Linux防火墙配置练习题

iptables练习题：
1、iptables有几个表以及每个表有几个链

5个表：filter,nat,mangle,raw,security
5个链：PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

2、iptables的几个表以及每个表对应链的作用,对应企业应用场景

====================作用====================
filter表：过滤包
nat表：网络地址转换、端口映射
mangle表：用于对特定数据包的修改
raw表：有限级最高，不让iptables做数据包的链接跟踪处理，提高性能
security表：用于强制访问控制(MAC）的网络规划

PREROUTING链：数据包进入路由表之前
INPUT链：通过路由表之后目的地为本机
FORWARD链：通过路由表后，目的地不为本机
OUTPUT链：由本机产生，向外转发
POSTROUTING链：发送到网卡接口之前

====================场景====================
filter表是实现本机防火墙功能的重要手段，特别是对INPUT链的控制。
nat表一般用于局域网共享上网或特殊的端口转换服务。
mangle表、raw表和security表都不常用。

3、请写出查看iptables当前所有规则的命令

iptables -nvL -t nat  //查看nat表的所有规则

4、禁止来自192.168.100.20 ip地址访问80端口的请求

iptables -A INPUT -p tcp -s 192.168.100.20 --dport 80 -j DROP

5、实现把访问192.168.100.20:80的请 求转到192.168.100.30:80

iptables -t nat -A PREROUTING -d 192.168.100.20 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.30:80

6、写一个防火墙配置脚本,只允许远程主机访问本机的80端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -j DROP

7、限制客户端对本机telnet服务并发连接数小于等于3

iptables -A INPUT -d 192.168.117.14 -p tcp --dport 23 -m connlimit --connlimit-upto 3 -j ACCEPT

8、仅允许周1、3、5 , 8点到18点访问本机telnet

iptables -I INPUT -d 192.168.117.14 -p tcp --dport 23 -m time --timestart 8:00:00 --timestop 18:00:00 --weekdays Mon,Sat,Fri -j ACCEPT

9、iptables只开启ssh、 web、telnet访问

iptables -A INPUT -p tcp -m multiport --dports 22,23,80 -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --sports 22,23,80 -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

10、指定ip地址范围(192.168.117.14-192.168.117.16)可以访问本机mysql

iptables -A INPUT -p tcp --dport 3306 -m iprange --src-range 192.168.117.14-192.168.117.16 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 3306 -m iprange --dst-range 192.168.117.14-192.168.117.16 -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

Firewalld练习题：
练习题:
1.默认public区域对外开放所有人能通过ssh服务连接,但拒绝192.168.200.0/24网段通过ssh连接服务器。

firewall-cmd --add-rich-rule='rule family=ipv4 source address="192.168.200.0/24" service name="ssh" drop'

2.使Firewalld允许所有人能访问http,nginx服务,但只有192.168.100.10主机可以访问ssh服务。

firewall-cmd --add-service={http,nginx}
firewall-cmd --add-rich-rule='rule family=ipv4 source address="192.168.100.10/32" service name=ssh accept'

3.当用户来源IP地址是192.168.100.20主机,则将用户请求的5555端口转发至后端192.168.100.10的22端口。

firewall-cmd --add-rich-rule='rule family=ipv4 source address="192.168.100.20" forward-port port="5555" protocol="tcp" to-port="22" to-addr="192.168.100.10"'

4.将tcp协议端口3300-3400添加到external区域。

firewall-cmd --zone=external --add-port={3300,3400}/tcp

5.查询internal区域中是否包含接口ens33。

firewall-cmd --zone=internal --query-interface=ens33

6.为internal区域删除绑定的网络接口ens33。

firewall-cmd --zone=internal --remove-interface=ens33

7.查询internal区域中是否启用了SSH服务。

firewall-cmd --zone=internal --query-service=ssh

8.为internal区域设置允许访问SSH服务。

firewall-cmd --zone=internal --add-service=ssh

iptables练习题：
1.INPUT和OUTPUT默认策略为DROP；

iptables -P INPUT DROP
iptables -P OUTPUT DROP

2.限制本地主机的web服务器在周二、周五不允许访问；新请求的速率不能超过150个每秒；web服务器包含了demo字符串的页面不允许访问；web服务器仅允许响应报文离开本机；

iptables -A INPUT -d 192.168.117.14 -p tcp --dport 80 -m limit --limit 150/second -m time --weekdays Tue,Fri -j REJECT
iptables -A OUTPUT -d 192.168.117.14 -p tcp --dport 80 -m string --string "demo" --algo kmp -j REJECT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

3.在工作时间，即周一到周五的8:30-18:00，开放本机的samba服务共享的目录给192.168.100.20网络中的主机访问；数据访问次数每分钟不得超过20个；

iptables -A INPUT -s 192.168.117.14 -m time --timestart 08:30:00 --timestop 18:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m limit --limit 20/minute -j ACCEPT
setsebool -P samba_enable_home_dirs on

4.开放本机的ssh服务给192.168.100.9-192.168.100.155中的主机，新请求建立的速率一分钟不得超过3个；仅允许响应报文通过其服务端口离开本机；

iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 192.168.100.9-192.168.100.155 -m limit --limit 3/minute -m recent --set --name SSH

5.定制源地址访问策略：
1)接收来自192.168.100.30的IP访问；
2)拒绝来自192.168.200.0/24网段的访问

1) iptables -A INPUT -s 192.168.100.30 -j ACCEPT
2) iptables -A INPUT -s 192.168.200.0/24 -j DROP

6.目标地址192.168.100.20的访问给予记录,并查看/var/log/message

iptables -A INPUT -s 192.168.100.20 -j LOG

7.定制端口访问策略：
1)拒绝任何地址访问本机的8081端口；
2)拒绝192.168.200.0/24网段的1024-65534的源端口访问SSH

1) iptables -A INPUT -p tcp --dport 8081 -j DROP
2) iptables -A INPUT -s 192.168.200.0/24 -p tcp --sport 1024:65534 --dport 22 -j DROP

8.定制防火墙的MAC地址访问策略：
1)清除所以已经存的规则；
2)将INPUT设为DROP;
3)将目标计算机192.168.100.30的MAC（00:0c:29:52:42:6f）设为ACCEPT

1) iptables -F
2) iptables -P INPUT DROP
3) iptables -A INPUT -m mac --mac-source 00:0c:29:52:42:6f -j ACCEPT

9.定制防火墙的NAT访问策略：
1)清除所有NAT策略；
2)重置ip_forward为1；
3)通过SNAT设定来源于192.168.100.20网段通过ens33转发出去；
4)用iptables观察转发的数据包。

1) iptables -F -t nat
2) echo "1" > /proc/sys/net/ipv4/ip_forward
3) iptables -t nat -A POSTROUTING -o ens33 -j SNAT --to 192.168.100.20
4) iptables -nvL -t nat

10.端口转发访问策略:
1)清除所有NAT策略；
2)重置ip_forward为1；
3)通过DNAT设定为所有访问192.168.100.30的22端口，都访问到192.168.100.20的22端口；
4)设定所有到192.168.100.20的22端口的数据包都通过FORWARD转发；
5)设定回应数据包,即通过NAT的POSTROUTING设定,使通讯正常。

1) iptables -F -t nat
2) echo "1" > /proc/sys/net/ipv4/ip_forward
3) iptables -t nat -A PREROUTING -d 192.168.100.30 -p tcp --dport 22 -j DNAT --to-destination 192.168.100.20:22
4) iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
5）iptables -t nat -A POSTROUTING -p tcp --dport 22 -j MASQUERADE

Firewalld练习题：
1.配置防火墙规则允许192.168.100.0/24 网段的用户对controller和compute进行ssh访问;禁止192.168.200.0/24 网段的用户对controller和compute进行ssh访问.

firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.100.0/24" service name="ssh" accept'
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.200.0/24" service name="ssh" reject'

2.配置端口转发在controller和compute配置端口转发，要求：在192.168.200.0/24网段中的主机，访问server的本地端口5321将被转发到80端口此设置必须永久有效、设置开机启动防火墙.

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.200.0/24" forward-port port="5321" protocol="tcp" to-port="80"'
systemctl enable firewalld

3.开启80端口,查看80端口状态；

firewall-cmd --add-port=80/tcp
firewall-cmd --list-ports

4.允许来自主机 192.168.100.20 的80 端口的 IPv4 的 TCP 流量，并将流量转发到 6532 端口上；

firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.100.20" forward-port port="80" protocol="tcp" to-port="6532"'

5.每分钟允许2个新连接访问ftp服务；

firewall-cmd --add-rich-rule='rule service name="ftp" limit value="2/m" audit accept'

6.修改默认区域为home，并添加接口ens33到当前默认区域下，查询出结果；

firewall-cmd --set-default-zone=home
firewall-cmd --add-interface=ens33
firewall-cmd --get-zone-of-interface ens33

7.放开ssh服务，并限制只有192.168.100.30可以访问3306端口；

firewall-cmd --add-service=ssh
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.100.30" port protocol="tcp" port="3306" accept'

8.增加666端口到public域上，并查询结果；

firewall-cmd --zone=public --add-port=666/tcp
firewall-cmd --zone=public --list-port

9.将tcp协议1000-8888端口，添加到home区域下；并添加192.168.100.0/24网段到home区域；

firewall-cmd --zone=home --add-port="1000-8888/tcp"
firewall-cmd --zone=home --add-source="192.168.100.0/24"

10.修改home区域绑定的网卡接口，将它绑定到internal区域，并查询接口所在区域结果；

firewall-cmd --zone=internal --change-interface=ens33
firewall-cmd --zone=internal --query-interface=ens33