防火墙简介

已于 2023-05-11 11:21:19 修改
阅读量221 收藏
点赞数
文章标签： 网络 网络协议 服务器
于 2023-05-11 11:10:24 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_55084041/article/details/130580662
版权

防火墙简介

报文流向，

流入本机：PREROUTING --> INPUT–>用户空间进程

流出本机：用户空间进程 -->OUTPUT–> POSTROUTING

穿过：PREROUTING --> FORWARD --> POSTROUTING

1 防火墙分类

按保护范围划分：

  • 主机防火墙：服务范围为当前一台主机
  • 网络防火墙：服务范围为防火墙一侧的局域网

按实现方式划分:

  • 硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现
  • 软件防火墙：运行于通用硬件平台之上的防火墙的应用软件

按网络协议划分：

  • 网络层防火墙：OSI模型下四层，又称为包过滤防火墙
  • 应用层防火墙/代理服务器：代理网关，OSI模型七层
1.1 五个链
INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING

在这里插入图片描述

1.2 五个表table

filter、nat、mangle、raw、security

  • filter表：过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表
  • nat表：network address translation 地址转换规则表
  • mangle：修改数据标记位规则表
  • raw：关闭启用的连接跟踪机制，加快封包穿越防火墙速度
  • security：用于强制访问控制（MAC）网络规则，由Linux安全模块（如SELinux）实现

iptables有五表五链

2 iptables

用户空间的工具

查找表里有哪些链

iptables -t nat -vnl

#查看当前规则
iptables -vnL                  #v是细节，n是数字化，L是列出，注意n得在L前面
iptables -vnL --line-numbers   #显示行号

iptables -t filter
-t                 #指定表
-I                 #插入，调整排序问题，可在链后面指定第几行
-D                 #删除，在链后面指定删除第几行
-m                 #指定模块名，相关协议用法可用-p代替    tcp、udp、icmp协议
-R                 #替换
-N                 #自定义链，模块化使用
-E                 #改链的名字
-S                 #显示定义过的规则具体命令，相当于history
-j                 #可以调用自定义链
-F                 #全局清除，也可指定链
-X                 #删除自定义链，得先把调用关系删除和清空链规则
-s                 #源地址
-d                 #目标地址
-P                 #更改链的默认规则，不建议

范例：filter表中的INPUT规则

iptables -t filter -A INPUT -s 192.168.0.1 -j DROP
-t filter          #指定使用filter表，也可不写，默认使用该表
-A                 #追加规则
INPUT              #链
-s 192.168.0.1     #源地址来的请求，-s指定源地址，也可写成网段，留意别把自己也给拒绝了
-j                 #跳转
DROP               #动作，删除或抛弃
#拒绝来自192网络的访问
2.1 基本匹配条件
[!] -s, --source address[/mask][,...]：源IP地址或者不连续的IP地址
[!] -d, --destination address[/mask][,...]：目标IP地址或者不连续的IP地址
[!] -p, --protocol protocol：指定协议，可使用数字如0（all）
    protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or“all“  
    参看：/etc/protocols
[!] -i, --in-interface name：报文流入的接口；指定进来的接口，应用于INPUT、FORWARD、PREROUTING链
[!] -o, --out

#[！] 可选取反

-interface name：报文流出的接口；指定出去的接口，应用于FORWARD、OUTPUT、POSTROUTING链

相关环境

#需关闭firewalld服务
#Centos 7，8：
systemctl stop firewalld.service               #不使用原有的规则
systemctl disable firewalld. service
#或者
systemctl disable --now firewalld. service

#Centos6：
service iptables stop
chkconfig iptables off

抓包检查

tcpdump -i eth0 -nn icmp     #-nn指定协议
2.2 动作
DROP      #删除或抛弃，无回应
REJECT    #拒绝，有回应
ACCERT    #允许
RETURN    #提前结束，在此结束

3 扩展匹配条件

3.1 tcp协议的扩展选项
[!] --source-port, --sport port[:port]：匹配源端口
[!] --destination-port,--dport port[:port]：匹配目标端口
[!] --tcp-flags mask comp
     mask 需检查的标志位列表，用,分隔 , 例如 SYN,ACK,FIN,RST
     comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用,分隔tcp协议的扩展选项

#范例
--tcp-flags SYN,ACK,FIN,RST SYN 表示要检查的标志位为SYN,ACK,FIN,RST四个，其中SYN必须为1，余下的必须为0，第一次握手
--tcp-flags SYN,ACK,FIN,RST SYN,ACK 第二次握手

#错误包
--tcp-flags ALL ALL    #全是1
--tcp_flags ALL NONE   #全是0

[!] --syn：用于匹配第一次握手, 相当于：--tcp-flags SYN,ACK,FIN,RST SYN

#范例
iptables -I INPUT 5 -p tcp --dport 443 -j ACCERT
3.2 udp 协议的扩展选项
[!] --source-port, --sport port[:port]：源端口
[!] --destination-port,--dport port[:port]：目标端口
3.3 icmp 协议的扩展选项
[!] --icmp-type {type[/code]|typename}
 type/code
 0/0   echo-reply icmp应答       #回来的包
 8/0   echo-request icmp请求     #发出的包
 
#我可以ping通，别人ping不了
iptables -I INPUT 4 -p icmp --icmp-type 0 -j ACCEPT

4 iptables模块相关

4.1 multiport
#将多个端口合并写成一个条件
[!] --source-ports,--sports port[,port|,port:port]...       #源端口
[!] --destination-ports,--dports port[,port|,port:port]...  #目标端口

#端口号用，隔开
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
4.2 iprange
#指定ip地址范围，哪里到哪里
[!] --src-range from[-to] 指定源IP地址范围
[!] --dst-range from[-to] 指定目标IP地址范围

#ip地址间用-隔开
iptables -A INPUT -d 172.16.1.100 -p tcp --dport 80 -m iprange --src-range 172.16.1.5-172.16.1.10 -j DROP
4.3 mac
#无需指定目标mac地址，直接指定源mac地址即可
[!] --mac-source XX:XX:XX:XX:XX:XX

iptables -A INPUT -m mac --mac-source 00:0c:29:d5:92:c9 -j ACCEPT

centos7改mac地址可直接改网卡配置文件，MACADDR=xxx，改完让文件生效即可

4.4 string

对字符串进行监测

--algo {bm|kmp} 字符串匹配检测算法
 bm：Boyer-Moore
 kmp：Knuth-Pratt-Morris
--from offset 开始偏移    报文头前62个字符为固定，可直接跳过
--to offset   结束偏移
[!] --string pattern 要检测的字符串模式
[!] --hex-string pattern要检测字符串模式，16进制格式

#注意报文经过流程，因此添加在OUTPUT链中，指定tcp80端口
iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62  --string  "google" -j REJECT
4.5 time

定义时间用

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] #开始日期
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]  #结束日期
--timestart hh:mm[:ss]        #开始时间9：00
--timestop hh:mm[:ss]         #结束时间18:00
[!] --monthdays day[,day...]  #每个月的几号
[!] --weekdays day[,day...]   #星期几，1，2,3,4,5,6，7 分别表示星期一到星期日，用，隔开
--kerneltz：#内核时区（当地时间），不建议使用，CentOS7系统默认为 UTC
注意： centos6 不支持kerneltz ，--localtz指定本地时区(默认)
#centos8/rocky8用不了
4.6 connlimit

限制每个客户端并发连接访问数量

--connlimit-upto N      #连接的数量小于等于N时
--connlimit-above N     #连接的数量大于N时

iptables -A INPUT -m connlimit --connlimit-above 10 -j REJECT
iptables -A INPUT -d 172.16.100.10 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT
4.7 limit

限流，令牌制，

--limit-burst number #前多少个包不限制
--limit #[/second|/minute|/hour|/day]

#一分钟只通过十个包其他拒绝，前五个不限制，后面开始限流
iptables -A INPUT  -p icmp -m limit --limit 10/minute --limit-burst 5 -j ACCEPT
iptables -A INPUT  -j REJECT
4.8 state

连接状态

  • NEW：新发出请求；第一次发出的请求
  • ESTABLISHED：再次连接时记录于内存中的连接信息
  • RELATED：新发起的但有其他相关联的连接，一个带动一个，如：ftp协议中的数据连接与命令连接之间的关系
  • INVALID：无效的连接，比如六个标记位都为0
  • UNTRACKED：未进行追踪的连接，如：raw表中关闭追踪

记录路径在cat /proc/net/nf_conntrack下

当出现 nf_conntrack：nf_conntrack：table full, dropping packet 时，可更改

#调整连接追踪功能所能够容纳的最大连接数量，可改
[root@centos8 ~]#cat /proc/sys/net/netfilter/nf_conntrack_max
66624
[root@centos8 ~]#cat /proc/sys/net/nf_conntrack_max
66624

#加大访问表数量，内核参数
vim /etc/sysctl.conf
net.nf_conntrack_max=888888

#更改相关时间，不怎么建议
vi /etc/sysctl.conf
net.netfilter.nf_conntrack_tcp_timeout_established = 300
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
iptables -t nat -L -n

单方向访问

iptables -A INPUT -s 10.0.0.7 -m state --state NEW -j REJECT      #能出能回
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT          #已有的能连
4.9 target

动作

LOG       #不拒绝也不允许，而是记录在日志里，路径在 /var/log/messages 下
--log-level level   级别： debug，info，notice, warning, error, crit, alert,emerg
--log-prefix prefix  #日志标识，用于区别不同的日志，最多29个字符

iptables -I INPUT -s 10.0.0.0/24 -p tcp -m multiport --dports 80,21,22,23 -m state --state NEW -j LOG --log-prefix "new connections: "

5 规则优化

  1. 安全放行所有入站和出站的状态为ESTABLISHED状态连接,建议放在第一条，效率更高

  2. 谨慎放行入站的新请求

  3. 有特殊目的限制访问功能，要在放行规则之前加以拒绝

  4. 同类规则（访问同一应用，比如：http ），匹配范围小的放在前面，用于特殊处理

  5. 不同类的规则（访问不同应用，一个是http，另一个是mysql ），匹配范围大的放在前面，效率更高

-s 10.0.0.0/24 -p tcp --dport 3306 -j REJECT
-s 172.16.0.1 -p tcp --dport 80 -j REJECT

  1. 应该将那些可由一条规则能够描述的多个规则合并为一条,减少规则数量,提高检查效率

  2. 设置默认策略，建议白名单（只放行特定连接）

  • iptables -P，不建议，容易出现“自杀现象”
  • 规则的最后定义规则做为默认策略，推荐使用，放在最后一条

相关模块帮助

man iptables-extensions

5.1 永久保存及开机自启iptables

#1
iptables -A INPUT -j DROP                     #首先写好所需规则
iptables-save > /etc/sysconfig/iptables       #存入文件

vim /etc/rc.local                             #ubuntu默认没有该文件，直接创建添加即可，记得加首行#!/bin/bash、加权限
iptables-restore < /etc/sysconfig/iptables    #还原文件中定义的规则

chmod +x /etc/rc.d/rc.local                        #添加执行权限

#2
#centos/rocky中也可用
yum -y install iptables-services

iptables -A INPUT -j DROP 

/usr/libexec/iptables/iptables.init save      #两种保存方法均可用 
iptables-save > /etc/sysconfig/iptables       #也可直接更改该文件

systemctl enable iptables.service             #设置开机自启

在这里插入图片描述

黑乎乎的小升
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
防火墙
C00k
12-08 1005
防火墙的术语： 源IP地址、目标IP地址（指内网/外网IP）。 源端口、目标端口（指内网端口、外网端口）。 数据包类型（ICMP、FTP、POP、SMTP） 网络地址转换（NAT） 隔离区（DMZ） 防火墙的基本功能： 数据包过滤； 服务器代理； 加密认证； 记录和报警； VPN和带宽管理； 基于协议和端口的过滤； 配合其他设备实现基于URL的过滤和病毒的过滤。 ...
防火墙的目标地址转换和源地址转换
02-17 6113
网络结构非常简单：外网-防火墙-内网。内网中架有网站，在外网使用域名访问。内网中机器需要上外网，也需要用域名互访。 在这种情况下，地址转换规则应当这样配：        外网访问内网，只需要做目标地址转换，不需要做源地址转换。        内网通过域名访问内网，除了做目标地址转换，还必须做源地址转换。        上面第一条有一种“例外”情况，就是网关配置错误的情况，比如我们遇到的：内网
iptables实现网口数据转发
chaty_chu的博客
05-24 5155
当wifi的数据想通过运营商网络访问外网时，需要将wifi的数据转发到运营商网络的网卡上。需要在主机上打开 ip 转发以保持连接通道。查看是否已打开 ip 转发（1 表示打开）：cat /proc/sys/net/ipv4/ip_forward如果未打开，则用以下命令打开：echo 1 &gt; /proc/sys/net/ipv4/ip_forwardiptables -t nat -A PO...
防火墙基础知识2 源，目的地，端口，协议的指定
weixin_33720956的博客
09-14 1048
最近这个星期时间都会比较紧，哎，没办法，只能抽点时间加班加点完成基本任务了！ 今天主要学了iptables的一些规则设置。由于时间问题，我就只简要的做个记录了。 -s 源地址，指数据包从哪来的.可以是具体ip,也可以是一个网段 -d 目的地址，指数据包要到哪里去。可以是具体ip.也可以是一个网段 -p 协议类型，指tcp,upd,icmp (注意，如果使用--spor...
最新智能防火墙简介和技术特征
03-03
本文介绍的智能防火墙是一种更聪明、更智能的防火墙产品，它克服了传统防火墙“一管就死，一放就乱”的状况，修正了上述防火墙的重大假设。新的智能防火墙把“出口”的概念改变为“关口”的概念，所有经过“关口”的...
世界上最优秀的二十款防火墙简介
03-03
本文介绍了市面上常见的20款软件防火墙产品的各方面性能指标，以及功能特点。对于计算机用户选择个人防火墙产品有一定的指导意义。
防火墙简介网络工程师考试必备知识点文件.pdf
03-02
防火墙简介网络工程师考试必备知识点文件.pdf
防火墙简介——网络工程师考试必备知识点.pdf
11-07
防火墙简介——网络工程师考试必备知识点.pdf
防火墙和NAT基础学习
留下虚度光阴的一些证据。
08-16 2867
华为防火墙基础学习和NAT基础学习
防御保护----防火墙基本知识
最新发布
Tmg3202915143的博客
01-29 2239
判断信息：数据包的源IP地址、目的IP地址、协议类型、源端口、目的端口（五元组）工作范围：网络层、传输层（3-4层）和路由器的区别：普通的路由器只检查数据包的目标地址，并选择一个达到目的地址的最佳路径；防火墙除了要解决目的路径以外还需要根据已经设定的规则进行判断“是与否”。技术应用：包过滤技术。优势：对于小型站点容易实现，处理速度快，价格便宜劣势：规则表会很快变得庞大复杂难运维，只能基于五元组；现在很多安全风险集中在应用层中，所以，仅关注三、四层的数据无法做到完全隔离安全风险；逐包进行包过滤检测，将导致防火
48、防火墙简介（一）----iptables防火墙
qq_52901912的博客
03-04 375
一、iptables防火墙 1、iptables概述 Linux系统的防火墙：IP信息包过滤系统，它实际上由两个组件 netfilter 和 iptables 组成 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。 2、netfilter 和 iptables [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-BjlbMomP-1646408827163)(C:\Users\XTC\AppData\Roaming\Typora\typora-us
防火墙初接触
qq_40741808的博客
06-11 1362
防火墙概述防火墙的分类包过滤防火墙状态检测防火墙（ASPF:application specific packet filter）状态监测机制：代理防火墙安全区域安全区域的配置报文在安全区域之间的流动：防火墙如何判断报文在哪两个安全区域之间流动呢？安全策略分类：防火墙的三种工作模式： 概述 防火墙是位于两个或多个网络之间执行访问控制的软件或硬件系统，他根据访问控制规则对进出的网络的数据流进行过滤。它是一种网络安全产品，用于对网络进行安全访问限制，一般用在互联网的边缘，防止外部黑客的攻击。防火墙可以看成是带有
firewalld应用配置实战（二）-地址伪装和端口转发
博海先森
04-10 1082
注意:这篇文章是第一篇文章的升级版 说明： 基本的配置与第一篇大同小异,包括更改主机名、网卡的配置、开启路由转发、更改区域、SSH侦听端口、放行、禁止那些规则都是一样的，那么本篇文章的要求是可以已经理解firewalld中的直接规则、富语言等等，这里并不在陈述细讲，如果是需要了解的可以百度了解。 要求与上一篇的大同小异，只不过加入了两个新的需求: 公司内网用户需要通过网关服务器共享上网 互联网用...
linux防火墙iptables常用命令与基础知识
热门推荐
pingweicheng的博客
05-28 3万+
1.iptables常用命令1.1查看是否已经安装了iptables以及iptables版本号iptables -V (注意：V是大写字母V）1.2 关闭iptablesservice iptables stop1.3 启动iptablesservice iptables start1.4重启iptablesservice iptables restart1.5保存命令行中设置的ipt...
iptables之目的与源
weixin_30414305的博客
05-30 686
++++++++++++++++++++++++++++++++++标题：iptables基础知识之目的与源内容：iptables的目的与源时间：2019年5月24日++++++++++++++++++++++++++++++++++在配置防火墙规则时，最为重要的一点就是需要分清什么是目的、什么是源？源和目的总是相对而言的，简而言之：谁发送(从哪发送)的请求，谁就是源；谁接受(从哪接受)...
华为防火墙安全区域介绍及配置
lzs
04-25 1万+
安全区域介绍 防火墙通俗讲是用于控网络之间的隔离，专业讲是用于保护一个安全区域免受另外 一个安全区域的网络***和入击行为。从防火墙的定义中可以看出防火墙是基于安 全区域的，其它厂商（Cisco,Juniper 等）都是有这个概念的。 什么是安全区域呢？ 安全区域（Security Zone），也称为区域（Zone），是一个逻辑概念，用于管理 防火墙设备上安全需求相同的多个接口，也就是说它是一个或多个接口的集合。 管理员将安全需求相同的接口进行分类，并划分到不同的安全域，能够实现安全策 略的统一管理。 讲
防火墙NAT之源/目地址，源地址转换（地址池），pat，no-pat
u013434525的博客
12-07 1149
如何实现PC5能ping通PC4?ip address-set搞出来的是object，可以在对象-地址看到而NAT的”地址组”在网页模式下，只能在这里看到section只能配连续的地址段！这里显示两个一样的，是因为我只配了一个！

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值