本文详细介绍了iptables中默认策略(policy)的设置方法及如何使用iptables进行规则(filter)定义，包括不同协议的规则对比及端口设置。此外，还介绍了CentOS 7中firewalld的基本使用及配置方法。
iptables中定义默认策略(policy)
当数据包不在我们设置的规则之内时，则该数据包的通过与否，是以Policy的设置为准。在安全性比较高的主机中，Filter内的INPUT链定义的比较严格，INPUT的Policy定义为DROP
ptables定义规则:
格式：iptables [-t table] -P [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP ]
-p : 定义策略(Policy)。注意:P为大写
ACCEPT:数据包可接受
DROP：数据包被丢弃，client不知道为何被丢弃。
iptables -P INPUT DROP //INPUT默认设置为DROP
iptables -P OUTPUT DROP //OUTPUT默认设置为ACCEPT
iptables -P FORWARD DROP // FORWARD默认设置为ACCEPT
iptables定义规则(filter)的格式:
iptables [-AI 链名] [-io 网络接口 ] [ -p 协议 ] [ -s 来源IP/网络 ] [ -d 目标IP/网络 ] -j [ACCEPT | DROP|REJECT|LOG]
参数说明:
-A:新增一条规则，该规则在原规则的最后面。
-I:插入一条规则，默认该规则在原第一条规则的前面。即该新规则变为第一条规则。
-io 网络接口:设置数据包进出的接口规范。
-i：表示输入。即数据包进入的网络接口。与INPUT链配合
-o : 表示输出。数据包传出的网络接口。与OUTPUT链配合
-p 协定: 此规则适应于哪种数据包。如tcp,udp,icmp及all.
-s 来源 IP/网络：设置次规则之前数据包的来源地，可指定单纯的IP或网络，例如:
IP : 192.168.0.100
网络 : 192.168.0.0/24或者192.168.0.0/255.255.255.0
如果规则为不允许，则在IP/网络前加 “！” 即可。
-s ! x.x.x.x
-d 目标 IP/网络。与-s类似，只是是目标IP或者网络而已。
-j:后面接操作。如ACCEPT，DROP ，REJECT或者LOG(记录)
比如：开放lo这个本机的接口以及某个IP来源
//设置io成为受信任的设备，亦即进出lo的数据包都接受
iptables -t filter -A INPUT -i eth0 -j ACCEPT
我们可能会有疑惑，为什么没有-s -d等规则，表示不论数据包来自何处或去到哪里，只要是来自lo这个接口全部接受。
设置来自192.168.100.10的就接受，192.168.100.11的就丢弃。
iptables -A INPUT -i eth0 -s 192.168.100.10 -j ACCEPT
iptables -A INPUT -i eth0 -s 192.168.100.11 -j DROP
iptables -I INPUT -i eth0 -s 192.168.100.0/24 -j ACCEPT
此时我们执行iptables-save
[root@localhost ~]# iptables-save
# Generated by iptables-save v1.4.7 on Wed Jun 6 10:41:44 2018
*nat
:PREROUTING ACCEPT [9:1155]
:POSTROUTING ACCEPT [4:1312]
:OUTPUT ACCEPT [4:1312]
COMMIT
# Completed on Wed Jun 6 10:41:44 2018
# Generated by iptables-save v1.4.7 on Wed Jun 6 10:41:44 2018
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [65:5416]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -i eth0 -p tcp -m tcp --sport 80 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Wed Jun 6 10:41:44 2018
TCP，UDP协议的规则对比:针对端口设置
- 在 -s 参数后面可以增加一个参数 -sport 端口范围(限制来源端口),如:1024:65535
- 在-d 参数后面可以增加一个参数 -dport 端口范围(限制目标端口)
需要特别注意，这两个参数重点在port上面，并且仅有TCP和UDP数据包具有端口，因此要想使用–dport，–sport时需要加上-p tcp或者 -p udp才会成功。
下面做几个小测试:
//丢弃所有想要链接本机21端口的数据包
iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP
//想要链接到本机的网上邻居(UDP port 137,138 tcp 139,445)就放行
iptables -A INPUT -i eth0 -p udp --dport 137:138 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 139 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 445 -j ACCEPT
//只要来自192.168.1.0/24的1024:65535端口的数据包，且想要连接的本机的ssh port就阻挡
iptables -A INPUT -i eth0 -p tcp -s 192.168.1.0/24 --sport 1024:65535 --dport ssh -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP
除了制订端口号之外，TCP数据包还有特殊的标识，比如主动链接的SYN标志。iptables支持使用–syn来处理。
iptables -A INPUT -i eth0 -p tcp --sport 1:1023 -dport 1:1023 --syn -j DROP
启动一个服务：systemctl start firewalld.service
关闭一个服务：systemctl stop firewalld.service
重启一个服务：systemctl restart firewalld.service
显示一个服务的状态：systemctl status firewalld.service
在开机时启用一个服务：systemctl enable firewalld.service
在开机时禁用一个服务：systemctl disable firewalld.service
查看服务是否开机启动：systemctl is-enabled firewalld.service
查看已启动的服务列表：systemctl list-unit-files|grep enabled
查看启动失败的服务列表：systemctl --failed
3.配置firewalld-cmd
扫一扫
413
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
