RH413企业安全加固 第16章 控制网络服务访问

第16章 控制网络服务访问

 

环境配置

1、RHEL6.4 SERVER 10.10.10.221

2、RHEL6.4 CLIENT 10.10.10.223

 

1、IPTABLES防火墙是基于GNU  +  LINUX AND KERNEL

2、IPTABLES 是写防火墙的一个工具

3、IPTABLES 是将防火墙写入到内存中的一种工具

4、Netfilter/IPTABLES 工作的位置

 

 

5、Netfilter/IPTABLES防火墙是基于OSI参考模型的2、3、4层插入策略的

6、Netfilter表和Netfilter链

 

 

7、Netfilter/IPTABLES防火墙主要分为3大功能表

1) filter表是对数据包做过滤的

2) Nat表是物理地址转换

3) Mangle表是数据包做修改

4) RAW表负责加快封包穿越防火墙机制的速度(注意：这个表用的比较少)

8、Netfilter链主要负责数据包在防火墙中的流向

9、使用IPTABLES命令查看规则

[root@teachers ~]# iptables -L --line-num

10、使用IPTABLES命令查看更详细信息(如：数据包过滤等)

[root@teachers ~]# iptables -L --line-num -vnZ

Chain INPUT (policy ACCEPT 6046 packets, 1629K bytes)

num   pkts bytes target     prot opt in     out     source               destination         

 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

num   pkts bytes target     prot opt in     out     source               destination         

 

Chain OUTPUT (policy ACCEPT 692 packets, 112K bytes)

num   pkts bytes target     prot opt in     out     source               destination         

Zeroing chain `INPUT'

Zeroing chain `FORWARD'

Zeroing chain `OUTPUT'

 

11、IPTABLES防火墙匹配的规则

1) 规则是至下而上的方式

2) 按照规定的顺序测试数据包

3) 可以匹配多个条件

4) 必须满足规则说明中的每个条件才算匹配(逻辑AND)

5) 没有匹配到规则则使用应用链策略

6) 规则一条条的被加入到INPUT链中

 

12、规则通常考虑的因素

1)写完规则后在关门

2)条件也适用于回送接口

3)和路由一样，规则被载入内存

4)不管在CHAIN之内有多少规则，默认策略永远在每一个链的底端。状态不是ACCEPT就是DROP

 

13、链操作

1) ACCEPT(默认，是内置目标)

2) DROP(内置目标)

3) REJECT(不允许，是扩展目标)

4) 清除某个链的所有规则“-F”

5) 把字节和数据包计数器重置为零“-Z”

6) 管理定制链“-Ｎ”“-X”，-N代表添加链 -X代表删除链

 

14、IPTABLES匹配的条件

1、流入、流出接口(“-i”，“-o”)   -i  eth0

2、来源、目的地址(“-s”，“-d”)

-s  192.168.1.0/24

-d www.abc.com

 

3、协议类型“-p” -p tcp udp icmp

4、来源、目的端口( --sport、--dport) 注意：“:”

--sport 1000 匹配源端口数据为1000的数据包

--sport 1000:3000 匹配源端口是1000-3000的数据包(包含1000、3000)

 

--sport:3000 匹配源端口是3000以下的数据包(包含3000)

--sport 1000: 匹配源端口是1000以上的数据包(包含1000)

 

5、IPTABLES匹配条件

   如果要否定策略条件可以在 “-s”前面加上一“！”。

 

6、练习

1)配置iptables

[root@student ~]# iptables -F ---清空链

[root@student ~]# iptables -L ---查看链

Chain INPUT (policy ACCEPT)

target     prot opt source               destination         

 

Chain FORWARD (policy ACCEPT)

target     prot opt source               destination         

 

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination 

 

2)SERVER端写入链

[root@student ~]# [root@teachers ~]# iptables -A INPUT -p tcp -s 10.10.10.0/24 --dport 21:22 -j ACCEPT

[root@teachers ~]# iptables -P INPUT DROP ---关闭链

[root@student ~]# service iptables save ---保存链

iptables: Saving firewall rules to /etc/sysconfig/iptables: [  OK  ]

 

3)保存的链的文件

[root@student ~]# cat /etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Wed Jan 27 08:16:08 2016

*filter

:INPUT ACCEPT [79:10396]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [33:3392]

-A INPUT -s 10.10.10.0/24 -p tcp -m tcp --dport 21 -j ACCEPT 

COMMIT

# Completed on Wed Jan 27 08:16:08 2016

 

4)CLIENT端配置

[root@student ~]# yum install ftp    --安装FTP工具

 

5)使用ftp工具匿名登录

[root@student ~]# ftp teachers

Connected to teachers (10.10.10.221).

220 (vsFTPd 2.2.2)

Name (teachers:root): ftp

331 Please specify the password.

Password:

230 Login successful.

Remote system type is UNIX.

Using binary mode to transfer files.

 

6)使用ls命令查看目录

ftp> ls

227 Entering Passive Mode (10,10,10,221,26,173).     

--被动模式(是由SERVER端发起的，被动模式使用的端口都是随机的)

 

7)连续跟踪

nf_conntrack_ftp

nf_conntrack_tftp

nf_nat_ftp

nf_nat_tftp

 

8)配置SERVER端下的/etc/sysconfig/iptables-config文件

IPTABLES_MODULES="Ip_conntrack_ftp"   ---将随机产生的端口告诉防火墙

 

9)在SERVER端清空链将INPUT打开ACCEPT

[root@teachers ~]# iptables -P INPUT ACCEPT

[root@teachers ~]# iptables -F

[root@teachers ~]# service iptables save

iptables: Saving firewall rules to /etc/sysconfig/iptables: [  OK  ]

 

10)在SERVER端开启回环链

[root@teachers ~]# iptables -A INPUT -i lo -j ACCEPT

[root@teachers ~]# iptables -A INPUT -m state --state INVALID -j REJECT   

--只要这个状态就不要了

[root@teachers ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

--直接将ESTABLISHED放开

[root@teachers ~]# iptables -A INPUT -m state --state NEW -s 10.10.10.0/24 -p tcp --dport 21:22 -j ACCEPT

--开启被动模式

[root@teachers ~]# iptables -A INPUT -j REJECT

--拒绝链

 

11)使用CLIENT端ftp链接SERVER端

[root@student ~]# ftp teachers

Connected to teachers (10.10.10.221).

220 (vsFTPd 2.2.2)

Name (teachers:root): ftp

331 Please specify the password.

Password:

230 Login successful.

Remote system type is UNIX.

Using binary mode to transfer files.

ftp> ls

227 Entering Passive Mode (10,10,10,221,161,27).

150 Here comes the directory listing.

drwxr-xr-x    2 0        0            4096 Feb 12  2013 pub

226 Directory send OK.

ftp> ls

227 Entering Passive Mode (10,10,10,221,132,15).

150 Here comes the directory listing.

drwxr-xr-x    2 0        0            4096 Feb 12  2013 pub

226 Directory send OK.

以上就是状态防火墙配置