iptables防火墙的基本知识和一些操作

最新推荐文章于 2024-02-18 18:33:36 发布

清风一徐

最新推荐文章于 2024-02-18 18:33:36 发布

阅读量553

点赞数 3

文章标签：网络 linux ip 安全

本文链接：https://blog.csdn.net/qq_59634082/article/details/128800628

版权

我们需要学习到：封端口，封ip，实现nat功能，如共享上网，端口映射，ip映射

常见的硬件防火墙种类：

1、三层路由：H3c 华为思科

2、防火墙：深信服

常见的软件防火墙种类：

1、iptables，被写到内核中，以后服务docker 工作在4层

2、firewalld centos7操作系统

3、nftalbes centos8操作系统

4、ufw ubuntu操作系统

云服务器的防火墙：

安全组（封ip 端口处理不了七层）阿里云的

waf防火墙 应用防火墙处理7层攻击 sql注入

基本组成：

4表（table）：存放链的容器，防火墙最大概念 filter nat mangle raw

raw:对数据包进行状态跟踪，策略只能加在PRERUTING和OUTPUT

mangle：为数据包设置标记，在任何链中可以做（优先级）

filter：控制数据包是否允许进出及转发，ip，端口在INPUT OUTPUT

nat：控制数据包中地址转换，转发在PEREROUTING、POSTROUTING、FORWARD

5链（chain）：存放规则的容器

INPUT（入站数据过滤）：处理来自外部的数据

OUTPUT（出站数据过滤）：处理向外发送的数据。

FORWARD（转发数据过滤）：将数据转发到本机的其他网卡设备上。

PREROUTING（路由前过滤）：– 处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标IP地址，通常用于DNAT。

POSTROUTING（路由后过滤）： – 处理即将离开本机的数据包。它会转换数据包中的源IP地址，通常用于SNAT。

规则（policy）：准许/拒绝规则，各种防火墙规则生效顺序从第一条开始匹配

注意事项

基本语法

查看规则：iptables -t filter -L

iptables -t [表名] 选项 [链名] [条件] [-j 控制类型]，如：

iptables -t filter -A INPUT -j DROP -p tcp --dport 8080 （目的地址8080）

iptables -t filter -A INPUT -s 192.168.0.11 -j DROP

iptables -t filter -I INPUT -p icmp -j REJECT 阻止ping测试

在修改规则时需要使用-R参数。

iptables -t filter -R INPUT 3（规则的编号） -s 192.168.0.12 -j DROP

iptables -t filter -A OUTPUT -j DROP -p tcp --d 192.168.0.144 往目的地址得包都被丢弃了

删除规则

iptables -D INPUT 6 -s 194.168.1.5 -j ACCEPT

iptables -D INPUT 6

指定条数在INPUT后加数字也可以用iptables -i 直接插在第一个

默认策略：

nat表：工作在网络层

iptables -t nat -A PREROUTING -p tcp --dport 7788 -j DNAT（对目的地址进行转换） --to 192.168.0.11:7799

iptables -t nat -A POSTROUTING -p tcp -d 192.168.0.11 --dport 7799 -j SNAT（对源地址进行转换） --to 192.168.0.12

伪装：iptables -t nat -A POST -s 192.168.0.11 -o ens37 -j MASQUERADE

意义是：将从网卡出去的流量伪装成网卡ip，其实就是源地址转换

iptables -t nat -A PEREROUTING -d 200.0.0.1 -dport 22 -j DNAT --to 192.168.0.11:22 最终ssh登录的不是本机，因为在pere链上已经转换

2. 设置默认的 chain 策略

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT DROP

删除所有现有规则

iptables -F

Linux防火墙过滤框架

iptables-save命令

iptables-save 命令用来批量导出 Linux 防火墙规则，语法介绍如下：

保存在默认文件夹中（保存防火墙规则）： iptables-save > /etc/sysconfig/iptables

iptables-restore 命令可以批量导入Linux防火墙规则，同时也需要结合重定向输入来指定备份文件的位置。命令如下：

iptables-restore < 文件名称但是文件必须是save保存出来的

匹配条件

连续的端口可以用冒号连接，不连续的就要调用显式模块了

本机可以访问其他主机的tcp服务：如果全允许太多了

iptables -A INPUT -p tcp -m state --state ESTABLISHED(已建立连接) -j ACCRPT

iptables 的四种状态

NEW状态：主机连接目标主机，在目标主机上看到的第一个想要连接的包
ESTABLISHED状态：主机已与目标主机进行通信，判断标准只要目标主机回应了第一个包，就进入该状态。
RELATED状态：主机已与目标主机进行通信，目标主机发起新的链接方式，例如ftp
INVALID状态：无效的封包，例如数据破损的封包状态

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited
第二条规则的含义其实是：调用状态模块，匹配当状态为RELATED和ESTABLISHED的所有数据包通过，换句话说就是允许所有已经建立的连接，表现为本机可以ping其他主机，但是其他主机无法ping本机，只接受自己发出去的响应包，这是万能的一句话，允许所有自己发出去的包进来。后面跟具体规则
第三条规则的含义其实是：依据第二条来的，所有不满足第二条规则的，都会被拒绝，而且会给主机返回一个host-prohibited的消息。需要注意的则是，所有位于第三条规则之下的规则都无法生效，位于该规则之上的都会生效

小练习：假设内网主机为192.168.1.2 外网为200.0.0.2 防火墙两个网卡 192.168.1.1 和200.0.0.1，先把默认策略调成DROP