Linux 防火墙

最新推荐文章于 2024-09-14 19:55:29 发布
最新推荐文章于 2024-09-14 19:55:29 发布
阅读量101 收藏
点赞数
文章标签： 网络 运维 python
原文链接：http://blog.51cto.com/marvin89/2120399
版权

Firewall：防火墙，隔离工具；工作于主机或网络边缘，对于进出本主机或本网络的报文根据事先定义的检查规则作匹配检测，对于能够被规则匹配到的报文作出相应处理的组件；

将要介绍的防火墙工具iptables，内核实现的软件防火墙，内核根据iptables的规则实现netfilter。先来看看防火墙的流程介绍。

Linux 防火墙

主要由4表5链构成：

  1. filter：过滤，防火墙；
  2. nat：network address translation；用于修改源IP或目标IP，也可以改端口；
  3. mangle：拆解报文，做出修改，并重新封装起来；
  4. raw：关闭nat表上启用的连接追踪机制；

大概意思就是：在每条链上添加上述4表的规则，来实现报文过滤转发等功能。

主机防火墙介绍

上图的上部分就是主机防火墙的工作流程。
1、常用操作

#查看
[root@node3 ~]# iptables -vnL  [--line-numbers]   #  v vv vvv
#清空数据
[root@node3 ~]# iptables -Z [chain]
#删除 规则
[root@node3 ~]# iptables -D chain num
#清空所有规则
[root@node3 ~]# iptables -F [chain]

#创建删除自定义chain    不能删除被正在被引用的chain
[root@localhost ~]# iptables -N in_web_rule
[root@localhost ~]# iptables -t in_web_rule
[root@localhost ~]# iptables -X in_web_rule

1.1 初始化 开放ssh，设置白名单 

[root@node3 ~]# iptables -I INPUT -p tcp  --dport 22  -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT -p tcp  --sport 22 -j ACCEPT

[root@node3 ~]# iptables -P FORWARD  DROP

[root@node3 ~]# iptables -A INPUT  -j REJECT
[root@node3 ~]# iptables -A OUTPUT -j REJECT
或者修改策略  还是前者比较好，或者会屏蔽 本地回环地址,还要其他操作开通
[root@node3 ~]# iptables -P INPUT  DROP
[root@node3 ~]# iptables -P OUTPUT DROP

1.2 非状态规则添加
80服务器 

[root@node3 ~]# iptables -I INPUT  -p tcp --dport 80 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT -p tcp --sport 80 -j ACCEPT
[root@node2 ~]# curl http://192.168.1.202
<html><body><h1>It works!</h1></body></html>

#正式环境不要用，测试环境需要安装yum之类
[root@node3 ~]# iptables -I INPUT  -p tcp --sport 80 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT  -p tcp --dport 80 -j ACCEPT

443服务器

[root@node3 ~]# iptables -I INPUT  -p tcp --dport 443 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT -p tcp --sport 443 -j ACCEPT

#正式环境不要用，测试环境需要安装yum之类
[root@node3 ~]# iptables -I INPUT  -p tcp --sport 443 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT  -p tcp --dport 443 -j ACCEPT

dns

#域名解析  一般也不用开放  测试环境需要安装yum之类
[root@node3 ~]# iptables -I OUTPUT   -p udp --dport 53 -j ACCEPT
[root@node3 ~]# iptables -I INPUT  -p udp --sport 53 -j ACCEPT
[root@node3 ~]# ping baidu.com
PING baidu.com (123.125.115.110) 56(84) bytes of data.
64 bytes from 123.125.115.110 (123.125.115.110): icmp_seq=1 ttl=51 time=37.1 ms

#dns服务器
[root@node3 ~]# iptables -I OUTPUT   -p tcp --dport 53 -j ACCEPT
[root@node3 ~]# iptables -I INPUT  -p tcp --sport 53 -j ACCEPT

ping 

#往外ping
[root@node3 ~]# iptables -I INPUT  -i ens34 -p icmp --icmp-type 0 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT  -o ens34 -p icmp --icmp-type 8 -j ACCEPT

#被ping
[root@node3 ~]# iptables -I INPUT   -i ens34 -p icmp --icmp-type 8 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT  -o ens34 -p icmp --icmp-type 0 -j ACCEPT

ftp

#[root@localhost ~]# modinfo nf_conntrack_ftp
#[root@localhost ~]# lsmod |grep nf_conntrack_ftp

[root@localhost ~]# modprobe nf_conntrack_ftp     #装载
#[root@localhost ~]# modprobe -r nf_conntrack_ftp  #卸载

[root@node3 ~]# iptables -I INPUT -p tcp -m multiport --dports 21 -m state --state NEW -j ACCEPT
[root@node3 ~]# iptables -I INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT   -m state --state ESTABLISHED -j ACCEPT

ntpdate

#请求
[root@node3 ~]# iptables -I OUTPUT  -p udp -m multiport --dports 123,323 -j ACCEPT
[root@node3 ~]# iptables -I INPUT   -p udp -m multiport --sports 123,323 -j ACCEPT

samba

[root@node3 ~]# iptables -I INPUT   -p udp -m multiport --dports 137,138 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT   -p udp -m multiport --sports 137,138 -j ACCEPT

[root@node3 ~]# iptables -I INPUT   -p tcp -m multiport --dports 139,445 -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT   -m state --state ESTABLISHED -j ACCEPT

根据ip控制并发

##最大一次5个，每分钟20个，被ping     配合--syn使用 
[root@localhost ~]# iptables -I INPUT -p icmp --icmp-type 8 -m limit --limit-burst 5 --limit 20/minute -j ACCEPT
[root@localhost ~]# iptables -I OUTPUT -p icmp --icmp-type 0 -j ACCEPT

2 用状态方式控制

[root@localhost ~]# cat /proc/sys/net/nf_conntrack_max
65536  

[root@localhost ~]# vim /etc/sysctl.conf
#net.nf_conntrack_max = 2097152
net.netfilter.nf_conntrack_tcp_timeout_established = 300
net.netfilter.nf_conntrack_max = 1048576      #最大状态连接数
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.ipv4.conf.default.forwarding = 1
[root@localhost ~]# sysctl -p
[root@node3 ~]# iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
[root@node3 ~]# iptables -A OUTPUT   -m state --state ESTABLISHED -j ACCEPT
#tcp 端口
[root@node3 ~]# iptables -A INPUT -p tcp -m multiport --dports 22,80,443 -m state --state NEW -j ACCEPT
#udp 端口
#[root@node3 ~]# iptables -A INPUT -p dup -m multiport --dports 22,80,443 -m state --state NEW -j ACCEPT

[root@node3 ~]# iptables -A INPUT  -j REJECT
[root@node3 ~]# iptables -A OUTPUT -j REJECT
[root@node3 ~]# iptables -vnL

#如果需要解析yum
[root@node3 ~]# iptables -I OUTPUT -p udp -m multiport --dports 53 -m state --state NEW -j ACCEPT
[root@node3 ~]# iptables -I OUTPUT -p tcp -m multiport --dports 80,443 -m state --state NEW -j ACCEPT
python脚本生成规则

目录结构
Linux 防火墙
hostRules.py

#!/root/.virtualenvs/shellenv/bin/python
import os

class generate:

    interface = False
    ip = False

    name = ''
    ssh_port = 22

    #21 or False
    ftp_port = False

    # for server response
    tcp_in_ports = [80]
    udp_in_ports = []

    # for server request
    out_put_enable = False
    tcp_out_ports = []
    udp_out_ports = []

    ping_in = False
    ping_out = False

    first_custom_rules = []
    middle_custom_rules = []
    last_custom_rules = []

    EOL='\n'

    def __init__(self, config_name):
        import yaml
        self.name = config_name
        file_path = 'conf/host-{name}.yaml'.format(name=config_name)
        if not os.path.isfile(file_path):
            print('no config')
            exit(1)

        config = yaml.load(open(file_path))

        if config.get('ssh_port') : self.ssh_port = config.get('ssh_port')
        if config.get('ftp_port') : self.ftp_port = config.get('ftp_port')
        if config.get('tcp_in_ports') : self.tcp_in_ports = config.get('tcp_in_ports')
        if config.get('udp_in_ports') : self.udp_in_ports = config.get('udp_in_ports')
        if config.get('out_put_enable') : self.out_put_enable = config.get('out_put_enable')
        if config.get('tcp_out_ports') : self.tcp_out_ports = config.get('tcp_out_ports')
        if config.get('udp_out_ports') : self.udp_out_ports = config.get('udp_out_ports')
        if config.get('ping_in') : self.ping_in = config.get('ping_in')
        if config.get('ping_out') : self.ping_out = config.get('ping_out')
        if config.get('ip') : self.ip = config.get('ip')
        if config.get('interface') : self.interface = config.get('interface')
        if config.get('first_custom_rules') : self.first_custom_rules = config.get('first_custom_rules')
        if config.get('middle_custom_rules') : self.middle_custom_rules = config.get('middle_custom_rules')
        if config.get('last_custom_rules') : self.last_custom_rules = config.get('last_custom_rules')

        self.dip = ''
        self.sip = ''
        if self.ip:
            self.dip = ' -d '+self.ip
            self.sip = ' -s '+self.ip

        self.iinterface = ''
        self.ointerface = ''
        if self.interface:
            self.iinterface = ' -i '+self.interface
            self.ointerface = ' -o ' + self.interface

    def start(self):
        rules = self.initHostRules()

        if self.first_custom_rules:
            rules += self.customRules(self.first_custom_rules)

        rules += self.established()

        if self.ftp_port:
            rules += self.enableFtp()
            self.tcp_in_ports.append(self.ftp_port)

        if self.tcp_in_ports:
            rules += self.tcpInRules()

        if self.udp_in_ports:
            rules += self.udpInRules()

        if self.middle_custom_rules:
            rules += self.customRules(self.middle_custom_rules)

        if self.out_put_enable:
            if self.tcp_out_ports:
                rules += self.tcpOutRules()

            if self.udp_out_ports:
                rules += self.udpOutRules()

        if self.ping_out:
            rules += self.pingOut()

        if self.ping_in:
            rules += self.pingIn()

        if self.last_custom_rules:
            rules += self.customRules(self.last_custom_rules)

        rules += self.sshRules()
        rules += self.rejectRules()

        self.write(rules)
        pass

    def customRules(self,data):
        rules = ''
        for rule in data:
            rules += rule+self.EOL
        return  rules

    def tcpInRules(self):
        ports = self.__map_num_2_str(self.tcp_in_ports)
        ports = ','.join(ports)
        rules = 'iptables -A INPUT {ip} {interface} -p tcp -m multiport --dports {ports} -m state --state NEW -j ACCEPT'.format(ports=ports,ip=self.dip, interface=self.iinterface)+self.EOL+self.EOL
        return rules

    def udpInRules(self):
        ports = self.__map_num_2_str(self.udp_in_ports)
        ports = ','.join(ports)
        rules = 'iptables -A INPUT {ip} {interface} -p udp -m multiport --dports {ports} -m state --state NEW -j ACCEPT'.format(ports=ports, ip=self.dip, interface=self.iinterface)+self.EOL+self.EOL
        return rules

    def tcpOutRules(self):
        ports = self.__map_num_2_str(self.tcp_out_ports)
        ports = ','.join(ports)
        rules = 'iptables -A OUTPUT {ip} {interface} -p tcp -m multiport --dports {ports} -m state --state NEW -j ACCEPT'.format(
            ports=ports, ip=self.sip, interface=self.ointerface) + self.EOL + self.EOL
        return rules

    def udpOutRules(self):
        ports = self.__map_num_2_str(self.udp_out_ports)
        ports = ','.join(ports)
        rules = 'iptables -A OUTPUT {ip} {interface}  -p udp -m multiport --dports {ports} -m state --state NEW -j ACCEPT'.format(
            ports=ports, ip=self.sip, interface=self.ointerface) + self.EOL + self.EOL
        return rules

    def enableFtp(self):
        return 'modprobe nf_conntrack_ftp'+ self.EOL

    def pingOut(self):
        return  'iptables -A OUTPUT {ip} {interface} -p icmp --icmp-type 0 -j ACCEPT'.format(ip=self.sip, interface=self.ointerface) + self.EOL

    def pingIn(self):
        return  'iptables -A INPUT {ip} {interface} -p icmp --icmp-type 8 -j ACCEPT'.format(ip=self.dip, interface=self.iinterface) + self.EOL

    def established(self):
        RELATED=''
        if self.ftp_port:
            RELATED = ',RELATED'

        rules = 'iptables -A INPUT -m state --state ESTABLISHED{RELATED} -j ACCEPT'.format(RELATED=RELATED) + self.EOL
        rules += 'iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT' + self.EOL + self.EOL
        return rules

    def initHostRules(self):
        rules =  'iptables -P FORWARD  DROP'+self.EOL
        rules += 'iptables -P INPUT  ACCEPT'+self.EOL
        rules += 'iptables -P OUTPUT  ACCEPT'+self.EOL
        rules += 'iptables -F'+self.EOL+self.EOL
        return  rules

    def sshRules(self):
        if not self.ssh_port:
            exit('need ssh_port')
        print('ssh port  {port}'.format(port=self.ssh_port))
        rules = 'iptables -A INPUT -p tcp --dport {port}  -j ACCEPT'.format(port=self.ssh_port)+self.EOL
        rules += 'iptables -A OUTPUT -p tcp --sport {port}  -j ACCEPT'.format(port=self.ssh_port)+self.EOL+self.EOL
        return rules

    def rejectRules(self):
        rules = 'iptables -A INPUT -j REJECT'+self.EOL
        rules += 'iptables -A OUTPUT -j REJECT'+self.EOL
        return rules

    def write(self, data):
        data = '#!/bin/bash'+self.EOL+self.EOL + data
        with open('shell/host-{name}.sh'.format(name=self.name),mode='w', encoding='utf-8')  as f:
            f.write(data)

    def __map_num_2_str(self,data):
       return map(lambda x: str(x), data)

if __name__ == '__main__':

    # pydepends = ['pyyaml']
    # for i in pydepends:
    #     os.system('/root/.virtualenvs/shellenv/bin/pip install  requests -i http://pypi.douban.com/simple/ --trusted-host pypi.douban.com '+i)

    iptables = generate('develop')
    iptables.start()

配置文件在conf下面 host-{name}.yaml 根据各种场景生成rules

ip: 192.168.1.202
interface: ens34

ssh_port: 22
ftp_port: 21

tcp_in_ports: [80, 443,139,445]
udp_in_ports: [80, 443,137,138]

out_put_enable: True
tcp_out_ports: [80, 443]
udp_out_ports: [53,123,323]

ping_in: True
ping_out: True

#单个ip并发
first_custom_rules :
  - iptables -A INPUT  -p tcp  --dport 80 -m connlimit --connlimit-above 50 -j REJECT

生成脚本在shell目录下

#!/bin/bash

iptables -P FORWARD  DROP
iptables -P INPUT  ACCEPT
iptables -P OUTPUT  ACCEPT
iptables -F

iptables -A INPUT  -p tcp  --dport 80 -m connlimit --connlimit-above 50 -j REJECT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

modprobe nf_conntrack_ftp
iptables -A INPUT  -d 192.168.1.202  -i ens34 -p tcp -m multiport --dports 80,443,139,445,21 -m state --state NEW -j ACCEPT

iptables -A INPUT  -d 192.168.1.202  -i ens34 -p udp -m multiport --dports 80,443,137,138 -m state --state NEW -j ACCEPT

iptables -A OUTPUT  -s 192.168.1.202  -o ens34 -p tcp -m multiport --dports 80,443 -m state --state NEW -j ACCEPT

iptables -A OUTPUT  -s 192.168.1.202  -o ens34  -p udp -m multiport --dports 53,123,323 -m state --state NEW -j ACCEPT

iptables -A OUTPUT  -s 192.168.1.202  -o ens34 -p icmp --icmp-type 0 -j ACCEPT
iptables -A INPUT  -d 192.168.1.202  -i ens34 -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -p tcp --dport 22  -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22  -j ACCEPT

iptables -A INPUT -j REJECT
iptables -A OUTPUT -j REJECT

网络防火墙介绍

Linux 防火墙

实验环境

node1 172.16.86.228
node2 forward
node3 192.168.1.202

在没有规则下，先观察ping

[root@node2 ~]# echo 1 > /proc/sys/net/ipv4/ip_forward
[root@node2 ~]# iptables -vnL
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
#node3  访问 node1  http
[root@node3 ~]# ping 172.16.86.228

#如果不通  抓包
[root@node1 ~]# tcpdump -i any -nn icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes
17:11:38.783442 IP 192.168.1.202 > 172.16.86.228: ICMP echo request, id 6528, seq 13, length 64  node1收到来自node3的包
17:11:38.783492 IP 172.16.86.228 > 192.168.1.202: ICMP echo reply, id 6528, seq 13, length 64    node1响应给node3

[root@node2 ~]# tcpdump -i any -nn icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes
17:12:16.883705 IP 192.168.1.202 > 172.16.86.228: ICMP echo request, id 6528, seq 51, length 64    node3 请求 node1
17:12:16.884212 IP 172.16.86.228 > 192.168.1.202: ICMP echo reply, id 6528, seq 51, length 64      node1响应node3

从这个过程分析得到 无论是哪个网卡接近来的包，出去时候会自动选择一个能到达对面的网卡，  转发过程不会改变原地址和目标地址

添加规则

[root@node2 ~]# iptables -A FORWARD -j REJECT

通用规则

[root@node2 ~]# iptables -I FORWARD -m state --state ESTABLISHED   -j ACCEPT

放ping

[root@node2 ~]# iptables -I FORWARD   -p icmp --icmp-type 8 -j ACCEPT

tcp

[root@node2 ~]# iptables -I FORWARD   -p tcp  -m multiport --dports 80,443,139,445 -m state --state NEW -j ACCEPT

udp

[root@node2 ~]# iptables -I FORWARD -p udp -m multiport --dports 53  -m state --state NEW -j ACCEPT

ftp

[root@node2 ~]# modprobe nf_conntrack_ftp     #装载
[root@node2 ~]# iptables -I FORWARD -m state --state ESTABLISHED,RELATED   -j ACCEPT
[root@node2 ~]# iptables -I FORWARD   -p tcp  -m multiport --dports 21 -m state --state NEW -j ACCEPT
python脚本生成
#!/root/.virtualenvs/shellenv/bin/python
import os

class generate:

    interface = False
    ip = False

    name = ''
    ssh_port = 22

    #21 or False
    ftp_port = False

    # for server response
    tcp_in_ports = [80]
    udp_in_ports = []

    ping = False

    first_custom_rules = []
    middle_custom_rules = []
    last_custom_rules = []

    EOL='\n'

    def __init__(self, config_name):
        import yaml
        self.name = config_name
        file_path = 'conf/forward-{name}.yaml'.format(name=config_name)
        if not os.path.isfile(file_path):
            print('no config')
            exit(1)

        config = yaml.load(open(file_path))

        if config.get('ssh_port') : self.ssh_port = config.get('ssh_port')
        if config.get('ftp_port') : self.ftp_port = config.get('ftp_port')
        if config.get('tcp_in_ports') : self.tcp_in_ports = config.get('tcp_in_ports')
        if config.get('udp_in_ports') : self.udp_in_ports = config.get('udp_in_ports')
        if config.get('out_put_enable') : self.out_put_enable = config.get('out_put_enable')
        if config.get('tcp_out_ports') : self.tcp_out_ports = config.get('tcp_out_ports')
        if config.get('udp_out_ports') : self.udp_out_ports = config.get('udp_out_ports')
        if config.get('ping_in') : self.ping_in = config.get('ping_in')
        if config.get('ping_out') : self.ping_out = config.get('ping_out')

        if config.get('first_custom_rules') : self.first_custom_rules = config.get('first_custom_rules')
        if config.get('middle_custom_rules') : self.middle_custom_rules = config.get('middle_custom_rules')
        if config.get('last_custom_rules') : self.last_custom_rules = config.get('last_custom_rules')

    def start(self):
        rules = self.initForwardRules()

        if self.first_custom_rules:
            rules += self.customRules(self.first_custom_rules)

        rules += self.established()

        if self.ftp_port:
            rules += self.enableFtp()
            self.tcp_in_ports.append(self.ftp_port)

        if self.tcp_in_ports:
            rules += self.tcpInRules()

        if self.udp_in_ports:
            rules += self.udpInRules()
        if self.middle_custom_rules:
            rules += self.customRules(self.middle_custom_rules)

        if self.ping:
            rules += self.doPing()

        if self.last_custom_rules:
            rules += self.customRules(self.last_custom_rules)

        rules += self.sshRules()
        rules += self.rejectRules()

        self.write(rules)

    def customRules(self,data):
        rules = ''
        for rule in data:
            rules += rule+self.EOL
        return  rules

    def tcpInRules(self):
        ports = self.__map_num_2_str(self.tcp_in_ports)
        ports = ','.join(ports)
        rules = 'iptables -A FORWARD  -p tcp -m multiport --dports {ports} -m state --state NEW -j ACCEPT'.format(ports=ports)+self.EOL+self.EOL
        return rules

    def udpInRules(self):
        ports = self.__map_num_2_str(self.udp_in_ports)
        ports = ','.join(ports)
        rules = 'iptables -A FORWARD  -p udp -m multiport --dports {ports} -m state --state NEW -j ACCEPT'.format(ports=ports)+self.EOL+self.EOL
        return rules

    def enableFtp(self):
        return 'modprobe nf_conntrack_ftp'+ self.EOL

    def doPing(self):
        return  'iptables -A FORWARD  -p icmp --icmp-type 8 -j ACCEPT' + self.EOL

    def established(self):
        rules = 'iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT' + self.EOL + self.EOL
        return rules

    def initForwardRules(self):
        rules =  'iptables -P FORWARD  ACCEPT'+self.EOL
        rules += 'iptables -P INPUT  ACCEPT'+self.EOL
        rules += 'iptables -P OUTPUT  ACCEPT'+self.EOL
        rules += 'iptables -F'+self.EOL+self.EOL
        return  rules

    def sshRules(self):
        if not self.ssh_port:
            exit('need ssh_port')
        print('ssh port  {port}'.format(port=self.ssh_port))
        rules = 'iptables -A INPUT -p tcp --dport {port}  -j ACCEPT'.format(port=self.ssh_port)+self.EOL
        rules += 'iptables -A OUTPUT -p tcp --sport {port}  -j ACCEPT'.format(port=self.ssh_port)+self.EOL+self.EOL
        return rules

    def rejectRules(self):
        rules = 'iptables -A INPUT -j REJECT'+self.EOL
        rules += 'iptables -A OUTPUT -j REJECT'+self.EOL
        return rules

    def write(self, data):
        data = '#!/bin/bash'+self.EOL+self.EOL + data
        with open('shell/forward-{name}.sh'.format(name=self.name),mode='w', encoding='utf-8')  as f:
            f.write(data)

    def __map_num_2_str(self,data):
       return map(lambda x: str(x), data)

if __name__ == '__main__':

    # pydepends = ['pyyaml']
    # for i in pydepends:
    #     os.system('/root/.virtualenvs/shellenv/bin/pip install  requests -i http://pypi.douban.com/simple/ --trusted-host pypi.douban.com '+i)

    iptables = generate('develop')
    iptables.start()

配置文件 conf/forward-develop.yaml

ip: False
interface: False

ssh_port: 22
ftp_port: 21

tcp_in_ports: [80, 443,139,445]
udp_in_ports: [80, 443,137,138]

ping: True

#单个ip并发
first_custom_rules :
  - iptables -A FORWARD  -p tcp  --dport 80 -m connlimit --connlimit-above 50 -j REJECT

nat dnat介绍

Linux 防火墙
snat

#在报文离开当前网卡前POSTROUTING转换源地址ip
[root@node2 ~]# iptables -t nat -A POSTROUTING -s 172.16.86.0/24 -j SNAT --to-source 192.168.1.201

dnat

#在报文进入网卡时候在PREROUTING改变目标地址
[root@node2 ~]# iptables -t nat -I PREROUTING -d 192.168.1.201  -p tcp --dport 80 -j DNAT --to-destination 172.16.86.228
[root@node3 ~]# curl http://192.168.1.201
<html><body><h1>It works!</h1></body></html>

#在报文进入网卡时候在PREROUTING改变目标地址和端口
[root@node3 ~]# curl http://192.168.1.201
curl: (7) Failed connect to 192.168.1.201:80; Connection refused
[root@node2 ~]# iptables -t nat -R PREROUTING 1 -d 192.168.1.201 -p tcp --dport 80 -j DNAT --to-destination 172.16.86.228:8080
[root@node3 ~]# curl http://192.168.1.201
<html><body><h1>It works!</h1></body></html>
端口映射

作用于当前机器，以下例子把80映射到8080端口

[root@node1 ~]#  iptables -t nat -A PREROUTING  -d 172.16.86.228 -p tcp --dport 80 -j REDIRECT --to-ports  8080

转载于:https://blog.51cto.com/marvin89/2120399

weixin_33877885
关注
Linux防火墙
lltyyds的博客
12-25 3955
一、安全技术和防火墙 1.安全技术 （1）入侵检测系统（Intrusion Detection Systems） 特点是不阻断任何网络访问，量化、定位来自内外网络的威胁情况，主要以提供报警和事后监督为主，提供有针对性的指导措施和安全决策依据,类 似于监控系统一般采用旁路部署（默默的看着你）方式 （2）入侵防御系统（Intrusion Prevention System） 以透明模式工作，分析数据包的内容如：溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断，在判定为攻击行为后立即予以
linux防火墙
微生活Pro
08-06 6336
摘要 本章将分别使用iptables、firewall-cmd、firewall-config和TCP Wrappers等防火墙策略配置服务来完成数十个根据真实工作需求而设计的防火墙策略配置实验。 防火墙种类 内外网形式的防火墙，在外网和企业内网之间架设一台服务器或者路由器，配好过滤策略用来作为公司的防火墙。工作流程如图： 本地主机形式的防火墙：在本主机前面没有任何服务器对流量...
webdav使用mysql_IPTables常见服务策略配置
weixin_32457141的博客
01-30 198
禁止端口的实例#禁止ssh端口,只允许192.168.0.1上使用远程登录，从其他计算机上禁止使用sshiptables -A INPUT -s 192.168.0.1 -p tcp --dport 22 -j ACCEPTiptables -A INPUT -p tcp --dport 22 -j DROP#禁止代理端口iptables -A INPUT -p tcp --dport 3128 ...
Linux防火墙-firewalld
01-09
1、基本使用 启动： systemctl start firewalld 查看状态： systemctl status firewalld 停止： systemctl disable firewalld 禁用： systemctl stop firewalld 2、Centos7操作 1、启动一个服务 ...
利用linux防火墙实现IP访问控制
09-28
自己总结的linuxe下通过linux防火墙软件实现对ip源目地址的访问控制，希望可以帮助到需要的朋友
linux防火墙 中文版.pdf
06-03
linux防火墙 中文版.pdf
Linux防火墙思维导图.xmind
05-23
linux防火墙知识：利用思维导图的形式（包括举例），一张图进行全部详解 1.何为防火墙？2.防火墙的分类 3.iptables原理 4.防火墙顺序 5.iptables语法规则
4.网络编程
最新发布
weixin_45476535的博客
09-14 420
程序注册端口：1024-49151。单个协议下，端口号不能冲突。公有端口0-1023。
使用堡垒机登录ftp服务报网络不可达错误
ajax_beijing_java的博客
09-14 158
解决方法：由于不想安装额外的服务在服务器上，于是想到使用sftp服务代替ftp服务，发现是可以使用的。22端口默认就是启动的，在堡垒机上加了sftp服务，再次连接服务器并使用filezila传输文件 ，文件可以正常传输。至此，问题得到解决。场景：开发同事想使用ftp传输服务，连接服务器时报网络不可达错误。排查发现，如果想使用ftp服务，需要在服务器上部署ftp服务，21端口才会存在，才可以访问该服务。
如何在DPDK中实现协议解析？
Do my best!
09-10 687
在 DPDK 中实现协议解析涉及几个步骤，包括初始化环境、配置网卡、接收数据包、解析数据包并处理数据包。下面将详细介绍这些步骤以及如何在 DPDK 中实现基本的协议解析。
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
2401_84466224的博客
09-11 920
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
iptables实现内外网ip转换
m0_67475830的博客
09-13 465
准备三台虚拟机。
网络安全宣传周 | DNS安全威胁与应对措施分享
weixin_53018687的博客
09-12 1131
然而，DNS协议在设计初期只注重功能的实现，未充分考虑安全验证机制，缺乏有效的安全防御手段，DNS协议数据包往往能够在网络中畅通无阻，为攻击者提供了可乘之机，这一天生的设计缺陷使得DNS系统天然地成为了安全领域的薄弱环节。DNS劫持：DNS劫持是指攻击者通过篡改DNS解析结果，将用户的流量重定向到不同的IP地址，通常是恶意网站。DNS泛洪攻击：DNS洪泛攻击是一种拒绝服务攻击，攻击者通过发送大量的DNS请求，通常是伪造的或毫无意义的查询，消耗DNS服务器的资源，使其无法响应合法的查询请求。
C#使用TCP-S7协议读写西门子PLC(三)
ylq1045的专栏
09-11 774
这里我们进行封装读写西门子PLC的S7协议命令以及连接西门子PLC并两次握手 新建部分类文件SiemensS7ProtocolUtil.ReadWrite.cs 主要方法： 连接西门子PLC并发送两次握手。两次握手成功后，才真正连接到PLC public OperateResult ConnectPlcAndHandshake(SiemensPlcCategory siemensPlcCategory, IPEndPoint endPoint, int timeout = 3000) 生成一个写入字节数据
哪些行业需要办理网络文化经营许可证？
众森企服
09-13 989
本规定所称互联网文化产品是指通过互联网生产、传播和流通的文化产品，主要包括： （一）专门为互联网而生产的网络音乐娱乐、网络游戏、网络演出剧（节）目、网络表演、网络艺术品、网络动漫等互联网文化产品；网络表演指以网络表演者个人现场进行的文艺表演活动等为主要内容，通过互联网、移动通讯网、移动互联网等信息网络，实时传播或者以音视频形式上载传播而现场的互联网文化产品，电商类、教育类、医疗类、培训类、金融类、旅游类、美食类、体育类、聊天类等直播不属于网络表演。1️⃣音乐娱乐产品（音乐网站、手机音乐网站、APP音乐）
网络分析仪仪器校准要怎么进行检测？容易出现哪些误差？
2401_83476848的博客
09-12 390
误差修正是对已知校准标准的测量，这些测量值存储在分析仪的存储器之中，数据用于计算误差模型。系统误差是由矢量网络分析仪和测试设置之中的缺陷引起的，是重复性误差，并假设它不随时间变化。校准件的使用可以达到减少误差的目的。2.开关重复性误差：分析仪中用于切换源衰减器设置的机械式RF开关，有时当机械式RF开关被启动时，触点的闭合方式与上次启动时不同。通过仪器校准措施增强，消除反射测量之中的三个系统误差:指向性、源匹配、频率响应。:是由于仪器或测试系统仪器校准之后性能发生变化引起的，主要是温度变化引起的。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值