Linux网络服务管理&防火墙详解&端口问题

最新推荐文章于 2024-09-30 17:03:30 发布

没反应说说说

最新推荐文章于 2024-09-30 17:03:30 发布

阅读量1.7k

点赞数 3

分类专栏： Linux 服务器文章标签： linux 服务器网络

本文链接：https://blog.csdn.net/mfysss/article/details/128678670

版权

Linux 同时被 2 个专栏收录

9 篇文章 1 订阅

订阅专栏

服务器

8 篇文章 1 订阅

订阅专栏

每次配置访问服务器都会一团迷雾，今天来尝试弄清楚同时借鉴一下大佬的博文当做笔记

文章目录

防火墙简介
一、防火墙基础
二、iptables
三、firewalld
四、linux防火墙状态命令
- iptables防火墙
- firewall防火墙
五、查看服务状态操作

防火墙简介

详细讲下linux防火墙，防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义防火墙到底如何去工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。

一、防火墙基础

Linux防火墙主要工作在网络层，属于典型的包过滤防火墙。

redhat 6 使用的是iptables
redhat 7 使用的是firewalld
iptables服务会把配置好的防火墙策略交由**内核层面的 netfilter **网络过滤器来处理

firewalld服务则是把配置好的防火墙策略交由**内核层面的 nftables **包过滤框架来处理

iptables和firewalld都是Linux配置内核防火墙的工具

二、iptables

iptables 是一款基于命令行的防火墙策略管理工具，具有大量参数，学习难度较大。好在对于日常的防火墙策略配置来讲，大家对“四表五链”的理论概念了解即可，只需要掌握常用的参数并做到灵活搭配即可，这就足以应对日常工作了。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。
下表总结归纳了常用的iptables命令参数。再次强调，我们无需死记硬背这些参数，只需借助下面的实验来理解掌握即可。

Iptables采用了表和链的分层结构，每个规则表相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表，raw表，mangle表，nat表，filter表，每个表容器内包括不同的规则链，根据处理数据包的不同时机划分为五种链，而决定是否过滤或处理数据包的各种规则，按先后顺序存放在各规则链中。

规则表分为以下4种（了解）
filter表：用来对数据包进行过滤，表内包含三个链，即：INPUT,FORWARD,OUTPUT
Nat表：nat表主要用来修改数据包的ip地址、端口号等信息。包含三个链，即PREROUTING,POSTROUTING,OUTPUT
Mangle表：用来修改数据包的TOS、TTL,或者为数据包设置MARL标记，实现流量×××，策略路由等高级应用，包含五个链，PREROUTING,POSTROUTING,INPUT,OUTPUT,FORWARD
Raw表：用来决定是否对数据包进行状态跟踪，包含两个链：即OUTPUT,PREROUTING

规则链分为以下5种（了解）
INPUT链：当收到访问防火墙本机地址的数据包（入站），应用此链中的规则。
OUTPUT链：当防火墙本机向外发送数据包（出站）时，应用此链中的规则。
FORWARD链：当收到需要通过防火墙中转发送给其他地址的数据包（转发）时，应用此链中的规则。
PREROUTING链：在对数据包做路由选择之前，应用此链中的规则。
POSTROUTING链：在对数据包做路由选择之后，应用此链中的规则。

防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

防火墙策略

防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。
当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；
如果防火墙的默认策略为允许时（通），就要设置拒绝规则（堵），否则谁都能进来，防火墙也就失去了防范的作用

ACCEPT（允许流量通过）
REJECT（拒绝流量通过）
LOG（记录日志信息）
DROP（拒绝流量通过）

REJECT 和 DROP 的不同点
DROP来说，它是直接将流量丢弃而且不响应
REJECT 则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

iptables 命令格式：

iptables [-t 表] -命令匹配操作

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链追加新规则
-I	在规则链插入行规则
-R	替换规则链中的相应规则
-D	删除某一条规则
-Z	清空规则链中的数据包计数器和字节计数器
-p<协议>	匹配协议：如TCP、UDP、ICMP
-s<源地址>	指定要匹配的数据包的源IP地址
-dport	匹配目标端口号
-sport	匹配来源端口号
-j	指定要跳转的目标（一般写策略规则）

iptables案例

1.查看开放的端口

# cat /etc/sysconfig/iptables
# netstat -ntlp #列出所有端口

2.开放端口（此处以80端口为例）

方法一：

# iptables -I INPUT -p tcp --dport 80 -j ACCEPT #写入修改
# service iptables save #保存修改 
# service iptables restart 重启防火墙，修改生效

方法二：

# vi /etc/sysconfig/iptables #打开配置文件加入如下语句:
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT  
10#然后重启防火墙，修改完成

3.关闭端口（此处以80端口为例）

方法一：

# iptables -I INPUT -p tcp --dport 80 -j DROP #写入修改
# service iptables save #保存修改
# service iptables restart #重启防火墙，修改生效

方法二：

# vi /etc/sysconfig/iptables #打开配置文件加入如下语句: 
8-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j DROP   
9#然后重启防火墙，修改完成

3.查看端口状态

# /etc/init.d/iptables status

4.将 INPUT 规则链设置为只允许指定网段的主机访问本机的 22 端口，拒绝来自其他所有主机的流量：

# iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT 
# iptables -A INPUT -p tcp --dport 22 -j REJECT

5.向 INPUT 规则链中添加拒绝所有人访问本机 12345 端口的策略规则：

# iptables -I INPUT -p tcp --dport 12345 -j REJECT 
# iptables -I INPUT -p udp --dport 12345 -j REJECT

6.向 INPUT 规则链中添加拒绝 192.168.10.5 主机访问本机 80 端口（Web 服务）的策略规则：

# iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT

7.向 INPUT 规则链中添加拒绝所有主机访问本机 1000～1024 端口的策略规则：

# iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT 
# iptables -A INPUT -p udp --dport 1000:1024 -j REJECT

8.查看已有的防火墙规则链：

# iptables -L

9.把 INPUT 规则链的默认策略设置为拒绝：

# iptables -P INPUT DROP

10.向防火墙的INPUT 规则链中添加一条允许 ICMP 流量进入的策略规则默认允许了这种 ping 命令检测行为：

# iptables -I INPUT -p icmp -j ACCEPT

11、删除 INPUT 规则链中刚刚加入的那条策略（允许 ICMP 流量），并把默认策略设置为允许：

# iptables -D INPUT 1 
# iptables -P INPUT ACCEPT

12.使用 iptables 命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：

# service iptables save

三、firewalld

相较于传统的防火墙管理配置工具，firewalld 支持动态更新技术并加入了**区域（zone）**的概念。简单来说，区域就是 firewalld 预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。

firewalld跟iptables比起来至少有两大好处：

firewalld可以动态修改单条规则，而不需要像iptables那样，在修改了规则后必须得全部刷新才可以生效；
firewalld在使用上要比iptables人性化很多，即使不明白“五张表五条链”而且对TCP/IP协议也不理解也可以实现大部分功能。

注：firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样罢了。

区域管理

一个重要的概念：区域管理
firewalld将网卡对应到不同的区域（zone），zone 默认共有9个： block，dmz，drop，external，home，internal，public， trusted，work
都保存在“/usr/lib/firewalld/zones/”目录下。
在这里插入图片描述
firewalld 中常用的区域名称及默认规则：

区域	默认规则
阻塞区域（block）	任何传入的网络数据包都将被阻止。
工作区域（work）	相信网络上的其他计算机，不会损害你的计算机。
家庭区域（home）	相信网络上的其他计算机，不会损害你的计算机。
公共区域（public）	不相信网络上的任何计算机，只有选择接受传入的网络连接。
隔离区域（DMZ）	隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接。
信任区域（trusted）	所有的网络连接都可以接受。
丢弃区域（drop）	任何传入的网络连接都被拒绝。
内部区域（internal）	信任网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。
外部区域（external）	不相信网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。

firewalld-cmd终端管理工具

终端管理工具 firewalld-cmd
firewall 可以看成整个防火墙服务，而 firewall-cmd 可以看成是其中的一个功能，可用来管理端口

firewalld-cmd 命令中使用的参数以及作用

参数	作用
–get-default-zone	查询默认的区域名称
–set-default-zone=<区域名称>	设置默认的区域，使其永久生效
–get-zones	显示可用的区域
–get-services	显示预先定义的服务
–get-active-zones	显示当前正在使用的区域与网卡名称
–add-source=	将源自此 IP 或子网的流量导向指定的区域
–remove-source=	不再将源自此 IP 或子网的流量导向某个指定区域
–add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域
–change-interface=<网卡名称>	将某个网卡与区域进行关联
–list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息
–list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
–add-service=<服务名>	设置默认区域允许该服务的流量
–add-port=<端口号/协议>	设置默认区域允许该端口的流量
–remove-service=<服务名>	设置默认区域不再允许该服务的流量
–remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量
–reload	让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
–panic-on	开启应急状况模式
–panic-of	关闭应急状况模式

firewalld案例

1.查看 firewall 防火墙程序是否正在运行：

# firewall-cmd --state

2.查看已打开的所有端口：

# firewall-cmd --zone=public --list-ports

3.开启指定端口：（以80端口为例）

# firewall-cmd --zone=public --add-port=80/tcp --permanent

（–permanent 永久生效，没有此参数重启后失效）
重新加载 firewall，

firewall-cmd --reload

修改配置后，必须重新加载才能生效

4.关闭指定端口

以8080为例

# firewall-cmd --zone=public --remove-port=8080/tcp --permanent

（–permanent 表示永久生效，没有此参数重启后失效）
重新加载 firewall，修改配置后，必须重新加载才能生效：

firewall-cmd --reload

firewall-cmd对端口的操作，如开放端口等信息，都放在"/etc/firewall/zones/public.xml"中记录,所以直接修改此文件也是可以的

四、linux防火墙状态命令

iptables防火墙

目的	命令
查看防火墙状态	service iptables status
停止防火墙	service iptables stop
启动防火墙	service iptables start
重启防火墙	service iptables restart
永久关闭防火墙（禁止防火墙自启）	chkconfig iptables off
永久关闭后重启	chkconfig iptables on

开启80端口 vim /etc/sysconfig/iptables 加入如下代码 -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
保存退出后重启防火墙 service iptables restart

firewall防火墙

目的	命令
查看firewall服务状态	systemctl status firewalld
查看firewall的状态	firewall-cmd --state
开启防火墙，启动 firewall 服务	systemctl start firewalld
重启防火墙，重启 firewall 服务	systemctl restart firewalld
临时关闭防火墙，停止 firewall 服务	systemctl stop firewalld
永久关闭防火墙	systemctl disable firewalld
开机自动启动服务	systemctl enable firewalld.service
查看防火墙规则	firewall-cmd --list-all
查询端口是否开放	firewall-cmd --query-port=8080/tcp
开放80端口	firewall-cmd --permanent --add-port=80/tcp
移除8080端口	firewall-cmd --permanent --remove-port=8080/tcp
重启防火墙(修改配置后要重启防火墙)	firewall-cmd --reload

参数解释 1、firwall-cmd：是Linux提供的操作firewall的一个工具； 2、–permanent：表示设置为持久； 3、–add-port：标识添加的端口；

五、查看服务状态操作

service network status  //查看指定服务状态
service network stop  //停止指定服务
service network start  //启动指定服务
service network restart  //重启指定服务
 
service --status-all  //查看系统中所有后台服务
netstat -nltp  //查看系统中网络进程的端口监听情况

本文借鉴于（侵删）：Linux防火墙是什么？有什么用？