Linux服务9：Linux下的防火墙（firewalld和iptables，地址伪装，地址转发）

最新推荐文章于 2022-08-12 16:22:24 发布
最新推荐文章于 2022-08-12 16:22:24 发布
阅读量269 收藏 3
点赞数 1
分类专栏： 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43384009/article/details/103428259
版权

目录：

1.防火墙的基本知识

1.1 防火墙的定义
  • 防火墙，也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网，防火墙是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的边界上构造的保护屏障，它按照系统管理员预先定义好的规则来控制数据包的进出，防火墙是系统的第一道防线，主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，其作用是防止非法用户的进入。保障内网的安全性、保证内外网之间数据的流通性。
  • 在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术，防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信，也就是说，如果没有防火墙，内网和外网之间就没办法进行交流。
1.2 防火墙的分类
  • 防火墙从诞生开始，已经历了四个发展阶段：基于路由器的防火墙、用户化的防火墙工具套、建立在通用操作系统上的防火墙、具有安全操作系统的防火墙。常见的防火墙属于具有安全操作系统的防火墙。
  • 从结构上来分，防火墙有两种：代理主机结构和路由器+过滤器结构；内部网络过滤器（Filter）路由器（Router）Internet。
  • 从原理上来分，防火墙则可以分成4种类型：特殊设计的硬件防火墙、数据包过滤型、电路层网关和应用级网关。
1.3 防火墙的工作机制（三表五链）
  • 链： 链就是位置，共有五个 ： 数据包进路由之前(PREROUTING)、目的地址为本机，进系统(INPUT) 、转发(FORWARD)、原地址为本机，向外发送，出系统(OUTPUT)、发送到网卡之前，出路由(POSTROUTING)； 数据包到了该链处，会去对应表中查询设置的规则，然后决定是否放行、丢弃、转发还是修改等等操作。每个链都是一个规则列表，对对应的包进行匹配。
  • 表：具有相同功能的规则的集合叫做表。filter表：负责过滤功能，经过内核的； nat表：网络地址转换，不经过内核的 ，实现数据包转发，修改源地址 端口 目标地址 端口，实现地址转换；mangle表：拆解报文，作出修改，封装报文；raw表： 关闭nat表上启用的链接追踪机制。
  • 表链关系： 我们所有自定义的规则都是这四种分类中的规则，或者说，所有的规则都存在于这4张表中。
  • filter表格：放的是经过内核的ip input output forward
  • nat表格：放的不是经过内核的服务 input output postrouting prerouting
  • 备用表格mangle： input output forward postrouting prerouting

Firewalld

2.Firewalld的图形化管理和命令管理

2.1 firewalld中的区域
  • 通过将网络划分成不同的区域，制定出不同区域之间的访问控制策略来控制不同程序区域间传送的数据流，例如，互联网是不可信任的区域，而内部网络是高度信任的区域，网络安全模型可以在安装，初次启动和首次建立网络连接时选择初始化该模型描述了主机所连接的整个网络环境的可信级别，并定义了新连接的处理方式。
  • firewalld的默认区域是public
    在这里插入图片描述
2.2 图形界面管理firewalld防火墙和命令管理
1 打开firewalld，且开机自启动
systemctl start firewalld
systemctl enable firewalld

在这里插入图片描述

2 firwalld图形化管理
firewall-config

在这里插入图片描述

3
firewall-cmd --state ##查看防火墙的状态
firewall-cmd --get-active-zones ##查看正在使用的域
firewall-cmd --get-default-zone ##查看系统默认使用的域
firewall-cmd --get-zones ##查看有哪些域
firewall-cmd --zone=public --list-all ##列出公共域里面所有可以支持添加的服务
firewall-cmd --get-services ##列出所有的服务

firewall-cmd --set-defaults-zone=dmz ##更改默认的域
firewall-cmd --list-all-zones ##列出所有的域

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

firewall-cmd --reload 	##不改变现有状态
firewall-cmd --complete-reload 	##清除状态信息
2.3 防火墙中的服务
  • /lib/firewalld/ 函数库
  • 在 /lib/firewalld/services/中，都是防火墙中可以添加的服务，服务和端口是集成在一块的
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述
2.4 服务端指定用户访问服务
   firewall-cmd --direct --add-rule ipv4 filter（规则表） INPUT（链） 1（写在第一条） -s（源ip） 172.25.254.25 -p（协议类型） tcp --dport（目的端口） 22 -j（动作）ACCEPT(动作)		##对172.25.60.250上开启22端口，使172.25.60.250可以连接虚拟机
Firewall-cmd --direct --get-all-rules  ##查看火墙策略
firewall-cmd --direct --remove-rule ipv4 filter INPUT 1 -s 172.25.60.250 -p tcp --dport 22 -j ACCEPT  ##移除规则

在这里插入图片描述
在这里插入图片描述

3.firewalld的地址伪装和端口转发

3.1 地址伪装
  • 通过地址伪装，NAT设备将经过设备的包转发到指定的接收方，同时将通过的数据包源地址更改为其NAT设备自己的接口地址。当返回的数据包到达时，会将目的地址修改为原始主机的地址并做路由。地址伪装可以实现局域网多个地址共享单一公网地址上网。
  • IP地址伪装仅支持ipv4，不支持ipv6。

server：两块网卡
在这里插入图片描述
在这里插入图片描述

desktop：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
desktop：

firewall-cmd --permanent --add-masquerade		##添加伪装功能
firewall-cmd --reload
firewall-cmd --list-all
sysctl -a | grep ip_forward （如果为0，则在/etc/sysctrol.conf 下添加这一行net.ipv4.ip_forward= 1）

在这里插入图片描述
测试：
在这里插入图片描述

3.2 端口转发
  • 可以称之为目的地址转换或端口映射。通过端口转发，将指定IP地址及端口的流量转发到相同计算机上的不同端口，或不同计算机上的端口。一般公司内网的服务器都采用私网地址，然后通过端口转发将使用私网地址的服务器发布到公网上。
  • 如果去掉网关，就不能实现端口转发功能。
    server：
firewalld-cmd --add-forward-port=proto=tcp：port=22：toport=22：toaddr=1.1.1.251
firewall-cmd --list-all

在这里插入图片描述
在这里插入图片描述
在真机中测试：172.25.60.250
在这里插入图片描述

iptables防火墙

yum install iptables-services-y  ##安装火墙服务iptables-services
systemctl stop firewalld
systemctl disable firewalld
systemctl mask firewalld
systemctl start iptables.service
systemctl enable iptables.service

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

4.1 iptables的参数
参数含义
-t指定表名称
-n不作解析
-L列出指定表中的策略
-F清除火墙策略，iptables重启之后还会生成火墙策略
-A增加策略
-p网络协议
–dport端口
-s数据来源
-j动作:ACCEPT允许;REJECT拒绝;DROP丢弃
-N增加链
-E修改链名称
-X删除链
-D删除指定策略
-I插入
-R修改策略
-P修改默认策略
iptables -t filter -nL 	##不作解析，查看filter表格里面的链（ 不跟-t，默认为filter表格）
iptables -t filter - L  ##作解析，查看filter表格里面的链
iptables -F		##清除火墙策略，iptables重启之后还会生成火墙策略
iptables -nL

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

4.2 存储火墙策略的方法

火墙策略文件存储位置/etc/sysconfig/iptables
方法一：

iptables-save > /etc/sysconfig/iptables

方法二：

service iptables save
4.3 Iptables的相关设置
iptables -P INPUT DROP    ##修改链的默认行为为DROP
iptables -nL 
iptables -P INPUT ACCEPT  ##修改链的默认行为为ACCEPT
iptables -nL

在这里插入图片描述
在这里插入图片描述

iptables -t filter -A INPUT -p tcp --dport 22 -j REJECT  ##拒绝22端口的访问
iptables -nL 
iptables -D INPUT 2  ##删除第二条策略

在这里插入图片描述

iptables -I INPUT 1 -s 172.25.254.26 -p tcp --dprot 22 -j ACCEPT  ##策略插入到位置1，允许172.25.254.26访问
iptables -t filter -nL

在这里插入图片描述

iptables -S INPUT ##显示所有已添加策略
iptables -N redhat ##新建链
iptables -E redhat haha ##修改链的名称
iptables -X haha ##删除链

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

4.4 iptables的地址伪装和端口转发

地址伪装（SNAT）

在这里插入图片描述
server：两块网卡

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.60.252  ##（在172.25.60.252上面进行伪装）开启地址伪装功能
iptables -t nat -nL
sysctl -a|grep ip_forward
vim /etc/sysctl.conf  ##改为1
sysctl -p		##刷新

在这里插入图片描述
测试：desktop：1.1.1.251
在这里插入图片描述

端口转发(DNAT)
通过DNAT实现党互联网客户访问公司内网服务器时实现时公司的内网地址访问
server：两块网卡

Iptables -t nat -A PREROUTING -i eth0 -j DNAT --to-dest 1.1.1.251  ##添加地址转发功能，从172.25.60.251的22端口进入的都转到1.1.1.251的22端口上去
Iptables -t nat -nL

在这里插入图片描述
测试：真机172.25.60.250
在这里插入图片描述

weixin_43384009
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux ❀ iptables服务详解
无糖可乐没有灵魂
06-29 886
在iptables中，-J选项用于指定应该执行哪个目标（target）动作，允许用户定义自己的目标动作。
Linux下的防火墙（firewalld和iptables，地址伪装，地址转发）
weixin_45029822的博客
12-16 1883
1. 什么是firewalld 防火墙(Firewalld)是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出 防火墙是系统的第一道防线，其作用是防止非法用户的进入1 centos 7 中防火墙Firewalld是一个非常强大的功能，Firewalld提供了支持网络/防火墙区域（zone）定义网络连接以及接口安全等级的动态防火墙管理工具，它支持IPv4，IPv6防火...
用redhat9,自带的IPTABLES 打开一个端口,使用命令
yuanyuan_186的专栏
03-22 629
iptables -A INPUT -p tcp --dport 1521 -j ACCEPT 用iptables-save 看到 [root@mailbackup bin]# iptables-save # Generated by iptables-save v1.2.8 on Mon Mar  7 17:00:22 2005 *filter :INPUT ACCEPT [0]
Linux之Redhat中火墙的高级配置------firewalld和iptables
random_w的博客
12-05 691
本文主要介绍火墙的两种配置方式
Redhat Enterprise Linux 9安装配置图解教程
sgj584520的专栏
08-12 7817
红帽宣布Red Hat Enterprise Linux 9 (RHEL 9)已可用，这是世界领先的企业Linux平台的最新版本。RHEL 9提供了更灵活和稳定的基础，以支持混合云创新，并为跨物理、虚拟、私有和公共云和边缘部署部署应用程序和关键工作负载提供更快、更一致的体验。............
Linux防火墙-firewalld
01-09
启动： systemctl start firewalld 查看状态： systemctl status firewalld 停止： systemctl disable firewalld 禁用： systemctl stop firewalld 2、Centos7操作 1、启动一个服务 systemctl start firewalld....
linux_防火墙[iptables][firewalld]使用.txt
08-28
该笔记由博主本人亲自整理撰写，介绍以及各方面的操作都进行了简化提示，很适合linux的萌新进行学习，内容大致：【命令介绍】【使用介绍】【简化记忆】
使用iptable和Firewalld工具来管理Linux防火墙连接规则
09-15
今天小编就为大家分享一篇关于使用iptable和Firewalld工具来管理Linux防火墙连接规则的文章，小编觉得内容挺不错的，现在分享给大家，具有很好的参考价值，需要的朋友一起跟随小编来看看吧
Linux服务器配置与管理：linux防火墙基础.pptx
05-01
熟悉: Linux防火墙的历史演进与架构 【能力目标】 能够描述firewalld防火墙的组成 【思政目标】 培养学生职业素养和信息安全意识。 防火墙——是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全...
Linux防火墙Firewalld基础详细解读.doc
08-19
Linux防火墙Firewalld基础详细解读.doc
redhat防火墙配置 iptables
枫的专栏
07-29 1073
redhat防火墙配置----端口释放2009-02-25 17:191) 永久性生效，重启后不会复原开启： chkconfig iptables on关闭： chkconfig iptables off2) 即时生效，重启后复原开启： service iptables start关闭： service iptables stop需要说明的是对于Linux下的其它服务都可以用以上命令执行开启和关闭
iptables配置实例
weixin_34174132的博客
04-29 148
iptables配置实例iptables 基本命令使用举例一、链的基本操作 1、清除所有的规则。 1）清除预设表filter中所有规则链中的规则。 # iptables -F 2）清除预设表filter中使用者自定链中的规则。 #iptables -X #iptables -Z 2、设置链的默认策略。一般有两种方法。 1）首先允许所有的包，然后再禁止有危险的包...
iptables路由转发与地址伪装的简单实现
weixin_33868027的博客
11-03 429
三台虚拟机模拟架设一个防火墙应用 一：在Vmware软件上建立3台虚拟机A、B、iptables，分别当做客户机A、架设防火墙的路由iptables、服务器B。 在路由iptables上配置增添一块网卡eth1，并且设置IP：1.2.3.4/16，eth0的IP 172.16.10.1/16 A的IP-1.2.3.5/16 B的IP—172.16.10.2/16 ...
Linux火墙之iptables、伪装与转接
weixin_44416500的博客
02-28 475
命令 功能 -t 指定表名称 -n 不做解析 -L 列出指定表中的策略 -F 刷新清空策略 - A 增加协议 -p 网络协议 -dport 端口 -s 数据来源 -j 动作 -N 增加链 -E 修改链名称 -X 删除链 -D 删除指定策略 -I（大写i） 插入 -R 修改策略 -P 修改默认策
IP地址伪装和端口转发
bu521314241614的博客
09-04 1896
关于防火墙基础配置可参考博文：保证Linux系统安全之CentOS 7 firewalld防火墙入门详解关于防火墙IP伪装和端口转发可参考博文：保证Linux系统安全之firewalld防火墙配置地址伪装和端口转发详解案例环境： 保证Linux系统安全之配置firewalld防火墙的地址伪装及端口转发实例，可跟做！！！ 需求描述： 连接内网网卡ens33地址为192.168.1.1，分配到fire...
Linux基础（九）：防火墙iptables、firewalld
fthyc的博客
01-14 1400
防火墙 CentOS6中防火墙名称：iptables CentOS7及以上中防火墙名称：firewalld iptables 1、iptables服务启动/重启/关闭 #service iptables start/restart/stop #/etc/init.d/iptables start/restart/stop 2、查看iptables状态（规则） #service iptables status 3、查看iptables规则 #iptables -L [-n] -L：列出规则 -n：将单
Linux系统的firewall（配置火墙相关参数，firewalld“三表五链“、端口转发、地址伪装）
monster_warm的博客
08-19 1644
firewalld 概述 动态防火墙后台程序firewalld提供了一个动态管理的防火墙，用以支持网络“zones“以分配对一个网络及其相关链接和界面一定程序的新人。具备对IPV4和IPV6防火墙设置的支持。它支持以太网桥，并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。 配置防火墙相关参数 使用图形方式进行添加 firewall-config ...
Linux Centos 7软件防火墙
时光慢旅的博客
12-09 1075
文章目录一、前言二、 Linux软件防火墙作用三、 Linux软件防火墙工具四、Firewall简介4.1 firewalld防火墙区域介绍4.2 firewalld防火墙的工作流程五、Firewalld防火墙的配置方法5.3 Firewall-config图形工具5.4 firewall-cmd 字符工具5.5.1 防火墙进程操作5.5.2 防火墙区域操作命令5.5.3 防火墙区域操作命令小结5...
防火墙firewalld和iptables的关系，防火墙关闭后，iptables还有效吗
最新发布
06-09
防火墙firewalld和iptables都是Linux系统中常见的防火墙，二者在功能上有所重叠，但是实现方式和管理方式有所不同。firewalld是一个动态的防火墙管理工具，它使用D-Bus和Netlink协议与内核交互，支持动态添加、删除和修改规则，可以根据不同的网络环境和需求自动调整规则。而iptables是一个静态的防火墙管理工具，它使用内核提供的Netfilter框架实现，支持静态配置和管理，需要手动添加、删除和修改规则。 当防火墙firewalld关闭时，iptables仍然有效，因为iptables是基于内核Netfilter框架实现的。关闭防火墙只是停止了firewalld的管理服务，而不会影响iptables规则的生效。但是，如果使用firewalld管理iptables规则，关闭firewalld后就不能再动态管理iptables规则了。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值