【图文教程】防火墙

最新推荐文章于 2024-06-20 08:36:55 发布
最新推荐文章于 2024-06-20 08:36:55 发布
阅读量1k 收藏 3
点赞数
分类专栏： Linux 【图文教程】 文章标签： Linux 防火墙
本文为博主原创文章，未经博主允许不得转载，如有问题，欢迎指正，谢谢。
本文链接：https://blog.csdn.net/weixin_44816331/article/details/98172457
版权
本文介绍了Linux防火墙的基础知识，包括firewalld和netfilter，详细讲解了iptables的5表5链以及常用命令。通过案例演示了如何使用iptables进行规则配置，实现过滤和端口映射。此外，还探讨了firewalld的9个zone，以及如何进行zone管理和service配置。最后，介绍了iptables规则的备份与恢复方法。
摘要由CSDN通过智能技术生成

防火墙

1. firewalld和netfilter

SELINUX介绍

安全增强型 Linux (SecurityEnhanced Linux) 简称 SELinux , 它是—个 Linux 内核模块， 也是Linux 的—个安全子系统。SELinux 主要由美国国家安全局开发。2.6及以上版本的 Linux 内核都已经集成了 SELinux 模块。 SELinux 的结构及配置非常复杂， 而且大量概念性的东西， 要学精难度较大。很多 Linux 系统管理员嫌麻烦都把 SELinux关闭 了。

1. 临时关闭：selinux：
[root@sc ~]# setenforce 0
2. 查看关闭状态：getenforce
[root@sc ~]# getenforce 0
Permissive  #开启状态，但不生效。
[root@sc ~]#
3. 永久关闭 selinux：编辑 /etc/selinux/config 文件，把 SELINUX 行改为 disabled ，然后重启操作系统：

三个状态：
enforcing：开启
permissive：开启状态， 但是不生效， 只记录日志。临时关闭， 会调整到这个状态。
disabled：关闭
更改完配置后， 需要重启系统， 方可生效。

SELINUX 一般情况下都是关闭的，因为开启的话会有很多服务受限于它，从而增大运维的成本，而且关闭了 SELINUX 也不会对安全有什么影响。

[root@sc ~]# vi /etc/selinux/config

在这里插入图片描述

4. 在 CentOS7 上也可以使用 netfilter 机制的防火墙

netfilter 防火墙在 CentOS6 之前的版本是这个名字，在 CentOS7 则变成了 firewalld ，而且机制也变得不太一样，但是内部的工具： iptables 的用法是一样的。 iptables 可以去添加一些规则，比如关闭或开放端口。

5. 首先关闭 CentOS7 上的 firewalld 服务
[root@sc ~]# systemctl disable  firewalld  #禁止 firewalld 开机自启动
Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.
[root@sc ~]# systemctl stop  firewalld  #关闭 firewalld 服务
[root@sc ~]#
6. 如果想启动 netfilter 服务，我们需要安装 iptables-services 包，安装这个包等于开启了 netfilter 服务
[root@sc ~]# yum install -y iptables-services  #安装 iptables 服务
[root@sc ~]# systemctl enable iptables  #启用服务
Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.
[root@sc ~]# systemctl start iptables  #开始服务
[root@sc ~]#

10.13 netfilter5表5链介绍

netfilter 5表5链详解：http://www.cnblogs.com/metoy/p/4320813.html

在这里插入图片描述

netfilter 5表：

filte表
三个链： INPUT、 FORWARD、 OUTPUT作用：过滤数据包
内核模块：iptables _filter. 

Nat表
三个链： PRE ROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换(IP、 端口）内核模块：iptable_nat 

Mangle表
五个链：PRE ROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS
内核模块：iptable _ mangle(别看这个表这么麻烦，咱们设置策略时几乎都不会用到它）

Raw表
两个链：OUTPUT、PREROUTING
作用：决定数据包是否被状态跟踪机制处理
内核模块：iptable_raw 

Security表
三个链：INPUT、OUTPUT和FORWARD
作用：Security表在centos6中并没有，用千强制访问控制(MAC)的网络规则
内核模块：iptable_security

在这里插入图片描述

netfilter 5链：

PREROUTING: 数据包进入路由表之前
INPUT: 通过路由表后目的地为本机
FORWARD: 通过路由表后，目的地不为本机
OUTPUT: 由本机产生，向外发出
POSTROUTING: 发送到网卡接口之前
1. Nat表映射示意图：

在这里插入图片描述

2. netfilter 5链示意图：

在这里插入图片描述

10.14 iptables语法

在这里插入图片描述

iptables介绍：

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

参数 参数含义
-t<表> 指定要操纵的表
-A 向规则链中添加条目
-D 从规则链中删除条目
-i 向规则链中插入条目
-R 替换规则链中的条目
-L 显示规则链中已有的条目
-F 清除规则链中已有的条目
-Z 清空规则链中的数据包计算器和字节计数器
-N 创建新的用户自定义规则链
-P 定义规则链中的默认目标
-h 显示帮助信息
-p 指定要匹配的数据包协议类型
-s 指定要匹配的数据包源ip地址
-j<目标> 指定要跳转的目标
-i<网络接口> 指定数据包进入本机的网络接口
-o<网络接口> 指定数据包要离开本机所使用的网络接口 
表名包括：

filter：包过滤，用于防火墙规则。

net：地址转换，用于网关路由器。

规则链名包括：

INPUT链：处理输入数据包。

OUTPUT链：处理输出数据包。

PORWARD链：处理转发数据包。

PREROUTING链：用于目标地址转换（DNAT）。

POSTOUTING链：用于源地址转换（SNAT）。

动作包括：

ACCEPT：接收数据包。

DROP：丢弃数据包。

REDIRECT：重定向、映射、透明代理。

SNAT：源地址转换。

DNAT：目标地址转换。

MASQUERADE：IP伪装（NAT），用于ADSL。

LOG：日志记录。
iptables参数示例：
1. 使用 iptables -nvL 命令查看 iptables 服务自带的一些规则：
[root@sc ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   34  2448 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 23 packets, 3076 bytes)
 pkts bytes target     prot opt in     out     source               destination         
[root@sc ~]#

[root@sc ~]# service iptables restart  #重启 iptables 这个服务的命令
2. iptables 的默认规则在 /etc/sysconfig/iptables 文件里保存着：
[root@sc ~]# cat /etc/sysconfig/iptables
# sample configuration for iptables service
# you can edit this manually or use system-config-firewall
# please do not ask us to add additional ports/services to this default configuration
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
[root@sc ~]#
3. 清除规则使用 iptables -F 命令，这样虽然清空了规则，但是默认规则还会保存在 /etc/sysconfig/iptables 文件里：
[root@sc ~]# iptables -F  #清除规则命令
[root@sc ~]# iptables -nvL  #查看指令
Chain INPUT (policy ACCEPT 16 packets, 1168 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 9 packets, 1212 bytes)
 pkts bytes target     prot opt in     out     source               destination         
[root@sc ~]# cat /etc/sysconfig/iptables  #虽然清除了规则，但是默认规则依然存在
# sample configuration for iptables service
# you can edit this manually or use system-config-firewall
# please do not ask us to add additional ports/services to this default configuration
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
[root@sc ~]#
4. 重启 iptables 规则：
[root@sc ~]# service iptables restart
5. 想要把当前规则保存到 /etc/sysconfig/iptables 文件里就要使用 service iptables save 命令：

在这里插入图片描述

如果没有保存到 /etc/sysconfig/iptables 文件里的话，重启服务后就会重新加载 /etc/sysconfig/iptables 文件里的规则：

[root@sc ~]# service iptables restart  #重启 iptables 服务
Redirecting to /bin/systemctl restart iptables.service
[root@sc ~]# iptables -nvL  #查看指令
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    6   428 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 4 packets, 496 bytes)
 pkts bytes target     prot opt in     out     source               destination         
[root@sc ~]#
最低0.47元/天 解锁文章
孫筅貹
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
华三防火墙快速入门教程
11-16
H3C V5 V7版本的命令行配置和web配置都有，让你快速上手华三防火墙基本配置，成为优秀的系统集成工程师
iptables入门教程--设置静态防火墙(z)来自www.linuxsir.org 作者liweioop
bon_jovi的专栏
08-19 1984
iptables入门教程--设置静态防火墙发布时间：2005年5月30日 10时36分介绍：这篇文章是本人原创，向读者展示了如何一步一步建立静态防火墙来保护您的计算机，同时在每一步中，我力图向读者讲述清楚原理。在这篇教程之后，你将能理解到防火墙内在过滤机制，同时也能自己动手创建符合自己要求的防火墙。版权所有，转载请注明来自www.linuxsir.org 并写明作者liweioop1、iptabl
防火墙配置【最详细的实验演示】
最新发布
Innocence_0的博客
06-20 1810
以上操作可定义一个名称为new，优先级为60的安全域从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）
防火墙教程
人饭子的博客
02-28 585
https://github.com/haidragon/study_firewall # firewall 主动防御-网络过滤器(firewall) # windows篇 * 第一课 网络基础(socket) * https://github.com/haidragon/study_firewall/blob/master/study_firewall/page1/page.md * 第二课 ...
如何配置防火墙？看这篇就够了
热门推荐
wuli1024的博客
11-27 1万+
例如，一个企业按图 1-3 划分防火墙的安全区域，内网接口加入 trust 安全区域，外网接口加入 untrust 安全区域，服务器区接口加入 dmz 安全区域，另外为访客区自定义名称为 guest 的安全区域。反之如果防火墙主动访问其他安全区域的对象，例如防火墙向日志服务器上报日志、防火墙连接安全中心升级特征库等，需要配置 local 到其他安全区域的安全策略。另外除了物理接口，防火墙还支持逻辑接口，如子接口、VLANIF、Tunnel 接口等，这些逻辑接口在使用时也需要加入安全区域。
Win2003 自带防火墙的设置图文教程
09-30
对于采用Windows2003或者WindowsXP的用户来说，不需要安装任何其他软件，因为可以利用系统自带的“Internet连接防火墙”来防范黑客的攻击。
SSM防火墙基本图文教程.pdf
11-03
SSM防火墙基本图文教程.pdf
远程登录 图文教程
02-10
### 远程登录图文教程详解 #### 一、设置篇 在进行远程登录之前，我们需要对本地计算机进行一些基本的设置。以下步骤将指导您完成这些准备工作。 **1. 启用远程桌面服务** - **操作步骤**： - 打开“控制面板...
Exchange 2013 图文教程
10-30
《Exchange 2013 图文教程：深入解析安装与配置》 Exchange 2013作为Microsoft Exchange Server系列中的一个重要版本，提供了丰富的邮件服务、日历管理、联系人同步等功能，是企业级电子邮件系统的核心组件。对于...
10分钟教你完全掌握防火墙配置！！！！！
Bouddha_ZZ的博客
09-13 6473
1.防火墙支持那些NAT技术，主要应用场景是什么？2.当内网PC通过公网域名解析访问内网服务器时，会存在什么问题，如何解决？请详细说明3.防火墙使用VRRP实现双机热备时会遇到什么问题，如何解决？详细说明4.防火墙支持那些接口模式，一般使用在那些场景？5.客户反馈在部署防火墙后网络出现个别区域PC无法访问互联网，你觉得会是什么原因？
教学 网络防火墙原理.doc
12-21
教学 网络 防火墙 原理教学 网络 防火墙 原理教学 网络 防火墙 原理教学 网络 防火墙 原理
防火墙配置教学录像
03-16
防火墙配置教学录像 配置自己安全的防火墙系统
looknstop防火墙详细教程
09-25
首先，当你看到这篇文章而跃跃欲试时，请你先下载文中提供的中文语言包，这个语言包能让你更好地理解LNS的各个功能。长期以来因机器性能差，且机器有重要文档而不断寻找一款占资源少且性能优异的防火墙，在经历了ZA、OP后，终于发现Look’n’stop是心目中理想的防火墙。 在寻找过程中，不断发现有网友认为LNS难以配置、造成不能上网等问题，对这些问题本人感到困惑和不解：LNS只是一款简单的工具软件，是什么原因使大家 难以使用呢？经过一周的研究，本人有了写这篇文章的冲动，恰好应一位朋友所托，故写出来与大家共享。希望能通过这篇文章，使英文不太好的网友也能很快掌握 并熟悉使用这个款难得的墙。
八大主流防火墙安装配置教程
01-27
防火墙配置有三种：Dual-homed方式、Screened- host方式和Screened-subnet方式。 Dual-homed方式最简单。 Dual-homedGateway放置在两个网络之间，这个Dual-homedGateway又称为bastionhost。这种结构成本低，但是它有单点失败的问题。这种结构没有增加网络安全的自我防卫能力，而它往往是受“黑客”攻击的首选目标，它自己一旦被攻破，整个网络也就暴露了。 Screened-host方式中的Screeningrouter为保护Bastionhost的安全建立了一道屏障。它将所有进入的信息先送往Bastionhost，并且只接受来自Bastionhost的数据作为出去的数据。这种结构依赖Screeningrouter和Bastionhost，只要有一个失败，整个网络就暴露了。 Screened-subnet包含两个Screeningrouter和两个Bastionhost。在公共网络和私有网络之间构成了一个隔离网，称之为”停火区”(DMZ，即DemilitarizedZone),Bastionhost放置在“停火区”内。这种结构安全性好，只有当两个安全单元被破坏后，网络才被暴露，但是成本也很昂贵。
思科SAS系列防火墙详细配置教程
01-04
思科Firepower 是集成的网络安全和流量管理产品套件，部署在专用平台上或作为软件解决方案。系 统旨在帮助您以符合组织的安全策略（网络保护准则）的方式处理网络流量。 在典型部署中，安装于各网段的多台流量感应受管设备监控流量以进行分析并向管理器报告。 • Firepower 管理中心 • Firepower 设备管理器 • 自适应安全设备管理器(ASDM) 管理器提供具有图形用户界面的中央管理控制台，供您用于执行行政管理、普通管理、分析和报告 任务。 本指南重点介绍Firepower 管理中心管理设备。有关通过ASDM 管理FirePOWER 服务的Firepower 设备管理器或ASA 的信息，请参阅有关这些管理方法的指南。
华为防火墙配置笔记
weixin_30375247的博客
07-05 5536
防火墙（Firewall）也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网（US5606668（A）1993-12-15）防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙是系统的第一道防线，其作用是防止非法用户的进入。 初始化防火墙 初始化防火墙: 默认用户名为admin,默认的密码Admin@12...
【实战教程】防火墙常见NAT技术，让你一次看个够！
didiplus
01-18 1401
在网络安全的巨浪中，NAT（Network Address Translation，网络地址转换）技术如一道巧妙的幕后英雄，通过修改数据包的地址信息，为网络提供了额外的安全隐匿层。这种技术允许多个内部设备共享同一个公共IP地址，有效遏制了潜在威胁，同时为网络布局提供了更灵活的可能性。在防火墙的舞台上，NAT技术犹如一把神奇的变形剑，为网络安全策略增色添彩，实现了内外网络间的巧妙互动。今天继续接着上一节的内容完成今天的内容，今天主要讲解防火墙上常见的NAT技术。
【实战教程】从零开始学防火墙服务部署，让你的网络安全防护无懈可击！
didiplus
01-19 604
在数字时代，网络安全成为企业至关重要的一环。而防火墙，则如同企业的坚实城墙，屏蔽潜在威胁，确保信息的安全流通。在部署防火墙时，关键的一步是选择和配置常见服务，这既包括访问控制、身份认证，又包括虚拟专用网络（VPN）等关键服务，为网络打造一道坚不可摧的安全屏障。今天接着上一节继续完成今天的任务，在防火墙部署PPPoE服务。接着我们在PC1上验证，DHCP的功能是否正常。好了，今天的内容就分享到这里。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值