Linux学习之八【iptables 与firewalld 防火墙】

整理自刘遄老师的《Linux就该这么学》，网站链接

8、iptables 与firewalld 防火墙

8.1 防火墙管理工具

在公网与企业内网之间充当保护屏障的防火墙虽然有软、硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样一来，就可以保证仅有合法的流量在企业内网和外部公网之间流动了。

在 RHEL 7 系统中，firewalld 防火墙取代了iptables 防火墙。其实，iptables 与firewalld 都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务。iptables服务会把配置好的防火墙策略交由内核层面的netfilter 网络过滤器来处理，而firewalld 服务则是把配置好的防火墙策略交由内核层面的nftables 包过滤框架来处理。换句话说，当前在Linux 系统中其实存在多个防火墙管理工具，旨在方便运维人员管理Linux 系统中的防火墙策略，我们只需要配置妥当其中的一个就足够了。

8.2 iptables

在早期的Linux 系统中，默认使用的是iptables 防火墙管理服务来配置防火墙。

1、策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：
􀂾 在进行路由选择前处理数据包（PREROUTING）；
􀂾 处理流入的数据包（INPUT）；
􀂾 处理流出的数据包（OUTPUT）；
􀂾 处理转发的数据包（FORWARD）；
􀂾 在进行路由选择后处理数据包（POSTROUTING）。
我们使用最多的就是INPUT 规则链，该规则链可以增大黑客人员从外网入侵内网的难度。

仅有策略规则是不够的，还要设置采用的动作来处理匹配的流量，这些动作对应到iptables 服务
的术语中分别是ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。注意区别：DROP 是直接将流量丢弃而且不响应；REJECT 则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。
当把 Linux 系统中的防火墙策略设置为REJECT 拒绝动作后，流量发送方会看到端口不可达的响应：

[root@linuxprobe ~]# ping -c 4 192.168.10.10
PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data.
From 192.168.10.10 icmp_seq=1 Destination Port Unreachable
From 192.168.10.10 icmp_seq=2 Destination Port Unreachable
From 192.168.10.10 icmp_seq=3 Destination Port Unreachable
From 192.168.10.10 icmp_seq=4 Destination Port Unreachable
--- 192.168.10.10 ping statistics ---
4 packets transmitted, 0 received, +4 errors, 100% packet loss, time 3002ms

而把 Linux 系统中的防火墙策略修改成DROP 拒绝动作后，流量发送方会看到响应超时的提醒。但是流量发送方无法判断流量是被拒绝，还是接收方主机当前不在线：

[root@linuxprobe ~]# ping -c 4 192.168.10.10
PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data.
--- 192.168.10.10 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3000ms

2、iptables 中基本的命令参数

iptables 是一款基于命令行的防火墙策略管理工具，具有大量参数，学习难度较大。但对于日常的防火墙策略配置来讲，只需掌握常用参数并做到灵活搭配即可，就足以应对日常工作。

iptables 命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables 就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。常用的iptables 命令参数：

查看已有的防火墙规则链：iptables -L
清空已有的防火墙规则链：iptables -F
把INPUT 规则链的默认策略设置为拒绝：iptables -P INPUT DROP
【注意：规则链的默认拒绝动作只能是DROP，而不能是REJECT。】
向 INPUT 链中添加允许ICMP 流量进入的策略规则：iptables -I INPUT -p icmp -j ACCEPT
删除INPUT 规则链中刚刚加入的那条策略（允许ICMP 流量），并把默认策略设置为允许：
iptables -D INPUT 1
iptables -P INPUT ACCEPT
将INPUT 规则链设置为只允许指定网段的主机访问本机的22 端口(ssh服务)，拒绝来自其他所有主机的流量：
iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT
【再次重申，防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。】
向INPUT 规则链中添加拒绝所有人访问本机12345 端口的策略规则：
iptables -I INPUT -p tcp --dport 12345 -j REJECT
iptables -I INPUT -p udp --dport 12345 -j REJECT
向INPUT 规则链中添加拒绝192.168.10.5 主机访问本机80 端口（Web 服务）的策略规则：
iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT
向INPUT 规则链中添加拒绝所有主机访问本机1000～1024 端口的策略规则：
iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT
iptables -A INPUT -p udp --dport 1000:1024 -j REJECT
此时，查看已有的防火墙规则链：

[root@linuxprobe ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
REJECT tcp -- 192.168.10.5 anywhere tcp dpt:http reject-with icmp-port-unreachable
REJECT udp -- anywhere anywhere udp dpt:italk reject-with icmp-port-unreachable
REJECT tcp -- anywhere anywhere tcp dpt:italk reject-with icmp-port-unreachable
ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh
REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable
REJECT tcp -- anywhere anywhere tcp dpts:cadlock2:1024 reject-with icmp-portunreachable
REJECT udp -- anywhere anywhere udp dpts:cadlock2:1024 reject-with icmp-port
unreachable
………………省略部分输出信息………………

最后注意：使用iptables 命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令service iptables save

8.3 firewalld

firewalld服务是是RHEL7系统默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

相较于传统的防火墙管理配置工具，firewalld 支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld 预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。firewalld 中常见的区域名称（默认为public）以及相应的策略规则：

1、终端管理工具

firewalld-cmd 是firewalld 防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的，RHEL 7 系统支持部分命令的参数补齐，其中就包含这条命令。所以，不仅可以用Tab键自动补齐命令或文件名，还可以补齐下表中的长格式参数：

与 Linux 系统中其他的防火墙策略配置工具一样，使用firewalld 配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd 命令正常设置防火墙策略时添加--permanent 参数，这样配置的防火墙策略就可以永久生效了。但是，使用永久生效模式的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload 命令。

查看 firewalld 服务当前所使用的区域：firewall-cmd --get-default-zone
查询 eno16777728 网卡在firewalld 服务中的区域：firewall-cmd --get-zone-of-interface=eno16777728
把 firewalld 服务中eno16777728 网卡的默认区域修改为external，并在系统重启后生效：
firewall-cmd --permanent --zone=external --change-interface=eno16777728
把 firewalld 服务的当前默认区域设置为public：firewall-cmd --set-default-zone=public
启动/关闭firewalld 防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）：
firewall-cmd --panic-on
firewall-cmd --panic-off
查询 public 区域是否允许请求SSH 和HTTPS 协议的流量：
firewall-cmd --zone=public --query-service=ssh
firewall-cmd --zone=public --query-service=https
把 firewalld 服务中请求HTTPS 协议的流量设置为永久允许，并立即生效：
firewall-cmd --pernmanent --zone=public --add-service=https
firewall-cmd --reload
把 firewalld 服务中请求HTTP 协议的流量设置为永久拒绝，并立即生效：
firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload
把在firewalld 服务中访问8080 和8081 端口的流量策略设置为允许，但仅限当前生效：
firewall-cmd --zone=public --add-port=8080-8081/tcp
把原本访问本机 888 端口的流量转发到22 端口，要且求当前和长期均有效：
firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp;TOPORT=22:toaddr=192.168.10.10
firewall-cmd --reload
【扩展：流量转发命令格式为 firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP 地址>】

firewalld 中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。比如，我们可以在firewalld 服务中配置一条富规则，使其拒绝192.168.10.0/24 网段的所有用户访问本机的ssh 服务（22 端口）：
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
firewall-cmd --reload

2、图形管理工具

firewall-config是firewalld 防火墙配置管理工具的GUI版本，几乎可以实现所有以命令行来执行的操作。推荐！

其功能具体如下：
􀂾 1：选择运行时（Runtime）模式或永久（Permanent）模式的配置。
􀂾 2：可选的策略集合区域列表。
􀂾 3：常用的系统服务列表。
􀂾 4：当前正在使用的区域。
􀂾 5：管理当前被选中区域中的服务。
􀂾 6：管理当前被选中区域中的端口。
􀂾 7：开启或关闭SNAT（源地址转换协议）技术。
􀂾 8：设置端口转发策略。
􀂾 9：控制请求icmp 服务的流量。
􀂾 10：管理防火墙的富规则。
􀂾 11：管理网卡设备。
􀂾 12：被选中区域的服务，若勾选了相应服务前面的复选框，则表示允许与之相关
的流量。
􀂾 13：firewall-config 工具的运行状态。

SNAT 是一种为了解决IP 地址匮乏而设计的技术，它可以使得多个内网中的用户通过同一个外网IP 接入Internet，其具有广泛的应用。使用 iptables 命令实现SNAT 技术是一件很麻烦的事情，但是在firewall-config 中却非常简单。

端口转发

富规则配置

将网卡与防火墙策略区域绑定

8.4 服务的访问控制列表

TCP Wrappers 是RHEL 7 系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。换句话说，Linux 系统中其实有两个层面的防火墙，第一种是前面讲到的基于TCP/IP 协议的流量过滤工具，而TCP Wrappers 服务则是能允许或禁止Linux 系统提供服务的防火墙，从而在更高层面保护了Linux 系统的安全运行。

TCP Wrappers 服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量，也可以编辑拒绝控制列表文件来阻止对服务的请求流量。控制列表文件修改后会立即生效，系统将会先检查允许控制列表文件（/etc/hosts.allow），如果匹配到相应的允许策略则放行流量；如果没有匹配，则去进一步匹配拒绝控制列表文（/etc/hosts.deny），若找到匹配项则拒绝该流量。如果这两个文件全都没有匹配到，则默认放行流量。

在配置 TCP Wrappers 服务时需要遵循两个原则：
􀂾 编写拒绝策略规则时，填写的是服务名称，而非协议名称；
􀂾 建议先编写拒绝策略规则，再编写允许策略规则，以便直观地看到相应的效果。