Linux 系统管理员第七章学习

最新推荐文章于 2024-11-08 14:34:47 发布

weixin_49327241

最新推荐文章于 2024-11-08 14:34:47 发布

阅读量760

点赞数

文章标签： linux

本文链接：https://blog.csdn.net/weixin_49327241/article/details/121708513

版权

Linux中的火墙策略优化

实验环境

nodea：
双网卡(vim 两个文件 ifcfg-ens3 ifcfg-ens10)
设定两个网段：
网卡1：192.168.122.100
网卡2：1.1.1.100

nodeb:

单网卡：1.1.1.200

真机：
192.168.122.1

同网段可以ping通

1.火墙介绍

火墙：在内核上安装的一个数据过滤表(数据过滤插件)——netfilter，管理策略。
通过iptables或firewalld来管理iptables这个插件

1.netfilter
2.iptables
3.iptables|firewalld

2.火墙管理工具切换

在rhel8中默认使用的是firewalld

firewalld----->iptables

dnf install iptables-services -y
systemctl stop firewalld
systemctl disable firewalld
systemctl mask firewalld
systemctl enable --now iptables

iptales -------> fiewalld

dnf install firewalld -y
systemctl stop iptables
systemctl disable iptables
systemctl mask iptables
systemctl enable --now firewalld

3. iptables 的使用

切换iptables方式

临时清除

墙策略的永久保存

/etc/sysconfig/iptables ##iptables 策略记录文件

4.火墙默认策略

默认策略中的5条链
input                             ##输入
output                          ##输出
forward                        ##转发
postrouting                 ##路由之后
prerouting                   ##路由之前

默认的3张表

filter ##经过本机内核的数据(input output forward)

nat ##不经过内核的数据(postrouting,prerouting,input,output

mangle ##当filter和nat表不够用时使用(input output forward postrouting,prerouting,)

iptables命令

-t                                 ##指定表名称
-n                                ##不做解析
-L                                ##查看
-A                               ##添加策略
-p                               ##协议
--dport                       ##目的地端口
-s                               ##来源
-j                                 ##动作

ACCEPT          ##允许
DROP               ##丢弃
REJECT           ##拒绝
SNAT                ##源地址转换
DNAT                ##目的地地址转换

-N                        ##新建链
-E                        ##更改链名称
-X                        ##删除链
-D                        ##删除规则
-I                          ##插入规则
-R                        ##更改规则
-P                        ##更改默认规则
数据包状态
RELATED                     ##建立过连接的
ESTABLISHED           ##正在连接的
NEW                              ##新的

5.iptables的NAT地址转换

iptables的NAT地址转换

nat表中的snat

iptables -t nat -A POSTROUTING -o ens3 -j SNAT --to-source 192.168.122.100

使net.ipv4.ip_forward = 1

1.1.1.200主机可以通过双网卡主机ping通192.168.122.1主机，连接192.168.122.1主机时显示的是192.168.122.100双网卡主机

nat表中的dnat

iptables -t nat -A PREROUTING -i ens160 -j DNAT --to-dest 1.1.1.200

使用192.168.122.1主机连接双网卡主机，其实连接的是1.1.1.200主机

firewalld

6.firewalld的开启

firewalld图形界面管理

dnf whatprovides */firewall-config

dnf install firewall-config-0.8.0-4.el8.noarch -y

firewall-config ##打开图形管理界面

7.关于firewalld的域

trusted          ##接受所有的网络连接
home            ##用于家庭网络,允许接受ssh mdns ipp-client samba-client dhcp-client
work             ##工作网络 ssh ipp-client dhcp-client
public           ##公共网络 ssh dhcp-client
dmz              ##军级网络 ssh
block            ##拒绝所有有回复
drop              ##丢弃所有数据全部丢弃无任何回复
internal         ##内部网络 ssh mdns ipp-client samba-client dhcp-client
external        ##ipv4网络地址伪装转发 sshd

8.关于firewalld的设定原理及数据存储

/etc/firewalld ##火墙配置目录
/lib/firewalld ##火墙模块目录

9. firewalld的管理命令

firewall-cmd --state        ##查看火墙状态
firewall-cmd --get-active-zones   ##查看当前火墙中生效的域
firewall-cmd --get-default-zone   ##查看默认域
firewall-cmd --list-all        ##查看默认域中的火墙策略

firewall-cmd --list-all --zone=work    ##查看指定域的火墙策略
firewall-cmd --set-default-zone=trusted   ##设定默认域
firewall-cmd --get-services         ##查看所有可以设定的服务
firewall-cmd --permanent --remove-service=cockpit     ##移除服务
firewall-cmd --reload
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block   ##指定数据来源访问指定域
firewall-cmd --reload
firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block    ##删除自定域中的数据来源

firewall-cmd --permanent --remove-interface=ens224 --zone=public    ##删除指定域的网络接口
firewall-cmd --permanent --add-interface=ens224 --zone=block   ##添加指定域的网络接口
firewall-cmd --permanent --change-interface=ens224 --zone=public    ##更改网络接口到指定域