防火墙 = 防火？？？ 原来这就是防火墙，防火墙的种类和原理

目录

防火墙

什么是防火墙

iptables

firewalld

---

防火墙

什么是防火墙

防火墙：防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。

防火墙又可以分为硬件防火墙与软件防火墙。硬件防火墙是由厂商设计好的主机硬件，这台硬件防火墙的操作系统主要以提供数据包数据的过滤机制为主，并将其他不必要的功能拿掉。软件防火墙就是保护系统网络安全的一套软件（或称为机制），例如Netfilter与TCP Wrappers都可以称为软件防火墙。这儿主要介绍linux系统本身提供的软件防火墙的功能，那就是Netfilter，即数据包过滤机制。

数据包过滤，也就是分析进入主机的网络数据包，将数据包的头部数据提取出来进行分析，以决定该连接为放行或抵挡的机制。由于这种方式可以直接分析数据包头部数据，包括硬件地址，软件地址，TCP、UDP、ICMP等数据包的信息都可以进行过滤分析，因此用途非常广泛（主要分析OSI七层协议的2、3、4层）。由此可知，linux的Netfilter机制可以进行的分析工作有：

1、拒绝让Internet的数据包进入主机的某些端口；

2、拒绝让某些来源ip的数据包进入；

3、拒绝让带有某些特殊标志（flag）的数据包进入，最常拒绝的就是带有SYN的主动连接的标志了；

4、分析硬件地址（MAC）来决定连接与否。

虽然Netfilter防火墙可以做到这么多事情，不过，某些情况下，它并不能保证我们的网络一定就很安全。例如：

1、防火墙并不能有效阻挡病毒或木马程序。（假设主机开放了www服务，防火墙的设置是一定要将www服务的port开放给client端的。假设www服务器软件有漏洞，或者请求www服务的数据包本身就是病毒的一部分时，防火墙是阻止不了的）

2、防火墙对于内部LAN的攻击无能为力（防火墙对于内部的规则设置通常比较少，所以就很容易造成内部员工对于网络无用或滥用的情况）

netfilter这个数据包过滤机制是由linux内核内建的，不同的内核版本使用的设置防火墙策略的软件不一样，在红帽7系统中firewalld服务取代了iptables服务，但其实iptables服务与firewalld服务它们都只是用来定义防火墙策略的“防火墙管理工具”而已，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter。

- 图源自网络 

iptables

 iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

 在进行路由选择前处理数据包，用于目标地址转换（PREROUTING）；

处理流入的数据包（INPUT）；

处理流出的数据包（OUTPUT）；

处理转发的数据包（FORWARD）；

在进行路由选择后处理数据包，用于源地址转换（POSTROUTING）。

A: 搭建web服务，设置任何人能够通过80端口访问。
B: 禁止所有人ssh远程登录该服务器
C: 禁止某个主机地址ssh远程登录该服务器，允许该主机访问服务器的web服务。服务器地址为

192.168.30.133

#在redhat 8的版本上，默认使用的是firewalld，两个软件不能同时生效

[root@localhost ~]# yum install iptables-services.x86_64 -y
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# systemctl start iptables

A： 

[root@server ~]# systemctl restart httpd                        #先启用httpd服务

[root@server ~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT 

                                                                                        #开放80端口，允许所有ip通过       

[root@server ~]# iptables  -vnL --line-numbers             

                                                                                 #查看每条链上的详细规则并且展示行号                                                  

 

[root@server ~]# iptables -D INPUT 1                      #删除第一行的规则

当我们刚才添加的规则被删除后，就不能通过httpd访问到文件的内容了。

B:

[root@server Desktop]# iptables -I INPUT -p tcp --dport 22 -j REJECT
[root@server Desktop]# iptables  -nvL --line-numbers

 

[root@server Desktop]# iptables -D INPUT 1

 当删除掉刚才添加的规则后，我们就可以远程连接正常了。

C：

#禁止192.168.30.137远程连接            允许192.168.30.137访问192.168.30.133的web服务器

[root@server ~]# iptables -I INPUT -p tcp -s 192.168.30.137 --dport 22 -j REJECT
[root@server ~]# iptables -I INPUT -p tcp -s 192.168.30.137 --dport 80 -j ACCEPT

firewalld

iptables service 首先对旧的防火墙规则进行了清空，然后重新完整地加载所有新的防火墙规则，而如果配置了需要 reload 内核模块的话，过程背后还会包含卸载和重新加载内核模块的动作，而不幸的是，这个动作很可能对运行中的系统产生额外的不良影响，特别是在网络非常繁忙的系统中。

如果我们把这种哪怕只修改一条规则也要进行所有规则的重新载入的模式称为静态防火墙的话，那么 firewalld 所提供的模式就可以叫做动态防火墙，它的出现就是为了解决这一问题，任何规则的变更都不需要对整个防火墙规则列表进行重新加载，只需要将变更部分保存并更新即可,它具备对 IPv4 和 IPv6 防火墙设置的支持。

相比于传统的防火墙管理工具，firewalld支持动态更新技术并加入了区域的概念。区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以选择不同的集合，从而实现防火墙策略之间的快速切换。

区域	默认规则策略
阻塞区域（block）	拒绝流入的流量，除非与流出的流量相关
工作区域（work）	拒绝流入的流量，除非与流出的流量相关
家庭区域（home）	拒绝流入的流量，除非与流出的流量相关
公共区域（public）	不相信网络上的任何计算机，只有选择接受传入的网络连接。
隔离区域（DMZ）	隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接。
信任区域（trusted）	允许所有的数据包。
丢弃区域（drop）	拒绝流入的流量，除非与流出的流量相关
内部区域（internal）	等同于home区域
外部区域（external）	拒绝流入的流量，除非与流出的流量有关；而如果流量与ssh服务相关，则允许流量

firewalld默认提供的九个zone配置文件都保存在“/usr/lib/firewalld/zones/”目录下，分别为：block.xml drop.xml home.xml public.xml work.xml dmz.xml external.xml internal.xml trusted.xml

在RHEL7中，firewalld服务是默认的防火墙配置管理工具，他拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。firewall-config和firewall-cmd是直接编辑xml文件，其中firewall-config是图形化工具，firewall-cmd是命令行工具。

A: 禁止某个ip地址进行ssh访问
B: 配置端口转发（在192.168.30.0网段的主机访问该服务器的5423端口将被转发到80端口）
    此规则将本机80端口转发到192.168.1.1的8080端口上

A:

# 添加富规则

[root@server ~]# firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="192.168.30.137" service name="ssh" reject'
success
[root@server ~]# firewall-cmd --reload
success

# 删除富规则

[root@server ~]# firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.30.137" service name="ssh" reject'
success
[root@server ~]# firewall-cmd --reload
success

B:

# 首先我们先将http协议添加到我们的防火墙规则中，这样我们就可以使用http协议访问了

[root@server ~]# firewall-cmd --add-service=http --permanent 
success                                                         #在这里我们添加80/tcp也可以
[root@server ~]# firewall-cmd --reload 
success
[root@server ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens160
  sources: 
  services: cockpit dhcpv6-client http ssh
  ports: 
  protocols: 
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

[root@server ~]# firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.30.0/24" forward-port port="5423" protocol="tcp" to-port="80"'
success

 

 [root@server ~]# firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.1 
success