iptables与firewalld防火墙的使用

本小节来给大家演示使用iptables firewall-cmd等防火墙策略配置服务，在这里采用了几个真实工作需求中可能会用到的策略配置，希望各位老哥学习完，能加深自己的印象，更好的维护系统

Iptables

早期环境中，默认是采用iptables来管理配置防火墙，虽然新的防火墙已经使用，但是大部分学者还是习惯使用于iptables。所有先来给大家介绍介绍iptables的玩法

五链

• 在进行路由选择前处理数据包——PREOUTING
• 处理流入的数据包——INPUT
• 处理流出的数据包——OUTPUT
• 处理转发的数据包——FORWARD
• 在进行路由选择后处理数据包——POSTEROUTING

四表

• 允许流量通过——ACCEPT
• 拒绝流量通过并回应——REJECT
• 记录日志信息——LOG
• 拒绝流量通过丢弃不回应——DROP

常用设置参数

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在末尾新加规则链需要加-A
-I	在规则链头部加入规则，或者创建第一天规则需要写入
-D	删除某一条规则链
-s	匹配来源地址IP/MASK +！表示排除这个IP
-d	匹配目标地址
-i	匹配网卡流入的数据
-o	匹配网卡流出的数据
-p	匹配协议
-dport	匹配端口号
-sport	匹配来源端口号

将流入流量的策略设置为拒绝

[10:54 4.2root@ahei ~]# iptables -P  INPUT DROP
拒绝所有流量，包括imcp,ssh等
如果想进行操作，则需要设置额外策略来放行

允许ping命令

[10:54 4.2root@ahei ~]# iptables -I INPUT -p imcp -j ACCEPT
可以允许其他机器ping该主机
-I 选项是因为是第一条策略，所有要加

允许主机访问本机的3306端口

[10:54 4.2root@ahei ~]# iptables -A INPUT -p tcp --dport 3306 -j ACCEPT
-p tcp  代表协议是tcp
--dport 3306   允许访问tcp 3306端口
需要加访问主机 在协议前加 -s 主机范围/地址

删除某一条规则链

[10:54 4.2root@ahei ~]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:52113

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

默认可以看到前十条记录
例如我们将icmp 设置为拒绝，在DORP表下删除该策略就直接拒绝了

[11:11 4.2root@ahei ~]# iptables -D INPUT 1
因为该记录在第一位，所有编号就默认是1 

将默认策略设置为允许

[11:11 4.2root@ahei ~]#iptables -P  INPUT ACCETP 

拒绝访问110端口

[11:11 4.2root@ahei ~]# iptables -A INPUT -p tcp --dport 110 -j DROP
[11:11 4.2root@ahei ~]# iptables -A INPUT
-p udp --dport 110 -j DROP
拒绝访问包含tcp及udp协议，所有都要写入
连续端口可以写成 1:100

设置永久生效需要保存设置

[11:11 4.2root@ahei ~]# iptables-save

Firewalld

firewalld可以实现防火墙策略之间的快速切换，不同的场景切换不同的策略即可

区域	默认策略规则
trusted	允许所有的数据包
home	拒绝流入的流量，除非与流出的流量相关；如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流量树相关；如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public	拒绝流入的流量，除非与流出的流量相关；如果流量与ssh、ipp-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关；如果流量与ssh服务相关，则允许流量
dmz	拒绝流入的流量，除非与流出的流量相关；如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

一些默认参数

参数	作用
–get-default-zone	查看默认的区域名称
–set-default-zone	设置默认区域名称
–get-zones	显示可以用的区域
–get-service	显示预定的服务
–get-active-zones	显示当前使用的区域与网卡名称
–add-source=	将源自此IP或子网的流量导入指定的区域
–remove-souce=	不在将此IP或子网的流量导入指定区域
–add-interface=	将该网卡的流量都导入某个区域
–change-interface=	将某个网卡与区域进行关联
–list-all	将显示当前区域的网卡配置，资源，端口，服务等信息
–list-all-zones	将显示所有区域的网卡，资源，端口，服务等信息
–add-service=	设置默认区域允许该服务的流量
–add-port=	设置默认区域允许该端口流量
–reload	设置永久生效
–panic-on	开启应急状况，阻断一切流量

TIPS
配置永久模式 需要加入–Permanent ，设置的策略只有重启以后才能生效，所有还需要手动配置–reload命令

查看默认使用的区域

[11:35 4.2root@ahei ~]#firewall-cmd --get-default-zone
public

查看指定网卡绑定的区域

[11:35 4.2root@ahei ~]#firewall-cmd --get-zone-of-interface=eth0
public

修改网卡的默认区域

[11:35 4.2root@ahei ~]#firewall-cmd --permanent --zone=dmz --change-interface=eth0
success
查看该区域
[11:35 4.2root@ahei ~]#firewall-cmd --permanent --get-zone-of-interface=eth0
dmz

修改默认区域为public

[11:35 4.2root@ahei ~]#firewall-cmd --set-default-zone=dmz
success
[11:35 4.2root@ahei ~]#firewall-cmd --get-default-zone
dmz
[11:35 4.2root@ahei ~]#firewall-cmd --get-zone-of-interface=eth0
dmz

应急模式

[11:35 4.2root@ahei ~]#firewall-cmd --panic-on
success
[11:35 4.2root@ahei ~]#firewall-cmd --panic-off
success

查询某个流量或服务是否放行

[11:35 4.2root@ahei ~]#firewall-cmd --zone=dmz --query-service=服务名（ssh,ftp.https....）
yes/no

设置ssh流量放行，并生效

[11:35 4.2root@ahei ~]#firewall-cmd --permanent --zone=public --add-service=ssh
success
[11:35 4.2root@ahei ~]#firewall-cmd --reload
success
这样重新加载服务就生效了

拒绝ssh流量,立即生效

[11:35 4.2root@ahei ~]#firewall-cmd --permanent --zone=dmz --remove-service=ssh
success
[11:35 4.2root@ahei ~]#firewall-cmd --reload
success

访问8080 8081端口允许，当前生效

[11:35 4.2root@ahei ~]#firewall-cmd --zone=dmz --add-port=8080-8081/tcp
success
[11:35 4.2root@ahei ~]#firewall-cmd --zone=dmz --list-ports
8080-8081/tcp

端口转发，将3305转发到3306

[11:35 4.2root@ahei ~]#firewall-cmd --permanent --zone=dmz --add-forward-port=port=3305:proto=tcp:toport=22:toaddr=192.168.10.1
success
[11:35 4.2root@ahei ~]#firewall-cmd --reload
success