基于linux下的iptables策略管理服务

最新推荐文章于 2024-10-21 15:36:17 发布
最新推荐文章于 2024-10-21 15:36:17 发布
阅读量1k 收藏 2
点赞数
分类专栏： 基础运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wangkana/article/details/80694027
版权

首先，请允许我先介绍一下什么是iptables?

iptables 并不是真正的防火墙，可以理解为一个客户端代理。用户通过iptables这个代理，将用户的安全设定执行到对应的“安全框架”（netfilter）.所以说，iptables其实是一个命令行工具，位于用户空间，我们用iptables操作整整的框架。
iptables是按照规则办事的，即rules，规则一般制订了源地址、目的地址、传输协议（tcp、udp）等。当数据包与规则匹配时，iptables就会根据定义的规则来处理数据包，如accept（接受）、reject（拒绝）、drop（丢弃）三种动作。

那我们如何利用iptables去配置防火墙，即添加、更改、删除规则呢？

//iptables后跟参数的含义：
iptables -nL     ##查看规则
iptables -F      ##清空规则
iptables -t      ##制定操作的表; iptables -nL -t nat //查看表nat的规则
iptables -P      ##默认规则
         -A      ##添加规则
         -I      ##插入，可以指定规则添加的位置
         -R      ##修改某条规则
         -n      ##表示不做解析
         -L      ##查看表的策略信息
         -p      ##制定某个协议（tcp、udp）
         -N      ##自动以添加链名
         -E      ##修改规则链名称
         -X      ##删除自定义链

在使用iptables功能时，需要关闭firewalld；

[root@server Desktop]# systemctl stop firewalld   //关闭防火墙
[root@server Desktop]# systemctl disable firewalld
rm '/etc/systemd/system/basic.target.wants/firewalld.service'
rm '/etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service'
[root@server Desktop]# systemctl start iptables.service   //开启iptables功能
[root@server Desktop]# systemctl enable iptables.service 
ln -s '/usr/lib/systemd/system/iptables.service' '/etc/systemd/system/basic.target.wants/iptables.service'
[root@server Desktop]# iptables -nL  //查看防火墙策略信息
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@server Desktop]# iptables -F  //刷新
[root@server Desktop]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@server Desktop]# service iptables save  //保存规则信息
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
[root@server Desktop]# vim /etc/sysconfig/iptables  //所有规则信息被保存的位置

这里写图片描述
测试 1：

[root@desktop Desktop]# systemctl start httpd  //开启appache服务
[root@desktop Desktop]# iptables -P INPUT ACCEPT
//所有主机浏览器都可以看到httpd页面

[root@desktop Desktop]# iptables -A INPUT -p tcp --dport 80 -j REJECT   //添加规则：所有主机通过浏览器访问172.25.254.174为拒绝模式
[root@desktop Desktop]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
//这时，所有主机浏览器都会显示连接不上服务主机httpd端口

测试 2：添加规则的使用

[root@desktop Desktop]# iptables -A INPUT -s 172.25.254.74 -p tcp --dport 80 -j ACCEPT  //添加规则：只允许172.25.254.74主机通过浏览器可以访问到本机httpd
[root@desktop Desktop]# iptables -nL  //查看当前规则
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 reject-with icmp-port-unreachable
ACCEPT     tcp  --  172.25.254.74        0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@desktop Desktop]# iptables -D INPUT 2  //删除表INPUT的第二条规则
[root@desktop Desktop]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

测试 3 ：插入规则的使用

[root@desktop Desktop]# iptables -I INPUT 1 -s 172.25.254.74 -p tcp --dport 80 -j ACCEPT  //插入规则：指定在第一行添加指定ip的主机可以通过浏览器访问本机
[root@desktop Desktop]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  172.25.254.74        0.0.0.0/0            tcp dpt:80
REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

这里写图片描述
测试 4 ：修改规则的使用

[root@desktop Desktop]# iptables -I INPUT 2 -p tcp --dport 80 -j ACCEPT  //指定添加表在第二行内容
[root@desktop Desktop]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  172.25.254.74       0.0.0.0/0            tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@desktop Desktop]# iptables -R INPUT 2 -s 172.25.254.74 -p tcp --dport 80 -j REJECT  //修改规则：修改表INPUT的第二条规则的内容
[root@desktop Desktop]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  172.25.254.74        0.0.0.0/0            tcp dpt:80
REJECT     tcp  --  172.25.254.74        0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)

注意：这里需要说明一点，从上到下依次读取规则，如果上面的满足了，就不读取下面的规则，就如同测试4中，显示允许172.25.254.74这台主机访问，后又添加了172.25.254.74这台主机拒绝访问；实际上生效的是第一条规则，第二条的规则不会被读取；所以172.25.254.74通过浏览器访问时，是可以看到内容的
这里写图片描述
测试 5 ：对自定义表的管理

[root@desktop Desktop]# iptables -N westos  //自定义添加westos表

[root@desktop Desktop]# iptables -E westos WESTOS  //修改表westos的名称为WESTOS

[root@desktop Desktop]# iptables -X  WESTOS  //删除WESTOS表

这里写图片描述
这里写图片描述

测试 6：实现对于第二次的访问请求，直接接受；对于新的请求，只允许ssh 、http 、https、dns、isscis端口接受

NEW ##表示第一次访问
ESTABLISHED ##表示第二次访问
RELATED ##表示关闭访问后再次访问

[root@desktop Desktop]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT  
[root@desktop Desktop]# iptables -A INPUT -m state --state NEW -p TCP --dport 22 -j ACCEPT  //添加ssh的端口为接受
[root@desktop Desktop]# iptables -A INPUT -m state --state NEW -p TCP --dport 80 -j ACCEPT   //添加httpd端口为接受
[root@desktop Desktop]# iptables -A INPUT -m state --state NEW -p TCP --dport 53 -j ACCEPT  //添加dns端口为接受
[root@desktop Desktop]# iptables -A INPUT -m state --state NEW  -i lo -j ACCEPT     //本机回环
[root@desktop Desktop]# iptables -A INPUT -m state --state NEW -p TCP --dport 3260 -j ACCEPT  //添加isscis为接受模式
[root@desktop Desktop]# iptables -A INPUT -m state --state NEW -p TCP --dport 443 -j ACCEPT  //添加https为接受模式
[root@desktop Desktop]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:53
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state NEW
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:3260
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:443

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@desktop Desktop]# service iptables save  //保存添加的策略
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
[root@desktop Desktop]# cat /etc/sysconfig/iptables  //保存的策略信息在此文件中

这里写图片描述

地址伪装

//首先我们在单网卡的主机先看看可不可以ping通
[root@server Desktop]# systemctl stop iptables.service 
[root@server Desktop]# ping 172.25.254.74
PING 172.25.254.74 (172.25.254.74) 56(84) bytes of data.
^C
--- 172.25.254.74 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 2000ms

这里写图片描述

//双网卡主机进行如下配置：

[root@desktop Desktop]# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.174   //在路由后，通过SNAT的方式将其转换为源地址
[root@desktop Desktop]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  0.0.0.0/0            0.0.0.0/0            to:172.25.254.174

在单网卡主机进行测试：

[root@server Desktop]# ping 172.25.254.74
[root@server Desktop]# ssh root@172.25.254.74

效果如下图所示：
这里写图片描述
这里写图片描述

端口转发

//单网卡主机（server）
[root@server Desktop]# yum install httpd
[root@server Desktop]# systemctl start httpd 
[root@server Desktop]# echo 172.25.7.247 > /var/www/html/index.html
//双网卡主机（desktop）
[root@desktop Desktop]# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 -j DNAT --to-dest 172.25.7.247 //在路由前，通过DNAT的方式将其转换为目标地址
[root@desktop Desktop]# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-dest 172.25.7.247  
[root@desktop Desktop]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22 to:172.25.7.247        
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.25.7.247

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  0.0.0.0/0            0.0.0.0/0            to:172.25.254.174

在真机172.25.254.74上进行测试连接：

[kiosk@foundation74 Desktop]$ ssh root@172.25.254.174

这里写图片描述
浏览器查看172.25.254.174内容为172.25.7.247（单网卡主机）的httpd默认文件内容；
这里写图片描述

Original Self
关注
专栏目录
iptables设置防火墙策略
qq_42478602的博客
04-29 488
redis集群为190.192.1.[224-229]，添加访问6379端口的白名单，白名单为：190.192.1.[224-229]，其他服务器无法访问redis的6379端口 1、服务器上创建：/opt/iptables目录，将iptables-1.4.21-34.el7.x86_64.rpm 和 iptables-services-1.4.21-34.el7.x86_64.rpm文件...
Linux防火墙之iptables
夏颜的博客
05-11 3519
文章目录一.istables防火墙1.1Linux防火墙简介1.2iptables四表五链1.2.1iptables表链结构1.2.2iptables四表1.2.3iptables五链1.3表链匹配流程二.iptables防火墙安装2.1防火墙安装2.2iptables命令三.iptables命令使用3.1查看规则列表3.2添加新规则3.3删除规则3.3.1删除规则 -D3.3.2清空规则 -F3.4设置默认策略四.规则匹配4.1匹配条件4.2通用匹配4.3隐含匹配4.4标记匹配五.总结 引言： 在Inte
linux 的iptables 策略管理服务
weixin_43369306的博客
12-20 298
IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。 防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在数据包过滤表...
如何列出和删除 iptables 防火墙规则
rubys007的博客
10-06 2427
Iptables 是大多数 Linux 系统中网络安全中起着至关重要作用的防火墙。虽然许多 iptables 教程会教你如何创建防火墙规则来保护你的服务器，但这篇教程将专注于防火墙管理的另一个方面：列出和删除规则。列出规则清除数据包和字节计数器删除规则清空链（删除链中的所有规则）清空所有链和表，删除所有链，并接受所有流量。
Linux命令02 - - iptables 防火墙策略管理工具
szb521的博客
08-19 1119
Linux命令03 - - iptables 防火墙策略管理工具
iptables增加、删除、修改、查询、保存防火墙策略教程
u012242646的博客
11-23 1903
一.查看现有防火墙策略 二.增加防火墙策略（以22端口为例） 说明： 1.-A代理在末尾追加，如果要在开头插入使用 -I 2.多IP使用逗号（半角）相隔，多端口添加-m multiport然后端口使用逗号（半角）相隔 3.对于连续IP合用–src-range iptables -I INPUT -m iprange --src-range 192.168.220.128-192.168.22...
iptables策略详解
qk的专栏
03-18 937
iptables策略详解 时间:2013-01-21 10:00来源:未知 编辑:admin 点击: 1819 次 iptables可用操作 (1)-L : 显示所选链接的所有策略 : # iptables -L -n 查看iptables 策略 (2)-A : 在所选的链最尾部添加一条新的策略：# iptables -A INPUT -s 192.168.0.1 -j DROP (3)
基于Iptables和Linux策略路由的防火墙实现.pdf
09-06
基于Iptables和Linux策略路由的防火墙实现.pdf
论文研究-构建Linux环境下Iptables防火墙策略 .pdf
08-16
构建Linux环境下Iptables防火墙策略，赵富，，Linux操作系统的Iptables管理工具是一种基于包过滤型防火墙工具，利用Iptables工具，通过设置规则，可以实现Linux环境下防火墙的功能。本�
详解Linux iptables 命令
09-15
Linux iptables命令是Linux系统管理员用来管理IPv4数据包过滤和网络地址转换（NAT）的重要工具。它允许用户在操作系统内核的netfilter框架下设置规则，以控制网络流量的流入、流出和转发。iptables提供了高度灵活的...
Linux系统iptables防火墙实战指南
最新发布
qq_24442273的博客
10-21 669
3、如果所有的规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，则继续向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。1、新增规则，使得本机不能ping通其它主机，其它主机可以ping通本机，本机也可以自己ping通自己，命令如下所示：​​​​​​​。2、如果匹配上了相应的规则，即明确表明是阻止还是通过，此时数据包就不再向下匹配新的规则了。1、防火墙是一层层过滤的，就是按照配置规则的顺序从上到下，从前到后进行过滤的。4、防火墙的默认规则是对应链表的所有规则执行完成后，才会执行的规则。
iptables防火墙策略，黑白名单添加方式
看着博客敲代码
03-01 4654
iptables防火墙策略，黑白名单添加方式 查看iptables和iptables-services服务是否安装 rpm -qa | grep iptables iptables-1.4.21-28.el7.x86_64 安装iptables-services yum -y install iptables-services 查看firewalld运行状态，如果启动请关闭 firewall-cmd --state running #返回值为running为启动状态 not running #返回值为n
Linux安全防火墙（iptables）配置策略
qq_53058639的博客
06-01 2562
这条规则将禁止192.168.1.0/24网段的访问，丢弃源地址的流量。可以使用类似的命令来添加更多规则到自定义链中，根据需求进行配置。如果想要删除自定义链，确保满足以下条件：自定义链没有被任何默认链引用，即自定义链的引用计数为0。自定义链中没有任何规则，即自定义链为空。可以使用-x示例自定义链使用自定义链添加：iptables -N custom(链名) 创建链自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名。
linux iptables 规则的删除
weixin_34187822的博客
04-09 221
原文：http://www.weiruoyu.cn/?p=392 会添加防火墙规则，但是不会删除，在晚上找了一篇文章，感觉很好，转载过来http://jar-c.blog.163.com/blog/static/116401250201061541150973/方法二非常管用，在学IPTABLES 时，看书上只有往链里添加规则，并没有删除规则，而在实际的使用时。删除规则也很常...
iptables防火墙策略
qq_41037606的博客
12-05 1223
firewalld和iptables两个管理工具,通过这两个插件管理防火墙。只能同时使用其中的一个 打开防火墙： systemctl start firewalld firewall-config   &     图形界面管理 watch -n 1 firewall-cmd --list-all  监控这个策略 permanent:永久，需要重启/重新加
Linux之iptables实现防火墙策略
Ying_smile的博客
06-14 4653
iptables 命令 -nL查看火墙信息 -F 临时清空表的信息 -t 等同-nL -t 指定操作的表 -P 默认规则 -A 自己添加的规则 从上到下依次读取策略，上面的满足了，就不读取下面的 -I 插入，可以指定添加所在位置 -R 修改策略 -n 表示不做解析 -L 查表的策略信息 -p 协议 -D 删除链上的制定规则 -N 自动以添加链名 -E 修改规则...
iptables防火墙
识途老码
09-03 2381
iptables防火墙防火墙优先级防火墙的几种策略ACCEPTREJECTDROPLOGiptanbles的表和链显示当前已有的所有防火墙策略清空现有的所有策略配置防火墙的默认策略设置默认拒绝策略，添加允许策略1设置默认拒绝策略2添加允许策略设置默认允许策略，添加拒绝策略1设置默认允许策略2添加拒绝策略保存防火墙策略--配置完必须执行!!! 防火墙优先级 iptables优先级最高，是内核级别的 firewalld 防火墙策略次之 tcpd服务器配置文件优先级最低 防火墙的几种策略 ACCEPT 放行
docker重启iptables策略失效
qq_43665434的博客
09-27 3910
docker重启iptables策略失效，--iptables=false禁用后又阻断了容器进程，最后问题已解决
iptables加了规则后，没生效
red_sky_blue的专栏
09-08 3067
127.0.0.1在iptables中的应用
Linux下Iptables与Snort集成：构建高效安全防护策略
本文主要探讨了在Linux环境下集成Iptables防火墙和Snort入侵检测系统来构建安全防护体系的方法。Iptables作为Linux内核的一部分，是一种灵活且强大的包过滤防火墙工具，它允许用户控制进出系统的网络流量。而Snort则...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值