，第一种是基于TCP/IP协议的流量过滤工具，而TCP Wrappers服务则是能允许或禁止Linux系统提供服务的防火墙，从而在更高层面保护了Linux系统的安全运行。
Linux防火墙iptalbes
最新发布
zhuge_long的专栏
05-13 874
安全框架：netfilter,因为netfilter处于Linux的内核中，要和它进行交互，需要一个工具，这个工具就是iptables。1）准备两台linux，A作为我的防火墙，用来做转发,B是httpd，作为内网服务器，一台作为我的防火墙，用来做转发。定义：目的地址转换，企业在内网部署了一个项目，外网访问内网的时候，不想暴漏内网的地址，则需要目的地址转发。2）A安装iptables，作为防火墙，增加一个网卡ens37，用于实现内网转发B，网络模式设置为主机模式。
linux防火墙
weixin_39735909的博客
01-28 1025
linux7~防火墙
Linux防火墙
weixin_48195231的博客
05-17 149
Linux防火墙介绍
常用Linux命令
笨小孩的小跟班
07-07 1204
防火墙： 查看防火墙列表：firewall-cmd --zone=public --list-ports 开放防火墙端口：firewall-cmd --zone=public --add-port=5432/tcp --permanent 重启防火墙：firewall-cmd --reload 查看防火墙开启状态：systemctl status firewalld 启动防火墙：systemctl start firewalld 关闭防火墙：systemctl disable firewalld ..
Linux服务器查看防火墙
m0_59933286的博客
12-14 1689
【代码】Linux服务器查看防火墙。
服务器安全设置Centos7 防火墙firewall与iptables
网站安全资讯
08-01 933
一.>>>>>>启用centos7 iptables防火墙Centos7 防火墙firewall设置方法 我们Sinesafe在处理客户服务器Linux Centos7 64位系统里配置防火墙安全设置需要选择2种方案其中之一,最后选择了iptables防火墙。 因为在Centos 7版本里默认的防火墙是firewall,所以首先用firewall防...
防火墙软件 iptables
GaLiCHaoFan1的博客
08-21 494
它实际上由两个组件 netfilter 和 iptables组成。主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理。2. netfilter与iptables之间的关系属于“内核态”又称内核空间（kernel space）的防火墙功能体系。linux 好多东西都是内核态 用户态，那我们运维人员关注的是用户态， 内核我们关注不是很多，内核基本是我们开发人员关心的事情是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
CentOS7 安装iptables防火墙和配置
IceStreamLab
04-10 1489
文章目录一）、关闭，禁用系统默认的firewall防火墙二）、安装iptables防火墙1）、先检查是否安装了iptables2）、安装iptables3）、升级iptables4）、安装iptables-services5）、编辑防火墙文件6）、重启防火墙使配置文件生效7）、设置iptables防火墙为开机自启 centos7默认是使用firewalld作为防火墙 查看iptables防火墙现有...
linux防火墙相关命令与使用
tian830937的专栏
09-03 1084
本文主要讲解firewalld。Firewall-cmd 是 Linux 系统中的命令行工具，用于管理防火墙规则。通过该工具可以配置、查看和修改防火墙设置，包括开放或关闭特定端口、添加/删除访问控制列表等操作。
linux中iptables配置文件及命令详解详解
08-01 526
linux中iptables配置文件及命令详解详解 2018年05月04日 14:23:41hxpjava1阅读数 956 linux中iptables配置文件及命令详解详解 iptables配置文件 直接改iptables配置就可以了：vim /etc/sysconfig/ip...
iptables命令详解和举例（完整版）
09-07 4万+
1、防火墙概述 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其...
linux查看防火墙状态
csdn122325735的专栏
10-31 1万+
3、开启、重启、关闭、firewalld.service服务。：是Linux提供的操作firewall的一个工具；#重启防火墙(修改配置后要重启防火墙)1、查看firewall服务状态。2、查看firewall的状态。切高亮显示则表示是启动状态。灰色表示停止，看单词也行。5、查询、开放、关闭端口。保存退出后重启防火墙。# 查询端口是否开放。
Debian Iptables 配置教程
real.me
05-28 1万+
服务器通常会安装防火墙,Iptables为比较常用的免费防火墙,Iptables能够提供数据包过滤,网络地址转换(NAT)等功能.在Debian上手工配置Iptables的资料比较少,本文做一个详细的介绍.第一步,首先确定你的系统已经安装Iptables.打开SSH终端,输入 whereis iptables 如果能看到如下类似信息,说明你已经安装了iptables iptables: /sbin/
linux防火墙iptables常用命令与基础知识
pingweicheng的博客
05-28 3万+
1.iptables常用命令1.1查看是否已经安装了iptables以及iptables版本号iptables -V (注意：V是大写字母V）1.2 关闭iptablesservice iptables stop1.3 启动iptablesservice iptables start1.4重启iptablesservice iptables restart1.5保存命令行中设置的ipt...
iptables详解
wdt3385的专栏
12-25 5004
看完下面这个iptables的讲解一下子豁然开朗，写的很详细 一：前言 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的
linux服务器查看防火墙状态
热门推荐
qqllife的博客
07-29 7万+
在linux上部署项目的时候，发现tomcat启动了，但是项目还是访问不了，最后发现是防火墙的问题，在此记录一下。 首先，查看防火墙的状态，service iptables status可以查看到iptables服务的当前状态，通过下图绿色部分可以看出当前防火墙的状态是开启的，我们也可以通过iptables -L 命令来查看防火墙的规则。 接下来就是启动和关闭防火墙： 1) 重启后生效
多举例几个iptalbes规则
06-09
3. 允许HTTP和HTTPS流量通过防火墙： ``` iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT ``` 4. 允许本地回环流量： ``` iptables -A INPUT -i lo -j ACCEPT `...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值