从零开始的Linux学习：2020.5.22-第十天

本文链接：https://blog.csdn.net/oshino635960458/article/details/106291802

2020.5.22-第十天

iptables与firewalld防火墙

碎碎念：即使刚学没多久，也敢去约去报考红帽认证，不得不说真是嫌钱多。虽然不知道能不能约上，但又怕…

一、防火墙管理工具

防火墙的主要目的是防止外部的黑客对用户内网的渗透。
iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务：
iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理；
firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。
虽然这些工具各有优劣，但它们在防火墙策略的配置思路上是保持一致的。

二.iptablese（RHEL 7.2以后就没有了）

1.策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。
一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。
iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：
在进行路由选择前处理数据包（PREROUTING）；
处理流入的数据包（INPUT）；
处理流出的数据包（OUTPUT）；
处理转发的数据包（FORWARD）；
在进行路由选择后处理数据包（POSTROUTING）。
一般来说，从内网向外网发送的流量一般都是可控且良性的，因此使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网入侵内网的难度。
还有其他术语：ACCEPT（允许流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过，直接将流量丢弃而且不响应）、REJECT（拒绝流量，通过在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息）。

2. 基本的命令参数

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。
常用命令参数：
在这里插入图片描述
（iptables --line-number -L，添加行数）
“-j”参数：后面接
“REJECT（拒绝发送信息，考试时一定要使用这个）”
“DROP（拒绝不响应，有些情况下只能设置这个）”
“ACCEPT（允许）”
“LOG（将匹配到的流量记录到日志中）”。

把INPUT规则链的默认策略设置为拒绝：
在这里插入图片描述
当把INPUT链设置为默认拒绝后，就要往里面写入允许策略了，否则所有流入的数据包都会被默认拒绝掉，需要留意规则链的默认策略拒绝动作只能是DROP，而不能是REJECT。

向INPUT链中添加允许ICMP流量进入的策略规则：
在日常运维工作中，经常会使用ping命令来检查对方主机是否在线，而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为。
在这里插入图片描述
将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量：

因为防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉。

向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则：
在这里插入图片描述
如果是不连贯端口，使用逗号做间隔。

使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：
在这里插入图片描述
（不过在RHEL 7中可能会失效）

三、Firewalld

firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是RHEL 7默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。
firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。
firewalld中常见的区域名称（默认为public）以及相应的策略规则如表所示：
在这里插入图片描述
以下两种选择一种进行配置，以免导致数据紊乱

1.终端管理工具

firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本，它的参数一般都是以“长格式”来提供的，现在除了能用Tab键自动补齐命令或文件名等内容之外，还可以用Tab键来补齐表中所示的长格式参数：
在这里插入图片描述
–query-service=[服务] 查询服务

firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加–permanent参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。
RUNTIME立即生效，重启后失效；
PERMANENT当前不生效，重启后生效。

查询public区域是否允许请求SSH和HTTPS协议的流量：
在这里插入图片描述
把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效：

把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：

2.图形管理工具

firewall-config，是firewalld防火墙配置管理工具的GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作。
在这里插入图片描述

四、服务访问控制列表

TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。换句话说，Linux系统中其实有两个层面的防火墙，第一种是前面讲到的基于TCP/IP协议的流量过滤工具，而TCP Wrappers服务则是能允许或禁止Linux系统提供服务的防火墙，从而在更高层面保护了Linux系统的安全运行。
TCP Wrappers服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量，也可以编辑拒绝控制列表文件来阻止对服务的请求流量。
控制列表文件修改后会立即生效，系统将会先检查允许控制列表文件（/etc/hosts.allow），
如果匹配到相应的允许策略则放行流量；
如果没有匹配，则去进一步匹配拒绝控制列表文件（ /etc/hosts.deny），若找到匹配项则拒绝该流量。
如果这两个文件全都没有匹配到，则默认放行流量。

在配置TCP Wrappers服务时需要遵循两个原则：
A.编写拒绝策略规则时，填写的是服务名称，而非协议名称；
B.建议先编写拒绝策略规则，再编写允许策略规则，以便直观地看到相应的效果。

下面编写拒绝策略规则文件，禁止访问本机sshd服务的所有流量（无须/etc/hosts.deny文件中修改原有的注释信息）：
在这里插入图片描述