linux中的火墙策略优化

最新推荐文章于 2024-07-04 17:55:47 发布
最新推荐文章于 2024-07-04 17:55:47 发布
阅读量539 收藏 1
点赞数 1
分类专栏： RH135 文章标签： linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/shanshuyue/article/details/114150837
版权

环境：三台主机，一台双网卡172网段和192网段，一台单网卡192网段，一台单网卡172网段，互相可以ping通

1、火墙介绍
netfilter：内核上有个安全插件netfilter(访问控制列表)，这个列表里有许多详细的规则，当对这个规则允许或拒绝时，可以控制其他主机是否能访问，极大的提高了安全性。
iptables：管理netfilter的工具，通过iptables往netfilter表格里面写网络安全策略
iptables / firewalld：对iptables进行管理，用iptables / firewalld手段来写网络安全策略。

用iptables / firewalld这两个上层的管理工具去管理iptables，往iptables写网络安全策略时，iptables会把策略通过netfilter存在控制表格里。

2、火墙的工具切换
在rhel8中默认使用的是firewalld

iptables #用来管理内核是它的插件，只可开启一个
#可用iptables和firewalld来管理

firewalld--------->iptables #切换
systemctl disable --now firewalld
systemctl mask firewalld #锁上
在这里插入图片描述
dnf install iptables-services -y #安装iptables插件
在这里插入图片描述
systemctl enable --now iptables
在这里插入图片描述
iptables -nL #查看iptables策略
在这里插入图片描述

iptables------->firewalld
systemctl stop iptables
在这里插入图片描述
systemctl disable iptables
systemctl mask iptables
在这里插入图片描述
systemctl unmask firewalld #解锁
在这里插入图片描述
systemctl enable --now firewalld
firewall-cmd --list-all #查看firewalld策略
在这里插入图片描述

3、firewalld的使用

firewalld的开启

systemctl stop iptables
systemctl disable iptables
systemctl mask iptables

systemctl unmask firewalld
systemctl enable --now firewalld

关于firewalld的域

trusted #接受所有的网络连接
home #用于家庭网络，允许接受ssh mdns ipp-client samba-client dhcp-client
work #工作网络 ssh dhcp-client ipp-client
public #公共网络 ssh dhcp-client
dmz #军级网络 ssh
block #拒绝所有
drop #丢弃 所有数据全部丢弃无任何回复
internal #内部网络 ssh mdns ipp-client samba-client dhcp-client
external #ipv4网络地址伪装转发 sshd

关于firewalld的设定原理及数据存储

/etc/firewalld #火墙配置目录
在这里插入图片描述
/lib/firewalld #火墙模块目录

firewalld的管理命令

firewall-cmd --state #查看火墙的状态
firewall-cmd --get-active-zones #查看当前火墙中生效的域
firewall-cmd --get-default-zone #查看默认域
在这里插入图片描述
firewall-cmd --list-all-zones #查看所有的域
在这里插入图片描述
firewall-cmd --list-all #查看默认域中的火墙策略
firewall-cmd --list-all --zone=work #查看指定域中的火墙策略
firewall-cmd --set-default-zone=trusted #设定默认域
在这里插入图片描述
firewall-cmd --get-zones
在这里插入图片描述
firewall-cmd --get-services #查看所有可以设定的服务
firewall-cmd --permanent --remove-service=cockpit #移除服务
firewall-cmd --reload
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block #指定数据来源访问域

systemctl enable --now firewalld #开启防火墙
firewall-cmd --get-services | grep http #在防火墙所有服务中筛选http
在这里插入图片描述
firewall-cmd --permanent --remove-sercive=http #永久移除http服务
在这里插入图片描述

firewall-cmd --add-service=http #临时添加http服务，reload之后仍没有
在这里插入图片描述
在这里插入图片描述
firewall-cmd --permanent --add-service=http #永久添加http服务
在这里插入图片描述
vim /etc/httpd/conf/httpd.conf #编辑http的配置文件，将端口号改为8080
systemctl restart httpd #重启
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
firewall-cmd --permanent --add-port=8080/tcp #永久增加8080端口的开放
在这里插入图片描述
此时才可通过8080端口访问到apache界面

firewall-cmd --permanent --remove-port=8080/tcp #永久移除8080端口的开放
在这里插入图片描述
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block #将172网段的主机加入黑名单
在这里插入图片描述
在这里插入图片描述

执行完毕之后，172网段的主机将无法访问双网卡主机的172，但192网段的主机可以访问双网卡主机的192
在这里插入图片描述
在这里插入图片描述
firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block #在黑名单中将172网段的主机移除
firewall-cmd --reload
firewall-cmd --list-all --zone=block #展示block域的所有内容
在这里插入图片描述
执行完毕之后，172网段的主机将可以访问双网卡主机的172
在这里插入图片描述

firewall-cmd --permanent --remove-service=http
在这里插入图片描述
firewall-cmd --permanent --remove-interface=ens192 --zone=public #将网卡ens192移除public域
在这里插入图片描述
在这里插入图片描述
firewall-cmd --permanent --add-interface=ens192 --zone=trusted #将网卡ens192添加到trusted域
在这里插入图片描述
firewall-cmd --reload
firewall-cmd --list-all --zone=trusted #展示trusted域中所有的内容
在这里插入图片描述
此时，apache虽然已经关闭，但172网段的主机将可以访问双网卡主机的172
在这里插入图片描述
firewall-cmd --permanent --change-interface=ens192 --zone=public #更改ens192的域为public
在这里插入图片描述
firewall高级规则

目的：让172.25.254.216主机无法访问
服务端（双网卡主机端）：
firewall-cmd --permanent --add-service=http #开启apache服务
在这里插入图片描述
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p tcp --dport 80 -s 172.25.254.216 -j REJECT
#添加防火墙规则：input 指定操作
-p 协议
-d 端口
-s ip
-j 拒绝
firewall-cmd --reload
firewall-cmd --direct --get-all-rules #查看所有防火墙规则
在这里插入图片描述
测试：
单网卡172网段的主机ip为172.25.254.216时无法访问
在这里插入图片描述
在这里插入图片描述
firewalld中的NAT转换
在这里插入图片描述
在这里插入图片描述

服务端（双网卡主机）：
SNAT（源地址转换）
IP为172.25.254.113和192.168.1.116
在这里插入图片描述
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload
在这里插入图片描述
sysctl -a | grep ip_forward #可观察到net.ipv4.ip_forward = 1，若没有，vim /etc/sysctl.conf，在最后一行添加net.ipv4.ip_forward=1（1前后无空格）
在这里插入图片描述
客户端：
单网卡主机，ip为172.25.254.213
在这里插入图片描述
ip route add default via 172.25.254.113 #临时添加网关
在这里插入图片描述
ssh root@192.168.1.113
在这里插入图片描述
w -i #此时可以观察到进入主机192.168.1.113的是192.168.1.116
在这里插入图片描述
服务端（双网卡主机）：
DNAT（目的地地址转换）
firewall-cmd --permanent --add-forward-port=port=22:proto=tcp:toport=22:toaddr=192.168.1.113
#将连接此主机的客户机直接转接到192.168.1.113中
firewall-cmd --reload
在这里插入图片描述
客户端（单网卡网段为172的主机）：
ssh root@192.168.1.116 #此时可观察到虽然连接的是116，但最终连接到的是113
在这里插入图片描述
4、iptables的使用
systemctl disable --now firewalld
systemctl mask firewalld
dnf install iptables-services
systemctl enable --now iptables
在这里插入图片描述
iptables的策略记录文件：
/etc/sysconfig/iptables

永久保存策略
iptables -F #刷新
iptables-save > /etc/sysconfig/iptables
service iptables save
在这里插入图片描述
systemctl restart iptables.service
在这里插入图片描述

火墙的默认策略

默认策略中的五条链
input #输入
output #输出
forward #转发
postrouting #路由之后
prerouting #路由之前

默认的三张表
filter #经过本机内核的数据（input\output\forward)
nat #不经过内核的数据(postrouting\prerouting\input\output)
mangle #当filter和nat表不够使用时(input\output\forward\postrouting\prerouting)

iptables命令

-t	#指定表名称
-n	#不做解析
-L	#查看
-A	#添加策略
-P	#协议
--dport	#目的地端口
-s	#来源
-j      	#动作
	ACCEPT	#允许
	DROP	#丢弃
	REJECT	#拒绝
	SNAT	#源地址转换
	DNAT	#目的地地址转换
-N	#新建链
-E	#更改链名称
-X	#删除链
-D	#删除规则
-I	#插入规则
-R	#更改规则
-P	#更改默认规则

iptables -t nat -nL
iptables -t filter -nL
iptables -t mangle -nL
在这里插入图片描述
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
在这里插入图片描述
iptables -A INPUT -p tcp --dport 22 -j REJECT #策略每增加一个，下面多一个
在这里插入图片描述
##注意：火墙策略是一个匹配规则，如果第一项匹配到了就不读下面的了

iptables -I INPUT 2 -s 172.25.254.225 -p tcp --dport 22 -j REJECT
#在第二行插入
在这里插入图片描述
iptables -N WESTS #新建
在这里插入图片描述
iptables -E WESTS WESTOS #修改
在这里插入图片描述
iptables -X WESTOS #删除
在这里插入图片描述
iptables -D INPUT 3 #删除第三行策略
在这里插入图片描述
iptables -R INPUT 2 -s 172.25.254.100 -p tcp --dport 22 -j REJECT
#修改第二行策略
在这里插入图片描述
iptables -P INPUT DROP #修改默认为DROP
在这里插入图片描述

tcp 端口
80 #httpd
3260 #iSCSI
139 #smb
445 #smb
22 #sshd

数据包状态

RELATED #建立过连接的
ESTABLISHED #正在连接的
NEW #新的

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #建立过连接的，正在连接的，都允许
iptables -A INPUT -m state --state NEW -i lo -j ACCEPT #新的回环接口允许
iptables -A INPUT -m state --state NEW -p tcp --dport 3260 -j ACCEPT #iscsi允许
iptables -A INPUT -m state --state NEW -p tcp --dport 139 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 445 -j ACCEPT #smb允许
iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT #sshd允许
iptables -A INPUT -m state --state NEW -j REJECT #其余的都拒绝
在这里插入图片描述
在这里插入图片描述
iptables中的NAT
在这里插入图片描述
服务端（双网卡）：
SNAT（源地址转换）
iptables -t nat -A POSTROUTING -o ens192 -j SNAT --to-source 192.168.1.113
#将这块网卡出去的ip都伪装成192.168.1.113上出去的
DNAT(目的地地址转化）
iptables -t nat -A PRSTROUTING -i ens192 -j DNAT --to-dest 172.25.254.213
#访问这块网卡的所有数据都转到172.25.254.213
在这里插入图片描述
客户端（172网段主机）：
在这里插入图片描述
（192网段主机）
在这里插入图片描述
iptables -t nat -D PREROUTING 1 #删除PRSTROUTING的第一行

陈陈的糖罐子
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux的火墙策略优化
weixin_43803940的博客
08-08 400
实验环境准备 westosa： 双网卡(vim 两个文件 ifcfg-ens3 ifcfg-ens9) 设定两个网段： 网卡1：172.25.254.112 网卡2：1.1.1.112 westosb: 单网卡：1.1.1.212 真机： 172.25.254.12 1.火墙介绍 火墙：在内核上安装的一个数据过滤表(数据过滤插件)——netfilter，管理策略。 通过iptables或firewalld来管理iptables这个插件 1.netfilter 2.iptabl...
3.7 linux中火墙的策略优化
WHDCCDJA的博客
08-12 296
什么是防火墙？ 防火墙是位于内部网和外部网之间的屏障，其作用是保护服务器安全。
linux:systemctl服务控制以及安全开关(firewalld、SELinux)
idhfufh的博客
04-16 1253
--systemctl、系统控制器，用来管理Linux系统的开机/关机服务资源运行状态 --直接执行systemctl列出可以管理的系统资源，包括各种系统服务 --控制服务当前运行状态：systemct start(启动服务)|stop(停止服务)|restart(重启服务器，先关闭后启动)|status(查看服务的状态) 服务名 ... ... (操作多个服务) --控制服务开机自启状态：systemctl enable(开机自启)|disable(开机不自启) [--now](可选的，立即启动)
Linux系统工程师3--7.Linux的火墙优化策略
yjy11223的博客
08-12 296
1.火墙介绍 1.netfilter 2.iptables 3.iptables | firewalld #iptables firewalld 同时只能用一个 2.火墙管理工具切换 在rhel8中默认使用的是firewalld firewalld----->iptables #firewalld切换为iptables dnf install iptables-services ...
防火墙firewall和iptables的使用 —— Linux系统
最新发布
小蜜蜂vs码农
07-04 283
Linux系统下防火墙的开启关闭配置方式
linux防火墙服务,CentOS 7防火墙服务FirewallD指南
weixin_34561373的博客
05-11 493
防火墙是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。防火墙通常工作在网络层，也即IPv4或IPv6的IP包上。是否允许包通过防火墙，取决于防火墙配置的规则。这些规则既可以是内建的，也可以是用户自定义的。每一个包要进出防火墙，均需要满足防火墙配置的规则。每一条规则均有一个目标动作，具有相同动作的规则可以分组在一起。对于Linux系...
CentOS 7开机启动过程，引导和服务，密码的修改
2301_78327423的博客
04-13 1562
把grub.cfg从/boot/grub2/grub.cfg移动到/data/下重启，在读条0.5秒内按esc键，选择第三个进入光驱里面。选第三个急救模式，选择第二个进入光驱模式，输入1 continuechroot /mnt/sysimage #有提示，根被挂载到mnt下了，切换到自己的根。进入急救模式后，更改环境ls /data 发现有grub.cfg。可以直接复制过去到/boot/grub2/grub.cfg也可以用命令生成它。这里用以下两条命令生成。
二进制方式安装高可用Kubernetes
weixin_42008170的博客
07-25 169
Kube-APIServer：集群的控制中枢，各个模块之间信息交互都需要经过Kube-APIServer，同时它也是集群管理、资源配置、整个集群安全机制的入口。Controller-Manager：集群的状态管理器，保证Pod或其他资源达到期望值，也是需要和APIServer进行通信，在需要的时候创建、更新或删除它所管理的资源。Scheduler：集群的调度中心，它会根据指定的一系列条件，选择一个或一批最佳的节点，然后部署我们的Pod。
Linux中的火墙策略优化
Morganite的博客
11-18 1180
一、火墙介绍 1.netfilter 2.iptables 3.iptables|firewalld 二、火墙管理工具切换 在rhel8中默认使用的是firewalld firewalld----->iptables [root@westoslinux ~]# systemctl disable --now firewalld Removed /etc/systemd/system/multi-user.target.wants/firewalld.service. Removed /etc
2.8 Linux的火墙策略优化
黑羽冰音的博客
03-02 211
FirewallD与iptables的操作方法,火墙三张表及其策略的管理.
设置Linux CentOS7 iptables防火墙设置
qq_39234840的博客
10-22 570
防火墙设置 查看防火墙状态 [root@centos6 ~]# service iptables status CentOS7默认的防火墙不是iptables，而是firewalld service firewalld status #停止firewalld服务 systemctl stop firewalld #禁用firewalld服务 syst...
服务器安全设置Centos7 防火墙firewall与iptables
网站安全专家
06-27 2122
一.>>>>>>启用centos7 iptables防火墙Centos7 防火墙firewall设置方法我们Sinesafe在处理客户服务器Linux Centos7 64位系统里配置防火墙安全设置需要选择2种方案其中之一,最后选择了iptables防火墙。因为在Centos 7版本里默认的防火墙是firewall,所以首先用firewall防火墙的话,下面就是...
Linux: FirewallD和Iptables防火墙 使用
冷冻工厂
10-05 204
不同的Linux发行版可以有不同的默认服务，例如：Ubuntu可以将iptables作为默认和预安装的服务，而CentOS可以将firewalld作为默认配置的服务来管理IP数据包的传入和传出。与这些配置相对应，firewallD 有两个目录，默认/后备目录（/usr/lib/firewall），丢失的系统会更新，系统配置（/etc/firewall）保持永久，并覆盖默认目录（如果给定）。在 Linux 中使用了许多不同类型的防火墙，但最标准的防火墙是 Iptables 和 Firewalld，这将在。
Firewalld 防火墙
luxunlx123的博客
08-14 318
############启用firewalld########## yum install -y firewalld firewall-config #安装防火墙和图形界面 systemctl start firewalld #启动防火墙 systemctl enable firewalld #开机自启动防火墙 systemctl disable firewalld #开机不自启防火...
使用systemctl enable --now xxx方式 enable并启动xxx服务
msdnchina的专栏@JiNan,ShanDong
06-04 7118
[root@dbserver ~]# systemctl status firewalld ● firewalld.service - firewalld - dynamic firewall daemon Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)...
Linux关闭防火墙命令
热门推荐
chengxuyuan316的博客
07-07 3万+
Linux关闭，打开防火墙
firewalld防DDOS攻击配置及模拟测试
zhangxm_qz的博客
08-05 1882
文章目录规则配置规则测试 规则配置 #firewall 接受 tcp syn 即rst 包的频率 限制 暂定 200/s 可根据实际测试结果和服务器配置进行调整 pak_num_limit=200 pak_limit_burst=600 #限制每个ip最大同时连接数 ip_max_conn_limit=2 #-Syn 洪水攻击(--limit 1/s 限制syn并发数每秒1次) # ipv4 echo 'add ipv4 syn limit .....' firewall-cmd --direct --p
linux系统中部署防火墙服务
hiro
05-21 4532
防火墙：一.图形化配置防火墙：firewall-config使用命令配置防火墙1. systemctl start firewalld    打开防火墙2. firewall-cmd --state         查看防火墙状态3. firewall-cmd --get-active-zones  查看正在使用的域4. firewall-cmd --get-default-zone   查看默认...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值