Linux系统防火墙iptables

最新推荐文章于 2024-02-18 22:29:16 发布
最新推荐文章于 2024-02-18 22:29:16 发布
阅读量1.9k 收藏 2
点赞数 2
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43800781/article/details/85756046
版权

防火墙：

架设在内网和公网之间，起到保护和隔离的作用

RHEL7默认使用的是firewalld ，不过其底层还是调用iptables（包过滤防火墙）

[root@firewall51 ~]# systemctl stop firewalld
[root@firewall51 ~]# systemctl disable firewalld.service
[root@firewall51 ~]# yum -y install iptables-services.x86_64 
[root@firewall51 ~]# systemctl start iptables.service

iptables的表，链结构

4张表：iptables服务功能分类 优先级顺序（高->低）raw -> mangle -> nat -> filter

5条链：ip包传输的方向

              INPUT                     匹配进入防火墙本机的ip包

              OUTPUT                 匹配从防火墙本机出去的ip包

              FORWARD             匹配经过防火墙主机的ip包（源地址和目标地址均不是防火墙本机ip）

              POSTROUTING     路由后处理

              PREROUTING        路由前处理

raw表（状态跟踪表）mangle表（包标记表）nat表（地址转换表）filter表（过滤表）默认

PREROUTING

OUTPUT

PREROUTING

POSTROUTING

INPUT

OUTPUT

FORWARD

PREROUTING

POSTROUTING

INPUT(rhel7/CentOS7)

OUTPUT

 

INPUT

OUTPUT

FORWARD

包过滤匹配流程：顺序比对，匹配即停止（LOG除外），若无匹配，则按照该链的默认策略处理

规则链之间的顺序：入站    PREROUTING->INPUT   出站  OUTPUT->POSTROUTING 

                                     转发    PREROUTING->FORWARD->POSTROUTING

iptables用法

管理程序位置：/sbin/iptables

规则永久保存： iptables-save > /etc/sysconfig/iptables

指令组成： iptables [-t 表名] 选项 [链名] [条件] [-j 目标操作]

常用的管理选项
类别选项用途
        查看规则-L列出所有的规则条目（如果和n连用，放在后面）
-n以数字形式显示地址，端口等信息
--line-numbers查看规则时，显示规则的序号
          添加-A 在链的默认追加一条规则
 -I在链的开头（或指定序列号）插入一条规则
         删除规则-D删除链内指定序号（或内容）的一条规则
-F清空所有规则
         默认策略-P为指定的链设置默认规则

 

基本的匹配条件
类别选项用法
通用匹配协议匹配-p 协议名（icmp tcp udp...）
地址匹配-s 源地址 -d 目标地址
接口匹配-i 收数据的网卡 -o 发数据的网卡
隐含匹配端口匹配--sport 源端口  --dport 目标端口
ICMP类型匹配--icmp-type   ICMP类型

 

扩展匹配条件类型
类别选项用法

扩

展

匹

配

-m

MAC地址匹配-m mac --mac-source  MAC地址
多端口匹配-m multiport  --sports  源端口列表
-m multiport  --dports  目标端口列表
IP范围匹配

-m iprange  --src-range   IP1-IP2

-m iprange  --dst-range   IP1-IP2
基本的目标操作
ACCEPT允许通过/放行
DROP直接丢弃，不给出任何回应
REJECT拒绝通过，必要时给出提示
LOG记录日志，传给下一条规则（ “匹配即停止”规律的例外）

 

在filter表上实行控制

注意事项/规律

可以不指定表，默认为filter，若不指定链，则默认对应表的所有链，没有规则，使用默认规则

选项（个别除外）/链名/目标操作用大写字母，其余都小写

命令行修改规则之后，需要保存到相关配置文件，否则重启又恢复最初状态

[root@firewall51 ~]# iptables -t filter -nL INPUT  --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source       destination         
1    ACCEPT     all  --  0.0.0.0/0    0.0.0.0/0  state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0    0.0.0.0/0           
3    ACCEPT     all  --  0.0.0.0/0    0.0.0.0/0           
4    ACCEPT     tcp  --  0.0.0.0/0    0.0.0.0/0  state NEW tcp dpt:22
5    REJECT     all  --  0.0.0.0/0    0.0.0.0/0  reject-with icmp-host-prohibited

[root@firewall51 ~]# iptables -t filter  -F

[root@firewall51 ~]# iptables -t filter   -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destinatio
[root@firewall51 ~]# iptables-save       //保存输出到屏幕，但不能永久保存
# Generated by iptables-save v1.4.21 on Fri Jan  4 10:44:40 2019
*raw
:PREROUTING ACCEPT [188:13984]
:OUTPUT ACCEPT [131:12720]
...
*filter
:INPUT ACCEPT [233:17208]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [155:15000]
COMMIT
# Completed on Fri Jan  4 10:44:40 2019

 主机型防火墙 通过入站进行控制filter表INPUT

[root@firewall51 ~]# iptables -t filter -P INPUT DROP    //修改默认规则 
[root@firewall51 ~]# iptables -t filter -nL INPUT         //其他主机无法远程本机
Chain INPUT (policy DROP)
target     prot opt source               destination         

[root@firewall51 ~]# iptables -t filter  -A INPUT  -p tcp --dport  22 -j ACCEPT    修改权限之后可以远程链接
[root@guo ~]# ssh -X 192.168.4.51
root@192.168.4.51's password: 
Last login: Fri Jan  4 10:16:36 2019 from 192.168.4.254
[root@firewall51 ~]# iptables -t filter -nL INPUT 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22

[root@firewall51 ~]# iptables -t filter -nL INPUT 
...
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

[root@firewall51 ~]# iptables -t filter  -I INPUT  -p tcp -s 192.168.4.254 -j ACCEPT
//修改防火墙规则，可以接收来自192.168.4.254的包
[root@firewall51 ~]# iptables -t filter -nL INPUT 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.4.254        0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80


[root@guo ~]# ping 192.168.4.51                   //通过物理机ping 192.168.4.51 不能到达
PING 192.168.4.51 (192.168.4.51) 56(84) bytes of data.
[root@firewall51 ~]# iptables -t filter  -I INPUT -p icmp -j ACCEPT   //修改规则
[root@guo ~]# ping 192.168.4.51
PING 192.168.4.51 (192.168.4.51) 56(84) bytes of data.
64 bytes from 192.168.4.51: icmp_seq=149 ttl=64 time=0.333 ms
64 bytes from 192.168.4.51: icmp_seq=150 ttl=64 time=0.184 ms

修改规则使自己可以ping别的主机，别的主机不可以ping自己

--icmp-type   ICMP类型  echo-reply (pong)   echo-request (ping)

[root@firewall51 ~]# iptables -t filter  -D INPUT 1   /删除上面添加的允许icmp规则
[root@firewall51 ~]# iptables   -t filter -nL INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.4.254        0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@firewall51 ~]# iptables -t filter  -I INPUT -p icmp --help   //查看帮助
[root@firewall51 ~]# iptables -t filter -I INPUT -p icmp --icmp-type echo-reply -j ACCEPT                       //修改规则使ping包的回应接收
[root@firewall51 ~]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     icmp --  anywhere             anywhere             icmp echo-reply

[root@firewall51 ~]# iptables -nL              
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 0  //使用数字显示规则显示为0
[root@firewall51 ~]# ping 192.168.4.254
PING 192.168.4.254 (192.168.4.254) 56(84) bytes of data.
64 bytes from 192.168.4.254: icmp_seq=1 ttl=64 time=0.129 ms
64 bytes from 192.168.4.254: icmp_seq=2 ttl=64 time=0.173 ms


[root@guo ~]# ping 192.168.4.51   
PING 192.168.4.51 (192.168.4.51) 56(84) bytes of data.
^C
--- 192.168.4.51 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 1999ms

通过控制MAC地址禁止其他主机ping自己（恢复默认INPUT为ACCEPT，删除其他规则进行验证）

[root@firewall51 ~]# arp -n                //可以看到ping自己主机的MAC地址
Address                  HWtype  HWaddress           Flags Mask            Iface
192.168.4.52             ether   52:54:00:c0:85:a7   C                     eth0
192.168.4.254            ether   52:54:00:37:78:11   C                     eth

[root@firewall51 ~]# iptables -t filter  -A INPUT  -p icmp -m mac  --mac-source 52:54:00:c0:85:a7 -j DROP                 //禁用192.168.4.52主机
[root@firewall51 ~]# iptables -t filter -nL INPUT 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0            MAC 52:54:00:C0:85:A7

通过多端口禁止访问本机的80（httpd/nginx）和8080（tomcat）端口

[root@firewall51 ~]# iptables -t filter -A INPUT  -p tcp -m multiport  --dports 80,8080 -j DROP
[root@firewall51 ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source           destination         
DROP       tcp  --  0.0.0.0/0        0.0.0.0/0        multiport dports 80,8080

通过IP范围控制其他主机

[root@firewall51 ~]# iptables -t filter -A INPUT -p icmp -m iprange --src-range 192.168.4.100-192.168.4.110 -j DROP
[root@firewall51 ~]# iptables -t filter -nL INPUT 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 80,8080
DROP       icmp --  0.0.0.0/0            0.0.0.0/0            source IP range 192.168.4.100-192.168.4.110

网络型防火墙 通过网关控制

拓扑结构：

192.168.4.51 eth0

192.168.4.52  eth0

192.168.2.52  eth1

192.168.2.53 eth1

实现4.51和2.53互通（分别在51上和53上操作）

[root@firewall51 ~]# systemctl stop NetworkManager
[root@firewall51 ~]# route add default gw 192.168.4.52     //添加网关 删除用del 
[root@firewall51 ~]# route -n 
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.4.52    0.0.0.0         UG    0      0        0 eth0
192.168.4.0     0.0.0.0         255.255.255.0   U     100    0        0 eth0
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0


[root@firewall53 ~]# systemctl stop NetworkManager
[root@firewall53 ~]# route add  default gw 192.168.2.52
[root@firewall53 ~]# route -n 
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.2.52    0.0.0.0         UG    0      0        0 eth1
192.168.2.0     0.0.0.0         255.255.255.0   U     100    0        0 eth1
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0

配置52内核路由转发

[root@firewall52 ~]# sysctl -a | grep forward    //列出所有内核参数，搜索关于forward的
...
net.ipv4.ip_forward = 1
...
[root@firewall52 ~]# vim /etc/sysctl.conf          
[root@firewall52 ~]# tail -1 /etc/sysctl.conf
net.ipv4.ip_forward = 1
//默认这个是开启的

在主机52上写防火墙规则

[root@firewall52 ~]# iptables -t filter -A FORWARD -p tcp --dport 80 -j DROP
[root@firewall52 ~]# iptables -t filter -nL FORWARD 
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

[root@firewall53 ~]# curl   http://192.168.4.51    //测试不能链接

[root@firewall52 ~]# iptables -t filter -F FORWARD 
[root@firewall52 ~]# iptables -t filter -A FORWARD -p tcp -m  multiport --dports 80,8080,22  -j DROP          //集中禁用服务
[root@firewall52 ~]# iptables -t filter -nL FORWARD 
Chain FORWARD (policy ACCEPT)
target     prot opt source          destination         
DROP       tcp  --  0.0.0.0/0        0.0.0.0/0            multiport dports 80,8080,22

当默认策略为DROP时 修改规则允许访问

[root@firewall52 ~]# iptables -t filter -F 
[root@firewall52 ~]# iptables -t filter -P FORWARD DROP 
[root@firewall52 ~]# iptables -t filter -nL FORWARD 
Chain FORWARD (policy DROP)
[root@firewall52 ~]# iptables -t filter -A FORWARD -p tcp --dport 80 -j ACCEPT 

[root@firewall51 ~]# tcpdump -i eth0 -A tcp port 80    //在51上抓取包来进行验证，看是否到达

[root@firewall52 ~]# iptables -t filter -A FORWARD -p tcp --sport 80 -j ACCEPT 
[root@firewall52 ~]# iptables -t filter -nL  FORWARD
Chain FORWARD (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp spt:80
[root@firewall53 ~]# curl 192.168.4.51         //验证可以访问，可以用firefox测试

默认策略为DROP 修改规则使主机可以 互相ping通

可以直接修改为 iptables -t filter -A FORWARD  -p icmp -j ACCEPT 也可以用下面的方法

[root@firewall52 ~]# iptables -t filter -A FORWARD  -p icmp  --icmp-type  echo-reply -j ACCEPT 
[root@firewall52 ~]# iptables -t filter -A FORWARD  -p icmp  --icmp-type  echo-request  -j ACCEPT 
[root@firewall52 ~]# iptables -L FORWARD
Chain FORWARD (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:http
ACCEPT     tcp  --  anywhere             anywhere             tcp spt:http
ACCEPT     icmp --  anywhere             anywhere             icmp echo-reply
ACCEPT     icmp --  anywhere             anywhere             icmp echo-request

在nat表实行控制

模拟内网Linux网关（防火墙）模拟公网
192.168.2.53 eth1

192.168.2.52  eth1

192.168.4.52  eth0

192.168.4.51 eth0

源地址转换（共享一个IP地址）

将2.53默认网关指向2.52

[root@firewall53 ~]# route -n     //53为内网，网关地址改为192.168.2.52
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.2.52    0.0.0.0         UG    0      0        0 eth1
192.168.2.0     0.0.0.0         255.255.255.0   U     100    0        0 eth1
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0

 配置主机52

[root@firewall52 ~]# iptables -F
[root@firewall52 ~]# iptables -t filter -P FORWARD ACCEPT
[root@firewall52 ~]# iptables -t filter -nL
Chain INPUT (policy ACCEPT)
Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)

配置主机51并打开httpd或者nginx服务

[root@firewall51 ~]# route -n       //51为公网，不用指定默认网关
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.4.0     0.0.0.0         255.255.255.0   U     100    0        0 eth0
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0
[root@firewall51 ~]# netstat  -pntul | grep :80
tcp6       0      0 :::80              :::*           LISTEN          6370/httpd          
[root@firewall51 ~]# echo "123" > /var/www/html/test.html     //写个测试页

在52上进行地址转换

[root@firewall52 ~]# iptables -t nat -A POSTROUTING  -s 192.168.2.0/24 -p tcp --dport 80 -j SNAT --to-source 192.168.4.52 
//-s 192.168.2.0/24局域网网段地址    -p tcp --dport 80 -j SNAT --to-source 192.168.4.52 外网接口 IP地址

在53上链接51的http服务，在51上查看日志文件

[root@firewall53 ~]# curl 192.168.4.51/test.html    
123
[root@firewall51 ~]# tail  -1 /var/log/httpd/access_log    //查看日志
192.168.4.52 - - [04/Jan/2019:17:53:50 +0800] "GET / HTTP/1.1" 403 3985 "-" "curl/7.29.0"

目标地址转换（发布私有网络服务）

 

九洛城雪
关注
  • 2
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
Linux系统下的iptables
monster_warm的博客
08-19 256
iptables概述 iptables也是火墙，在企业7之前使用firewall，企业7以及企业7之后iptables和firewalld均可以使用，并且iptables相对于firewalld而言，精度更高，它能完成firewalld无法完成的精度较高的状态设定。 iptables和firewalld之间最本质的不同是 iptales service 在 /etc/sysconfig/iptab...
运维iptables与firewalld详解
最新发布
专注于输出具有实用价值的软件运维经验及教程
06-21 1846
关于iptables 与firewalld 的关键概念、常用操作、各自优势特点的详细记录。
Linux系统iptables
qq_27349729的博客
11-29 711
防火墙：就是在Linux下用来进行访问控制功能的。通过自定义防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测、过滤。iptables是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。三种报文流向：流入本机：PREROUTING --> INPUT-->用户空间进程流出本机：用户空间进程 -->OUTPUT--> POSTROUTING。
linux防火墙（firewalld和iptables）
肥猫警长的博客
11-01 4920
这里写目录标题1安全技术和防火墙1.1 安全技术1.2 防火墙的分类2.Linux 防火墙的基本认识2.1Netfilter2.2防火墙工具介绍2.2.1 iptables2.2.2 firewalld2.2.3 nftables2.3 netfilter中五个勾子函数和报文流向3.firewalld服务3.1.1firewalld 介绍3.1.2命令行配置3.1.2.1基础命令3.1.2.2查看现有firewall设置3.1.2.3设置查看默认区3.1.2.4添加源地址（网段）及端口 及服务3.1.3其它
linux系统防火墙
老夫风清扬的博客
01-08 455
1、Centos中iptables和firewall防火墙开启、关闭、查看状态、基本设置等 https://blog.csdn.net/bbwangj/article/details/74502967 2、解决CentOS7关闭/开启防火墙出现Unit iptables.service failed to load: No such file or directory. https://blog....
linux系统的防火墙
ZN123123123的博客
05-12 253
一，概述   动态防火墙后台程序 FireWalld提供了一个动态管理的防火墙，用以支持网络的zones，以分配对一个网络及相关连接和界面一定程度的信任；它支持以太网桥，并有分离运行时间和永久行配置选择。域：firewalld预先准备的几套防火墙的策略，用户可以根据不同的场景选择不同的域。trusted ：允许所有的数据包block：拒绝所有网络连接drop：任何接受的网络数据包都被丢弃，没有任何...
Linux Ubuntu系统iptables防火墙配置
11-11
Linux中iptables是一个静态防火墙工具，不同于动态的firewalld。在Ubuntu 16.04中，不能直接使用iptables相关的systemctl命令进行管理，但可以通过其他方式配置和启用iptables规则。 3. 远程工具 远程访问服务器...
Linux防火墙iptables入门教程
09-15
Iptables是专为Linux操作系统打造的极其灵活的防火墙工具。对Linux极客玩家和系统管理员来说，iptables非常有用。本文将向你展示如何配置最通用的Linux防火墙
Linux 防火墙软件 IPtables使用详解.docx
11-09
Linux 防火墙软件 IPtables使用详解.docx
linux环境下防火墙 iptables的安装包rpm
10-14
linux环境下防火墙 iptables的安装包rpm，linux环境下防火墙 iptables的安装包rpm
linux下防火墙iptables
11-14
linux下防火墙iptables 一、基本知识 二、iptable的安装与配置 禁止端口的实例 强制访问指定的站点 发布内部网络服务器 通过NAT上网 iptables实例
linux中iptables防火墙设置
09-02
首先设置禁止所有的数据流传出传入策略，...注意使用centos7及以上版本系统使用该方法时候禁用firewalld防火墙服务，并下载iptables服务 systemctl disable firewalld --now yum install iptables-services iptables -y
Linux iptables防火墙实用模板
06-22
Linux iptables防火墙实用模板
Linux-防火墙iptables基本命令、常用端口的开放阻止删除.docx
07-19
Linux--防火墙iptables基本命令、常用端口的开放阻止删除.docx
使用Linux系统Iptables防火墙
03-03
Linux kernel使用netfilter对进出的数据包进行过滤，netfilter由三个规则表组成，每个表又有许多内建的链组成。通过使用iptables命令可以对这些表链进行操作，如添加、删除和列出规则等。本文介绍了Netfilter规则表...
linux操作系统iptables 防火墙
03-12
学习 iptables ，它将帮助你理解 Netfilter 和 iptables 在 Linux 中扮演的角色。它会告诉你如何配置、安 装防火墙，你的经验也会随之增长。当然，要想达到你的目标，是要花费时间，还要有毅力。
Linux系统：iptables 防火墙
十七拾的博客
02-18 2690
本文详细介绍了Linux防火墙的iptables工具，详细阐释了iptables的五表五链、及其相关操作，希望对你有帮助！
Linux下的iptables详解
zhaoyi40233的博客
11-01 1905
IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
linux防火墙iptables配置
08-09
要配置Linux防火墙iptables，您可以按照以下步骤进行操作： 1. 首先，关闭firewalld防火墙并取消其开机自启动： ``` systemctl stop firewalld.service systemctl disable firewalld.service ``` 2. 安装...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值