安全技术和防火墙

最新推荐文章于 2024-08-15 16:19:01 发布
最新推荐文章于 2024-08-15 16:19:01 发布
阅读量759 收藏 18
点赞数 10
文章标签： 安全 网络 服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mfq0622/article/details/139993868
版权

安全技术和防火墙

文章目录

安全技术

入侵检测系统：特点是不阻断网络访问，主要是提供报警和事后监督，不主动介入，默默的看着你（监控）

入侵防御机制：透明模式工作，数据包，网络监控，服务攻击，木马，蠕虫，系统漏洞等等进行准确的分析和判断。

在判定攻击行为后立即阻断。主动的防御（所有数据在进入本机之前，必须通过的设备或者软件）

防火墙：隔离，工作在网络或者主机的边缘（处于内网和外网之间）

对网络或者主机的数据包基于一定的规则进行检查。匹配到的规则

放行 拒绝（数据包将会被丢弃）

只开放允许访问的策略。（白名单机制，拒绝所有，允许个别）

防水墙：是一种防止内部信息泄露的产品，对外有防火墙的功能，对内是透明工作模式，类似监控

事前，事中，事后都知道。

防火墙

iptables ：这是linux自带的防火墙，一般用于内部配置，对外一般不使用（对外都是用专业的，）

firwalld：linux自带的防火墙，centos7以后默认的防火墙

包过滤防火墙（是对数据包进行控制）

网络层对数据包进行选择，选择的依据是防火墙设置的策略

策略：IP地址，端口，协议。

优点，处理速度快，易于维护

缺点，无法检查应用层数据，病毒无法进行处理

应用层防火墙：在应用层对数据进行检查，比较安全

优点：更安全，问题可以精确定位

缺点：所有数据都会检查，增加防火墙的负载

iptables 工作在网络层，对数据包实施过滤和限制，包过滤防火墙

通信的五大要素和四大要素

五大要素：源ip目标ip 源端口 目的端口 协议

四要素：源ip 目的 ip 源端口 目的端口

内核态和用户态：

内核态：设计到软件的底层代码或者是系统的基层逻辑，以及一些硬件的编码。

开发人员更关注内核态

数据如果是内核态处理，速度相对比较快。

iptables的过滤规则就是有内核进行控制的。

用户态：

应用层软件层面，人为控制的一系列操作，使用功能，

数据只通过用户态处理，速度是比较慢的

iptables的配置和策略*

四表五链*

四表

raw表：用于控制数据包的状态，跟踪数据包的状态

mangle表：修改数据包的头部信息

NAT表：网络地址转换，可以改变数据包的源地址和目的地址

filter表：也是iptables的默认表，不做声明，默认就是filter表，过滤数据包的进出，以及接收和拒绝数据包

在这里插入图片描述

五链

PREHOUTING链：处理数据包进入本机之前的规则（NAT表）

INPUT链：处理数据包进入本机的规则（fillter表，是否允许数据包进入）

OUTPUT 链：处理本机发出的数据包规则，或者是数据包离开的本机规则（fillter表，一般不做设置）

FORWARD链：处理数据包转发到其他主机的规则，或者是允许本机进行数据转发

postrouting链：处理数据包离开本机的规则（NAT表）

表里有链，链里有表

第二种情况，请求和响应的过程 http或https

在这里插入图片描述

管理选项：在表的链中插入，增加，删除，查看规则。

匹配条件：数据包的IP地址，端口，协议

控制类型，允许，拒绝，丢弃。

注意事项：

1、不指定表名，默认就是fillter表

2、不指定链名，默认就是所有链 （禁止行为。）

3、除非设置了链的默认策略，否则必须执行匹配条件（一般都是指定的匹配条件）

4、选项，链名和控制类型都是大写，其余都是小写

控制类型

（所有控制类前面都是-j）

ACCEPT：允许数据包通过

DROP：直接丢弃数据包，没有任何回应信息

REJECT：拒绝数据包通过，数据包也会被丢弃，但是会有一个响应的信息。

SNAT：修改数据包的源地址

DNAT：修改数据包的目的地址。

管理选项：

-A 在链中添加一条规则，在链尾添加。

-l 指定位置插入一条规则。

-P 指定了默认规则一般都是设置成拒绝（默认是允许。）

-D 删除规则

-R 修改规则（慎用）

-vnL：v是显示详细信息，n数字形式展示内容，L查看

–line numbers：显示规则的编号，和查看一起使用

-F ：清空链中的所有规则（慎用）

-X：清除自定义链中的规则

匹配条件

-P：指定协议类型

-s：指定匹配的目的IP地址

-d：指定匹配的目的ip地址

-i：指定数据包进入本机的网络设备

-o：指定数据包离开本机的网络设备

–sport：指定源端口

–dport：制定目的的端口

实验步骤

关闭防火墙

yum -y install iptables iptables-services安装软件

enble开机自启

iptables命令格式

iptables[-t表明]管理选项 链名 （大写）匹配条件[-j 控制类型]

所有控制类前面都是-j

iptables -L 查看规则

iptables -vnL --line-number
 vnL详细展示       以数字形式

添加规则

iptables -F 清空

iptables -L

格式

iptables -A INPUT -P icmp -j REJECT 拒绝所有主机ping本机

iptables -A INPUT -p icmp -j ACCEPT 还是不通

匹配规则：

每个链中的规则都是从上到下的顺序匹配，匹配到之后不再向下匹配

如果链中没有规则，则执行链的默认策略进行执行

iptables -vnL --line-number

iptables -I INPUT 1 -p icmp -j ACCEPT

指定IP地址

iptables -A INPUT -s 目标地址 -p icmp -j REJECT

iptables -A INPUT -s 20.0.0.20 -p icmp -j REJECT 
[root@test1 opt]# iptables -vnL --line-number
Chain INPUT (policy ACCEPT 68 packets, 5366 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        4   336 REJECT     icmp --  *      *       20.0.0.20            0.0.0.0/0            reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 35 packets, 2788 bytes)
num   pkts bytes target     prot opt in     out     source               destination  
[root@test2 opt]# ping 20.0.0.10
PING 20.0.0.10 (20.0.0.10) 56(84) bytes of data.
From 20.0.0.10 icmp_seq=1 Destination Port Unreachable
From 20.0.0.10 icmp_seq=2 Destination Port Unreachable
From 20.0.0.10 icmp_seq=3 Destination Port Unreachable
From 20.0.0.10 icmp_seq=4 Destination Port Unreachable

指定多个ip

iptables -A INPUT -s 目标地址，目标地址 -p icmp -j DROP

（中间需要用“，”隔开）

iptables -A INPUT -s 20.0.0.20,20.0.0.30 -p icmp -j REJECT 
[root@test1 opt]# iptables -vnL --line-number
Chain INPUT (policy ACCEPT 62 packets, 3856 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     icmp --  *      *       20.0.0.20            0.0.0.0/0            reject-with icmp-port-unreachable
2        0     0 REJECT     icmp --  *      *       20.0.0.30            0.0.0.0/0            reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 29 packets, 2216 bytes)
num   pkts bytes target     prot opt in     out     source               destination  
主机二
[root@test2 opt]# ping 20.0.0.10
PING 20.0.0.10 (20.0.0.10) 56(84) bytes of data.
From 20.0.0.10 icmp_seq=1 Destination Port Unreachable
From 20.0.0.10 icmp_seq=2 Destination Port Unreachable
From 20.0.0.10 icmp_seq=3 Destination Port Unreachable
主机三
 ping 20.0.0.10
PING 20.0.0.10 (20.0.0.10) 56(84) bytes of data.
From 20.0.0.10 icmp_seq=1 Destination Port Unreachable
From 20.0.0.10 icmp_seq=2 Destination Port Unreachable
From 20.0.0.10 icmp_seq=3 Destination Port Unreachable

指定端口

iptables -A INPUT -p tcp --dport 22 -j REJECT 断开22端口所有连接：xshell会直接断开然后进去虚拟机重启一下这个服务

iptables -A INPUT -s目的IP地址 -p tcp --dport 22 -j REJECT限制用户登录

ssh root@20.0.0.20
The authenticity of host '20.0.0.20 (20.0.0.20)' can't be established.
ECDSA key fingerprint is SHA256:+XQL+rFHCzoLCvoOqlfd5P9iMHBTXdUgtdg2qjiAgfk.
ECDSA key fingerprint is MD5:30:61:c4:d3:f7:a1:c4:b8:19:49:20:4f:9b:0a:5b:b1.
Are you sure you want to continue connecting (yes/no)? yes    
Warning: Permanently added '20.0.0.20' (ECDSA) to the list of known hosts.
root@20.0.0.20's password: 
Last login: Wed Jun 26 08:51:11 2024 from 20.0.0.1
[root@test2 ~]# exit
登出
Connection to 20.0.0.20 closed.
[root@test3 opt]# ssh root@20.0.0.20
ssh: connect to host 20.0.0.20 port 22: Connection refused

拒绝访问nginx

systemctl restart nginx.service 
[root@test2 opt]# iptables -F
[root@test2 opt]# iptables -A INPUT -s 20.0.0.30 -p tcp --dport 80 -j REJECT
另一台主机
curl 20.0.0.20
curl: (7) Failed connect to 20.0.0.20:80; 拒绝连接

删除规则

# iptables -A INPUT -s 20.0.0.20 -p tcp --dport 80 -j ACCEPT 
[root@test1 opt]# iptables -A INPUT -s 20.0.0.20 -p tcp --dport 80 -j DROP 
iptables -vnL --line-number
Chain INPUT (policy ACCEPT 80 packets, 5488 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       20.0.0.20            0.0.0.0/0            tcp dpt:80
2        0     0 DROP       tcp  --  *      *       20.0.0.20            0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 47 packets, 3844 bytes)
num   pkts bytes target     prot opt in     out     source  
删除规则
iptables -D INPUT 2
[root@test1 opt]# iptables -vnL --line-number
Chain INPUT (policy ACCEPT 88 packets, 5430 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       20.0.0.20            0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 50 packets, 3808 bytes)
num   pkts bytes target     prot opt in     out     source               destination

修改策略

在这里插入图片描述

 iptables -vnL --line-numbers  查看当前的规则
Chain INPUT (policy ACCEPT 6 packets, 364 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        6   393 ACCEPT     tcp  --  *      *       20.0.0.30            0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 9 packets, 5741 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@test2 opt]# iptables -R INPUT 1 -s 20.0.0.30 -p tcp --dport 80 -j REJECT   这是替换
查看另一台虚拟机
curl 20.0.0.20
curl: (7) Failed connect to 20.0.0.20:80; 拒绝连接

修改链

修改链的默认策略基本 上不会用

在这里插入图片描述
在这里插入图片描述

拒绝整个网段

在这里插入图片描述

curl 20.0.0.20
curl: (7) Failed connect to 20.0.0.20:80; 拒绝连接

禁止多个端口

一次静止多个端口进行操作

-m 扩展模块，一次性禁止多端口 ip范围 指定mac地址

iptables -F

iptables -A IN -p

mariadb

在这里插入图片描述

在这里插入图片描述

需要用逗号隔开

在这里插入图片描述

IP地址范围 这中间的范围不能连接到该主机

在这里插入图片描述

在这里插入图片描述

匹配mac地址

在这里插入图片描述

孟里啥都有.
关注
  • 10
    点赞
  • 踩
  • 18
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iptables教程-安全技术和防火墙介绍.docx
11-29
iptables教程-安全技术和防火墙介绍.docx
Web安全技术与防火墙
03-03
而计算机安全主要研究的是计算机病毒的防治和系统的安全。在计算机网络日益扩展和普及的今天，计算机安全的要求更高，涉及面更广。不但要求防治病毒，还要提高系统抵抗外来非法黑客入侵的能力，还要提高对远程数据...
网络安全与新型防火墙技术.pdf
10-03
朱革媚，周传华，赵保华.网络安全与新型防火墙技术[J].计算机工程与设计.2001
信息安全技术：iptables防火墙.pptx
11-01
信息安全技术基础
【安全工具推荐-Search_Viewer资产测绘】
qq_55213436的博客
08-14 115
Search_Viewer，集Fofa、Hunter鹰图、Shodan、360 quake、Zoomeye 钟馗之眼、censys 为一体的空间测绘gui图形界面化工具，支持一键采集爬取和导出fofa、shodan等数据，方便快捷查看。包含语法帮助手册，忘记查询语法也能方便查看语法，渗透不二之选。
等保测评中的安全需求分析：构建精准的信息安全防护体系
w13359990065的博客
08-15 468
在实施数字化转型的过程中，企业应将安全需求分析视为持续优化安全防护体系的关键环节，通过跨部门合作、员工培训、技术应用等策略，不断调整和优化安全需求，为业务的持续健康发展提供坚实的安全保障。某金融机构通过等保测评的指导，实施了详细的安全需求分析，识别了其关键业务功能和信息资产，包括客户数据、交易系统等，基于风险评估的结果，制定了针对性的安全控制措施，如多因素认证、数据加密、网络隔离等，有效提升了信息安全防护水平。实施安全需求分析的过程中，企业可能面临一些挑战，如技术更新快、业务需求变化频繁、安全资源有限等。
便携式手提加固计算机：搭载飞腾4核/8核处理器的加固计算机
Future_2024的博客
08-13 531
便携式手提加固计算机：搭载飞腾4核/8核处理器的加固计算机
Scout Suite：开源云安全审计工具
网络研究观
08-12 279
Scout Suite 是一个开源、多云安全审计工具，旨在评估云环境的安全态势。
同态加密和SEAL库的介绍（十）CKKS 参数心得 2
WaitMrAnt的博客
08-12 712
本篇继续上篇针对 CKKS 方案的测试，首先证明了重新线性化虽然会减少密文长度，但是并不会对计算结果的精度有明显的影响；模数链的长度确实会限制乘法深度（具体来说是 Rescale 次数），这点上密文乘法和明文乘法相同；上篇中证明了增加 scale 会提高精度，本篇也证明了增长模数链也能增加精度，但是内存测试后，前者 scale 不会提高内存，后者会增加内存成本和时间成本。
Linux 主机一键安全整改策略
weixin_45840241的博客
08-15 420
echo "---------ssh登录前警告banner设置----------"echo "---------禁止root用户远程登录----------"echo "---------设置用户密码过期时间----------"echo "---------设置密码复杂度限制----------"echo "---------配置pacct工具----------"echo "---------禁用不必要的别名----------"安装配置记录用户对设备的操作的pacct工具；
超网和无类间路由是什么？
m0_73609283的博客
08-14 745
CIDR允许更灵活的IP地址分配，减少了地址空间的浪费。例如，一个企业可能需要一个完整的B类地址空间（65536个地址），但又超过了C类地址空间（256个地址）在这种情况下，CIDR可以明确分配一个合理的地址范围（如1024个地址），从而避免地址的浪费。无类间路由（CIDR）是一种新的IP地址分配方法，取代了传统的基于类的分配方法。通过合并连续的子网，超网可以减少路由入侵的数量，从而提高网络的效率。总之，超网和无类间路由技术提高了IP地址的利用效率，还简化了路由表管理，支持网络的灵活扩展。
Vulnhub靶机 lin security（渗透测试详解）
2301_78721909的博客
08-14 291
Vulnhub靶机 lin security（渗透测试详解）
网络安全（黑客）自学
白帽子凯哥聊黑客
08-12 267
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
常见编码形式特征汇总（1）
2301_81504456的博客
08-13 606
常见编码说明
水库大坝安全预警系统的作用
最新发布
m0_69813885的博客
08-15 119
汛情就是命令，防汛就是责任”，为了防治和减轻洪涝带来的危害，需要一种以预警为先导的临灾位移监测系统--水库大坝安全预警系统，对可能会出现的灾害进行实时远程监控，尽可能做到隐患早发现、早决策、早治理，减少损失。水库大坝安全预警系统可以通过实时的监测水平位移、垂直位移，可以帮助管理人员及时掌握大坝的运行状态和安全风险，以便管理人员根据监测情况。水库大坝安全预警系统是保障水利建设的重要方法之一，通过实时的监测和预警，管理人员可以及时发现所存在的安全隐患，制定相应的管理和维护策略。对大坝进行实时安全监测。
【投融界-注册安全分析报告】
08-15 504
投融界作为互联网投资的平台，拥有一定的技术资源， 采用的是通俗的滑动验证产品+ IP限制的策略， IP限制措施存在一定的误拦截，比如搞活动时，由于用户是同一个热点，就可能被误拦截，滑动验证码行为验证产品稳定并且市场占有率很高， 在一定程度上提高了用户体验， 但安全性在机器学习的今天， 已经无法应对攻击了，并且正是由于该产品通俗， 所以在网上破解的文章和教学视频也是大量存在，并且经过验证滑动产品很容易被破解， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。
SSH服务的高级安全配置：使用chroot环境
liuxin33445566的博客
08-12 497
chroot（change root）是一个UNIX系统调用，它允许改变进程的根目录。当SSH服务运行在chroot环境中时，它将无法访问服务器上的其他文件和目录，从而限制了潜在的损害。
CentOS迁移案例 | 保障轨道交通安全、发挥基础设施效能，麒麟信安操作系统支撑某市轨道交通畅行无忧
weixin_49546901的博客
08-15 128
麒麟信安操作系统在核心控制系统领域的应用，为轨道交通行业带来了安全、稳定、高性能的自主创新新基石，并成功实现了运维工作的统一集中管理，管理效率得到有效提升。新轨道线路的顺利开通和信号系统的全面升级，为其他城市在面临交通系统迁移挑战时提供了实践的蓝本和参考价值。针对此挑战，该线路将信号系统的底层操作系统升级迁移至麒麟信安操作系统。轨道交通信号系统是列车核心控制系统，负责列车运行的自动化控制，及对整个轨道交通网络的集中管理。作为城市交通脉络的神经中枢，交通信号系统直接关乎城市交通的安全、可靠和流畅度。
RSA算法解析
z3551906947的博客
08-13 544
数据加密：TLS通过加密技术保护数据传输过程中的隐私，防止数据在网络中被截获。身份验证：使用数字证书，TLS可以验证通信双方的身份，确保通信的双方是可信的。数据完整性：TLS通过消息摘要和签名机制确保数据在传输过程中没有被篡改。前向保密：即使密钥被泄露，过去的通信内容也不会被解密。兼容性：TLS广泛支持，几乎所有现代浏览器和服务器都支持TLS，确保了广泛的兼容性。TLS的作用端到端加密：TLS为客户端和服务器之间的通信提供了端到端的加密，确保数据传输的隐私性。数据完整性。
防火墙安全管理技术详解
防火墙（Firewall）是一种网络安全技术，旨在保护计算机网络免受外部攻击和非法访问。它使得内部网络与外部网络（包括Internet等）之间的通信量必须经过防火墙进行筛选，符合标准的分组将被正常转发，不能通过检查的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值