Linux_24_Linux防火墙

防火墙

防火墙：防范网络攻击（选择性将请求通过以保证网络安全性）

1）Centos6.x的默认管理防火墙的工具为：iptables

2）Centos7.x的默认管理防火墙的工具为：firewalld

策略：防火墙基于流量的源地址、目的地址、端口号、协议和应用等信息所选的应对方式（接受/拒绝）

1）防火墙从上至下读取配置的策略（把优先级高的策略/规则放到上面），在匹配到对应项后就结束匹配工作，并按照策略进行处理（若匹配不到任何策略，就执行默认策略）

2）iptables服务将配置好的防火墙策略交由内核的netfilter网络过滤器处理，firewalld服务将配置好的防火墙策略交由内核的nftables包过滤框架处理

Iptables

规则：iptables服务中把用于处理和过滤流量的策略

规则链：由多条规则组成（针对特定数据包的各种规则）

规则链根据不同的数据包处理位置进行以下分类：

规则链	说明
INPUT	处理流入的数据包
OUTPUT	处理流出的数据包
FORWARD	处理转发的数据包
PREROUTING	在进行路由选择前处理的数据包
POSTROUTING	在进行路由选择后处理的数据包

//使用最多的是INPUT规则链

iptables服务根据流量的源地址、目的地址、传输协议、服务类型等信息匹配相关的规则链，匹配成功后根据对应的动作进行处理

动作	说明
ACCEPT	允许流量通过
LOG	允许流量通过，并记录相关信息
REJECT	拒绝流量通过（并回复“拒绝”）
DROP	拒绝流量通过（忽视）

//动作为DROP时，对方无法判断流量被拒绝或主机不在线

iptables命令：查看、添加、设置和删除系统中防火墙的策略/规则

指令格式1：iptables 选项 //查看规则

选项	含义
-L	列出系统中已有的针对规则链策略

如：列出系统中已有的规则链

指令格式2：iptables 选项 //添加规则

选项	含义
-A	在指定规则链的尾部加入该规则
-I	在指定规则链的头部加入该规则
-i 网卡名	匹配从该网卡流入的数据
-o 网卡名	匹配从该网卡列出的数据
-p 协议	匹配指定协议（tcp、udp和icmp）
-s IP	匹配该来源IP
–sport 端口号	匹配该来源端口号
-d IP	匹配该目标IP
–dport 端口号	匹配该目标端口号
-j 动作	指定匹配成功后所进行的动作

一般iptables添加规则参数的输入顺序和格式：

1）有对应的限制，则添加对应的参数（没有限制，则可省略对应的参数）

如：在INPUT规则链中添加允许ICMP流量进入的规则

//ICMP流量的进入就是允许ping命令检测

如：设置INPUT规则链只允许网段为“192.168.10.0/24”的主机访问本机的22端口（拒绝其他所有主机访问22端口）

//由于防火墙策略规则是从上到下顺序匹配的，所以允许动作需写在拒绝动作前

如：设置INPUT规则链中拒绝所有主机访问本机的3306端口

//若某一端口拒绝其他主机任何方式访问，则需同时拒绝tcp和upd两种协议

如：设置INPUT规则链中拒绝所有主机访问本机的1000~1024端口

//若设置顺序的端口时，用“：”连接两个端口号

如：设置INPUT规则链中拒绝192.168.10.5主机访问本机的80端口

指令格式3：iptables 选项 //设置规则

选项	含义
-P 规则链 动作	指定规则链中的默认动作

//规则链的默认拒绝动作只能是DROP，而不能是REJECT

如：设置INPUT规则链的默认动作为DROP

指令格式4：iptables 选项 //删除规则

选项	含义
-D 规则链 N	删除指定规则链中的第N个规则
-F	清空防火墙中已有的针对规则链策略（INPUT无效）

如：删除INPUT规则链中允许ICMP流量进入的规则

如：清空防火墙中已有的针对规则链的策略

iptables命令配置永久生效：service iptables save

// iptables命令配置的防火墙策略/规则都是临时设置（重启后便失效）

其他服务保存设置：/etc/init.d/服务名 save

//当使用临时修改某项服务时，可通过保存设置来达到永久修改

Firewalld

Firewalld(Dynamic Firewall Manager of Linux systems):Linux系统动态防火墙管理

1）Firewalld分为：CLI下的firewall-cmd、GUI下的firewall-config

1）区域（zone）：Firewalld中防火墙策略集合

Firewalld中常用的区域如下：

区域	说明
trusted	允许所有的数据包/流量
home	拒绝流入的流量（除非该流量和流出流量有关） 若该流量与ssh、mdns、ipp-client、amba-client 或dhcpv6-client服务有关，则允许该流量
internal	拒绝流入的流量（除非该流量和流出流量有关） 若该流量与ssh、ipp-client 或dhcpv6-client服务有关，则允许该流量
work	等同于home区域
public	拒绝流入的流量（除非该流量和流出流量有关） 若该流量与ssh或dhcpv6-client服务有关，则允许该流量
external	拒绝流入的流量（除非该流量和流出流量有关） 若该流量与ssh服务有关，则允许该流量
dmz	拒绝流入的流量（除非该流量和流出流量有关） 若该流量与ssh有关，则允许该流量
block	拒绝流入的流量（除非该流量和流出流量有关）
drop	拒绝流入的流量（除非该流量和流出流量有关）

//Firewalld中最常见的区域为：public

firewall-cmd

firewall-cmd命令：Firewalld通过命令行界面配置防火墙

指令格式1：firewall-cmd 选项 //查询防火墙相关信息

选项	含义
–get-default-zone	列出默认区域
–get-zones	列出系统中可用的区域
–get-services	列出预先定义的服务
–get-active-zones	列出当前正在使用的区域和网卡
–list-all	列出当前区域调用网卡的配置参数、 资源、端口和服务等信息
–list-all-zones	列出所有区域调用网卡的配置参数、 资源、端口和服务等信息
–get-zone-of-interface=网卡	查询指定网卡所在区域
–query-service=服务名	查询指定服务在当前区域是否放行

如：列出默认区域、可用区域和预先定义的服务

如：查询ssh、dhcpv6-client和http服务在当前区域是否放行

如：列出当前区域调用网卡的相关信息

指令格式2：firewall-cmd 选项 //配置Firwalld服务

选项	含义
–zone	修改区域
–add-source=IP	将来自该IP的流量都导向指定区域
–remove-source=IP	取消该IP的流量导向指定区域
–add-interface=网卡	将该网卡的所有流量都导向指定区域
–chang-interface=网卡	设置指定网卡的默认区域为指定区域
–add-service=服务	设置默认区域允许该服务的流量
–remove-service=服务	设置默认区域不允许该服务的流量
–add-prot=端口号/协议	设置默认区域允许该端口的流量
–remove-port=端口号/协议	设置默认区域不允许该端口的流量
–reload	重读配置文件
–permanent	使后续配置永久生效（默认重启后生效）

//使用–permanent永久配置，配置不会立刻生效（默认是立刻生效），可通过–reload重读配置文件使永久配置立刻生效

如：设置eno16777736网卡的默认区域为external，并分别在当前模式和永久模式查看该网卡的默认区域

如：设置Firewalld服务的public中允许https服务的流量，并立即生效

如：设置Firewalld服务的public中允许8080和8081端口的流量（仅限当前）

指令格式3：firewall-cmd 选项 //修改Firewalld服务

选项	含义
–set-default-zone=区域	指定默认区域
–panic-on	开启应急状况模式
–panic-off	关闭应急状况模式

//应急状况模式下，系统会阻断一切网络连接

指令格式4：通过firewall-cmd命令配置流量转发

如：设置访问本机330端口的流量转发到335端口（且当前和永久生效）

指令格式5：firewall-cmd --zone=区域 --add-rich-rule=“富规则名 = 规则”

规则	说明
rule family=ipv4/ipv6	ip4或ip6的富规则
source address=IP	指定源IP
destination address	指定目的IP
service name=服务	指定服务
port port=端口号	指定端口号
protocol value=tcp/upd	指定协议
动作	accept（通过）、reject（拒绝并返回消息） drop（拒绝并不返回消息）、log（日志）

1）富规则：类似iptables设置针对用户、服务或端口的规则

2）多个规则之间使用空格分开；

//删除富规则为：firewall-cmd --zone --remove-rich-rule=“富规则名”

如：通过富规则设置拒绝192.168.10.0/24网段内所有用户访问本机的ssh服务

firewall-config

firewall-config命令：调用Firewall Configuration（图形界面）配置Firewalld服务

指令格式：firewall-config

1）在Firewall Configuration修改内容后不需保存（其自动保存）；

2）Runtime模式下修改的内容会即刻生效，Permanent模式下修改的内容，需重启才能生效

//也可通过Option中的Reload Frewalld使其即刻生效

如：调用Firewall Configuration

SNAT（Source Network Address Translation）：源网络地址转换

1）解决IP地址匮乏的技术，内网中多个用户通过一个外围IP接入Internet

如：比较开启SNAT技术前后

1）关闭SNAT技术

2）开启SNAT技术

如：通过Firewall Configuration开启SNAT

如：通过Firewall Configuration将访问本机3306端口的流量转发到8806端口

如：通过Firewall Configuration配置富规则

TCP Wrappers

Linux系统中有两个层面的防火墙：

1）基于TCP/TP协议的流量过滤；

2）TCP Wrappers通过是否允许Linux系统提供服务的防火墙（层面更高）；

TCP Wrappers：是Centos7系统中默认启用的流量监控程序

1）可根据来访主机的地址和本机的目标服务程序判断是否允许操作

TCP Wrappers有两个控制列表文件控制：/etc/hosts.allow和/etc/hosts.deny

1）/etc/hosts.allow：TCP Wrappers的白名单

2）/etc/hosts.deny：TCP Wrappers的黑名单

编写两个文件的参数如下：

客户端类型	示例	满足示例
单一主机	192.168.10.10	IP地址为192.168.10.10的主机
指定网段	192.168.10.	IP段为192.168.10.0/24的主机
指定DNS后缀	.linuxprobe.com	DNS后缀为.linuxprobe.com的主机
指定主机名称	www.linuxprobe.com	主机名www.linuxprobe.com的主机
指定所有客户端	ALL	所有主机均可

1）编写策略规则时，应使用服务名称（而非协议名称）

2）先编写拒绝策略规则（/etc/hosts.deny）再编写允许策略规则（/etc/hosts.allow）

如：使仅192.168.10.0/24网段的主机能访问本机的sshd服务

1）编写/etc/hosts.deny；

2）编写/etc/hosts.allow；

当一个流量访问本机时，系统执行以下操作：

1）系统先检索/etc/hosts.allow进行匹配，若匹配到对应项则放行该流量；

2）若匹配失败，检索/etc/hosts.deny进行匹配，若匹配到对应项则拒绝该流量；

3）若两个文件都匹配失败，则默认放行该流量

//优先级：/etc/hosts.allow > /etc/hosts.deny