监控与服务安全-----防火墙

1.安装iptables防火墙服务程序,并启动

yum -y install iptables-services
systemctl start iptables.service
systemctl status iptables.service

2.iptables的组成 (4张表,5条链)

4张表: (表是防火墙服务的功能分类)
raw 表 : 状态跟踪表
mangle 表 : 包标记表
nat 表 : 地址转化表
fileter表 : 过滤表

5条链 : (匹配数据包传输方向)
INPUT : 进入防火墙主机的数据包
OUTPUT : 从防火墙主机出去的数据包
FORWARD : 经过防火墙主机的数据包
POSTROUTING : 路由后处理
PREROUTING : 路由前处理

3.管理防火墙的命令格式

]# iptables -t 表名 选项 链名 条件 -j 处理动作

(规则)选项:
- 添加规则
- A 在链的末尾追加一条规则
- I 在链的开头插入一条规则
- 查看规则
- L 列出所有的规则条目 (列出序号)
- n 以数字的形式显示地址,端口等信息
- - line-numbers 查看规则时,显示规则的序号
- 删除规则 - D 删除链内指定序号(或内容)的一条规则
- F 清空所有规则
- 默认策略 - P 为指定的链设置默认规则

匹配条件:
1.通用匹配
- 协议匹配 : -p 协议名
- 地址匹配 : -s 源地址 -d 目标地址
- 接口匹配 : -i 收数据的网卡 -o 发数据的网卡
2. 隐含匹配
- 端口匹配; --sport 源端口 --dport 目标端口
- ICMP类型匹配: --icmp-type ICMP类型

规则链内的匹配顺序 :
- 顺序匹配,匹配即停止 (LOG除外)
- 若无任何匹配,则按该链的默认策略处理

处理动作:
DROP 丢弃 (执行操作之后防火墙不给任何信息提示,知道访问时间超时自动断开)
REJECT 拒绝 (执行操作之后防火墙提供数据提示)
ACCEPT 放行
LOG 记录日志
SNAT 源地址转换
DNAT 转换目标地址

4.防火墙类型: (链的默认策略只能是drop或者accept)

		**- 主机型防火墙 (自己保护自己)      使用    filter表    INPUT链**

例子:
]# yum -y install iptables-services //装包
]# systemctl start iptables //开启
]# systemctl status iptables //检查状态
]# iptables -t filter -nL --line-numbers //查看
]# iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT //-p 指定协议 -j 指定处理动作
]# iptables -t filter -P INPUT DROP //-P 指定默认策略
以上配置表示: 这台主机只能接收ssh请求,其他的请求全部拒绝
]# iptables -t filter -I INPUT 1 -s 192.168.2.0/24 -p tcp --dport 22 -j ACCEPT //在INPUT链里添加规则,切规则序号为1 ,允许2网段的主机ssh访问本机.

]# iptables -t filter -A INPUT -d 192.168.2.51 -p tcp --dport 80 -j ACCEPT 开通本机2网段端口,可以被2网段的客户端访问本机http
]# iptables-save > /etc/sysconfig/iptables //永久保存配置

]# iptables -t filter -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT //让防火墙主机可以ping通客户端,而客户端Ping不通防火墙主机

		**- 网络型防火墙   伪路由   (控制数据包是否允许经过自己)		使用  filter 表     FORWORD 链**

环境配置:

host52 :
]# route add default gw 192.168.2.51 修改本机网关命令
]# route -n 查看当下本机的网关信息
host51:
]# echo 1 > /proc/sys/net/ipv4/ip_forward //开启本机路由功能
]# echo ‘net.ipv4.ip_forward=1’ >> /etc/sysctl.conf
]# sysctl -a //列出所有的参数
]# sysctl -p //配置永久生效
host50:
]# route add default gw 192.168.4.51 修改本机网关命令
]# route -n 查看当下本机的网关信息

例子:
host51
]# iptables -t filter -P FORWARD DROP //指定默认规则为DROP
]# iptables -t filter -A FORWARD -p tcp --dport 80 -j ACCEPT
]# iptables -t filter -A FORWARD -p tcp --sport 80 -j ACCEPT // 允许主机50与52互相访问各自的网页
]# iptables -t filter -A FORWARD -p tcp --dport 22 -j ACCEPT
]# iptables -t filter -A FORWARD -p tcp --sport 22 -j ACCEPT //允许主机50与52用ssh互相访问

5.扩展匹配

常用的扩展条件类型

		-  MAC地址匹配   :   - m   mac   --mac-source  MAC地址
		-  多端口匹配  :        - m multiport   --sports   源端口列表
										- m multiport   -- dport    目标端口列表 
		-  IP范围匹配   :       - m iprange   --src-range  IP1- IP2 
										- m iprange   --dst-range  IP1-IP2

例子:

		]#  iptables -t filter -I FORWARD  -p icmp -m iprange --src-range 192.168.4.50-192.168.4.60 -j DROP