Linux中的火墙优化策略

最新推荐文章于 2023-08-07 20:19:43 发布

沈泽宇.

最新推荐文章于 2023-08-07 20:19:43 发布

阅读量70

点赞数

文章标签： linux

本文链接：https://blog.csdn.net/weixin_46774658/article/details/119511981

版权

实验环境：
真机：172.25.254.25
虚拟机：
westosa：双网卡
网卡1：1.1.1.125
网卡2：172.25.254.125
westosb：单网卡
1.1.1.25
网关：1.1.1.125

火墙介绍 ####
1.netfilter
2.iptables
3.iptables|firewalld

火墙管理工具切换 ####
在rhel8中默认使用的是firewalld

firewalld----->iptables

dnf install iptables-services -y
systemctl stop firewalld
systemctl disable firewalld
systemctl mask firewalld
systemctl unmask iptables
systemctl enable --now iptables

iptales -------> fiewalld
dnf install firewalld -y
systemctl stop iptables
systemctl disable iptables
systemctl mask iptables
systemctl unmask firewalld
systemctl enable --now firewalld

火墙默认策略
默认策略中的5条链
input           ##输入
output           ##输出
forward           ##转发
postrouting       ##路由之后
prerouting       ##路由之前
默认的3张表
filter       ##经过本机内核的数据（input output forward）
nat       ##不经过内核的数据（postrouting，prerouting,input,output）
mangle       ##当filter和nat表不够用时使用（input output forward postrouting，prerouting,）

firewalld #######

## 1 firewalld的开启 ##
systemctl stop iptables
systemctl disable iptables
systemctl mask iptables

systemctl unmask firewalld
systemctl enable --now firewalld

##2.关于firewalld的域 ##
trusted       ##接受所有的网络连接
home       ##用于家庭网络，允许接受ssh mdns ipp-client samba-client dhcp-client
work       ##工作网络 ssh ipp-client dhcp-client
public       ##公共网络 ssh dhcp-client
dmz       ##军级网络 ssh
block       ##拒绝所有
drop       ##丢弃   所有数据全部丢弃无任何回复
internal   ##内部网络 ssh mdns ipp-client samba-client dhcp-client
external   ##ipv4网络地址伪装转发 sshd

##3.关于firewalld的设定原理及数据存储 ##

/etc/firewalld ##火墙配置目录
/lib/firewalld ##火墙模块目录

##4. firewalld的管理命令 ##
firewall-cmd --state ##查看火墙状态
firewall-cmd --get-active-zones ##查看当前火墙中生效的域
firewall-cmd --get-default-zone ##查看默认域
firewall-cmd --list-all ##查看默认域中的火墙策略

firewall-cmd --list-all --zone=work ##查看指定域的火墙策略
firewall-cmd --set-default-zone=trusted ##设定默认域

firewall-cmd --get-services ##查看所有可以设定的服务

firewall-cmd --permanent --add-service=cockpit ##添加服务
firewall-cmd --permanent --remove-service=cockpit ##移除服务
firewall-cmd --reload

firewall-cmd --permanent --add-source=172.25.254.25/24 --zone=block ##指定数据来源访问指定域
firewall-cmd --reload
firewall-cmd --permanent --remove-source=172.25.254.25/24 --zone=block ##删除自定域中的数据来源

firewall-cmd --permanent --remove-interface=ens11 --zone=public ##删除指定域的网络接口
firewall-cmd --permanent --add-interface=ens11 --zone=block ##添加指定域的网络接口
firewall-cmd --permanent --change-interface=ens11 --zone=public ##更改网络接口到指定域

firewalld 图形管理

dnf whatprovides */firewall-config
dnf install firewall-config-*** -y

## 5. firewalld的高级规则 ##

firewall-cmd --direct --get-all-rules ##查看高级规则
firewall-cmd --direct --add-rule ipv4 filter INPUT 1 ! -s 172.25.254.25 -p tcp --dport 80 -j REJECT

除了25主机可以通过80端口访问本机，其他不可

firewall-cmd --direct --remove-rule ipv4 filter INPUT 1 ! -s 172.25.254.25 -p tcp --dport 80 -j REJECT
移除高级规则

## 6.firewalld中的NAT ##
实验环境是不变的
SNAT (正向地址伪装)
双网卡
firewall-cmd --permant --add-masquerade
firewall-cmd --reload

单网卡
ssh -l root 172.25.254.25
真机
w -i
显示的是双网卡的172.25.254.125连接的自己

DNAT

双网卡
firewall-cmd --permanent --add-forward-port=port=22:proto=tcp:toaddr=1.1.1.25
firewall-cmd --reload

真机：
ssh -l root 172.25.254.125 会跳转连接到到1.1.1.25

单网卡：
w -i
显示的是双网卡的1.1.1.125连接的自己

iptables 的使用 ####

#火墙策略的永久保存#
/etc/sysconfig/iptables ##iptables 策略记录文件

永久保存策略
iptales-save > /etc/sysconfig/iptables
service iptables save

iptables命令
监控 watch -n 1 iptables -nL

iptables
   -t       ##指定表名称
   -n       ##不做解析
   -L       ##查看
   -A       ##添加策略
   -p       ##协议
   --dport       ##目的地端口
   -s       ##来源
   -j       ##动作
       ACCEPT   ##允许
       DROP   ##丢弃
       REJECT   ##拒绝
       SNAT   ##源地址转换
       DNAT   ##目的地地址转换
   -N       ##新建链
   -E       ##更改链名称
   -X       ##删除链
   -D       ##删除规则
   -I       ##插入规则
   -R       ##更改规则
   -P       ##更改默认规则