Linux系统安全：安全技术和防火墙

一、安全技术

1、安全技术

2、防火墙分类

二、防火墙

1、iptables五表五链

2、黑白名单

3、iptables基本语法

4、iptables选项

5、控制类型

6、隐藏扩展模块

7、显示扩展模块

8、iptables规则保存

9、自定义链使用

---

一、安全技术

1、安全技术

• 入侵检测系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定位来自内外网络的威胁情况，主要以提供报警和事后监督为主，提供有针对性的指导措施和安全决策依据,类 似于监控系统一般采用旁路部署（默默的看着你）方式。

• 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断，在判定为攻击行为后立即予以 阻断，主动而有效的保护网络的安全，一般采用在线部署方式。（必经之路）

• 防火墙（ FireWall ）：隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默 认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中.

此外还有防水墙。

广泛意义上的防水墙：防水墙（Waterwall），与防火墙相对，是一种防止内部信息泄漏的安全产品。 网络、外设接口、存储介质和打印机构成信息泄漏的全部途径。防水墙针对这四种泄密途径，在事前、事 中、事后进行全面防护。其与防病毒产品、外部安全产品一起构成完整的网络安全体系。

2、防火墙分类

按保护范围划分：

• 主机防火墙：服务范围为当前一台主机

• 网络防火墙：服务范围为防火墙一侧的局域网

按实现方式划分:

• 硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现，如：华为， 山石hillstone,天融信，启明星辰，绿盟，深信服, PaloAlto , fortinet, Cisco, Checkpoint， NetScreen(Juniper2004年40亿美元收购)等

• 软件防火墙：运行于通用硬件平台之上的防火墙的应用软件，Windows 防火墙 ISA --> Forefront

按网络协议划分：

• 网络层防火墙：OSI模型下四层，又称为包过滤防火墙

• 应用层防火墙/代理服务器：proxy 代理网关，OSI模型七层

包过滤防火墙

网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制列表（ACL），通过检查数据流中每个数据的源地址，目的地址，所用端口号和协议状态等因素，或他们的组合来确定是否 允许该数据包通过

优点：对用户来说透明，处理速度快且易于维护缺点：无法检查应用层数据，如病毒等

缺点：无法检查应用层数据，如病毒等

应用层防火墙

应用层防火墙/代理服务型防火墙，也称为代理服务器（Proxy Server)

将所有跨越防火墙的网络通信链路分为两段

内外网用户的访问都是通过代理服务器上的“链接”来实现优点：在应用层对数据进行检查，比较安全

缺点：增加防火墙的负载

生产环境中所使用的防火墙一般都是二者结合体，即先检查网络数据，通过之后再送到应用 层去检查

二、防火墙

1. iptables五表五链

五表

• filter：过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表

• nat：network address translation 地址转换规则表

• mangle：修改数据标记位规则表

• raw：关闭启用的连接跟踪机制，加快封包穿越防火墙速度

• security：用于强制访问控制（MAC）网络规则，由Linux安全模块（如SELinux)实现 不管

五链

INPUT: 处理入站数据包，匹配目标IP为本机的数据包。

• OUTPUT: 处理出站数据包，一般不在此链上做配置。

• FORWARD: 处理转发数据包，匹配流经本机的数据包。

• PREROUTING链: 在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。

• POSTROUTING链: 在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

2、黑白名单

①黑名单：默认全部允许通过，添加谁才不允许谁通过。

②白名单：默认全部不允许通过，添加谁允许谁通过。

3、iptables基本语法

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

4、iptables选项

其中，表名、链名用来指定 iptables 命令所操作的表和链，未指定表名时将默认使用 filter 表；

管理选项:表示iptables规则的操作方式，如插入、增加、删除、查看等；

匹配条件:用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理；

控制类型指的是数据包的处理方式，如允许、拒绝、丢弃等。

**注意事项**：

不指定表名时，默认指filter表

不指定链名时，默认指表内的所有链

除非设置链的默认策略，否则必须指定匹配条件

选项、链名、控制类型使用大写字母，其余均为小写

5、控制类型

- ACCEPT：允许数据包通过。

- DROP：直接丢弃数据包，不给出任何回 应信息。

- REJECT：拒绝数据包通过，必要时会给数据发送端一个响应信息。

- LOG：在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条规则。

- SNAT:修改数据包的源地址。

- DNAT:修改数据包的目的地址。

- MASQUERADE:伪装成一个非固定公网IP地址。

管理选项	用法示例
-A	在指定链末尾追加一条 iptables -A INPUT （操作）
-I	在指定链中插入一条新的，未指定序号默认作为第一条 iptables -I INPUT （操作）
-P	指定默认规则 iptables -P OUTPUT ACCEPT （操作）
-D	删除 iptables -t nat -D INPUT 2 （操作）
-p	服务名称
-R	修改、替换某一条规则 iptables -t nat -R INPUT （操作）
-L	查看 iptables -t nat -L （查看）
-n	所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名） iptables -L -n,iptables -nL,iptables -vnL （查看）
-v	查看时显示更详细信息，常跟-L一起使用 （查看）
--line-number	规则带编号 iptables -t nat -L -n --line-number /iptables -t nat -L --line-number
-F	清除链中所有规则 iptables -F （操作）
-X	清空自定义链的规则，不影响其他链 iptables -X
-Z	清空链的计数器（匹配到的数据包的大小和总和）iptables -Z
-S	看链的所有规则或者某个链的规则/某个具体规则后面跟编号

-A 在链的末尾追加一条规则。

-I 在链的行首插入一条新的规则，若-I 后加数字表示在第几条前插入新规则。

-D 删除规则。

-P 修改默认链的默认规则，默认都是ACCEPT，使用格式：iptables -P 修改的链 修改的默认规则。

-F 清空防火墙规则，默认情况filter表，加-t 表名可以情况其他表。

-R 替换某条规则，-R +要替换的规则编号。

-L 以列表查看iptables，使用组合时必须在最后一位。

-N 添加自定义规则链。

-X 删除自定义规则链。

-p 指定服务名称，TCP、ICMP等。

-n 数字化显示规则表，多用于和-n -L选项配合看表。

-v 显示规则表的详细信息。

--line--numbers 查看规则编号。

6、隐藏扩展模块

iptables在使用-p 指定协议时，若指明特定协议后就无须再使用-m指明扩展模块的扩展机制，例如若已经指明是 -p tcp 协议则使用--dport及--sport等tcp模块内容时即可省略-m tcp。

①TCP模块

--sport 指明源端口，使用格式： --sport 端口或 端口1：端口2(端口1到端口2的连续端口范围指定)。

-dport 指明目的端口，使用格式： --dport 端口或 端口1：端口2(端口1到端口2的连续端口范围指定)。

②ICMP模块

--icmp-type 指定icmp的type值制定规则。type值：Echo- Request" (代码为8)、表示请求 "Echo- Reply" (代码为0)表示回复 、"Dest ination-Unreachable" (代码为3)表示目标不可达。

例如设置自己可以ping其他机器但是不允许其他机器ping自己。

7、显示扩展模块

扩展模块使用格式： -m {模块名} [选项]

①multiport模块

--sports 端口1，端口2 ,等 使用，隔开最多指定15个不连续端口。

--dports 端口1，端口2 ,等 使用，隔开最多指定15个不连续端口。

② iprange模块

iprange模块可以指定连续的(一般不是整个网络)ip地址范围。

--src-range 源地址范围或 目的地址范围，例如：10.0.0.0-10.0.0.15。

--dst-range 源地址范围或 目的地址范围，例如：10.0.0.0-10.0.0.15。

③mac地址模块

指明源MAC地址，适用INPUT链，PREOUTING，POSTROUTING链。

--mac-source 源mac地址，只能指定源mac地址。

④string字符串模块

可以使用string模块指定字符串范围。

--from offset 字符串开始查询的地方。

--to offset 字符串结束查询的地方 。

例如：iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62 --string "bilibili" -j REJECT

⑤connlimit模块

据每客户端IP做并发连接数数量匹配，可防止Dos(Denial of Service，拒绝服务)攻击。

--connlimit-upto N #连接的数量小于等于N时匹配

--connlimit-above N #连接的数量大于N时匹配

例如：iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT

⑥stat模块

stat模块可以根据连接状态控制数据包。

NEW：新发出的请求；第一次发出的请求。

ESTABLISHED：new之后的正常连接状态。

例如：ipatables -A INPUT -m state --state NEW -j REJECT

ipatables -A INPUT -m state --state ESTABLISHED -j ACCEPT

⑦控制流量模块

limit控制流量模块，可以控制通过的包数以及每分钟或每小时通过的包数。

--limit 10/minute(1分钟之内只允许10个包通过)

--limit-burs 数字 例如： --limit-burst 5(允许通过前5个包，5个包不受影响)

8、iptables规则保存

将写好的规则导入一个文件中 iptables-save >文件名。

永久保存保存规则的文件重新写入 iptables-restore <保存规则的文件名。

9、自定义链使用

①自定义链添加：iptables -N web(链名) 创建链

②自定义链改名：iptabels -E web(原来名称) (新名称) 自定义链改名

③创建自定义链规则：iptables -t filter -I web -p icmp -j REJECT 创建自定义规则,iptables的链中添加一条对应到自定义链中才能生效

④iptabales创建对应链规则然后跳转自定义链web：iptables -t filter -I INPUT -p icmp -j web

⑤删除自定义规则链：先删除iptables INPUT链中的对应关系，然后删除自定义链中的规则。